Роль внутреннего аудита в управлении операционным риском

Повышение эффективности корпоративного управления и процессов управления операционными рисками напрямую связано с действиями внутреннего аудита. Его роль в управлении операционным риском - одна из ключевых, поскольку только аудиторы могут дать независимую оценку качества бизнес - процессов и уровня соответствующего операционного риска путем оценки выбранной банком рейтинговой модели в текущем периоде и возможно на перспективу.

К основным задачам внутреннего аудита по надзору за операционным риском относятся следующие:

1. Оценка эффективностью управления операционным риском в части:

· достоверности и полноты информации о бизнес - процессах;

· эффективности бизнес - процессов и уровня выявленного операционного риска;

· соблюдение законов, нормативов и договорных обязательств;

· сохранности активов и подтверждение величины справедливой стоимости.

2. Оценка эффективности контроля в сфере управления операционным риском, включающая:

· проверку наличия четко сформулированных оперативных и долгосрочных целей и задач совершенствования бизнес - процессов, оценку степени их соответствия целям и задачам деятельности банка;

· анализ деятельности и планов банка (план-факт анализ);

· проверку адекватности критериев выполнения поставленных целей и задач.

3. Оценка и рекомендации по совершенствованию процесса корпоративного управления, оказывающего влияние на состояние среды управления операционного риска в части:

· продвижения этических стандартов;

· обеспечения эффективного процесса управления деятельностью и ее оценки;

· эффективного и своевременного обеспечения информацией по вопросам оценки и минимизации рисков;

· эффективного координирования деятельности и обмена информацией между Советом директоров, аудиторами и менеджментом.

В управлении операционным риском основную нагрузку взаимодействия риск - подразделений и бизнес - подразделений несут риск - менеджеры этих подразделений. На них возлагаются функции по сбору информации и внедрения процедур контроля операционных рисков.

Таким образом, управление операционными рисками в условиях типичной для российской действительности «вертикальной модели власти» будет эффективным, если на всех уровнях иерархии, т.е. на системном уровне, будут решены задачи организационного управления. Только через управление всей совокупностью бизнес - процессов (основными, поддерживающими, организационными) можно реально уменьшить потери, связанные с проявлением операционного риска.

В качестве примера приведу реальный механизм мероприятий одного из крупных региональных банков, применяемый в целях управления операционным риском:

По каждому из вышеперечисленных в таблице мероприятий разработаны или разрабатываются регламенты их проведения, внутренние документы банка, а также приказы и распоряжения, если их сущность прямо не вытекает из утвержденной Политики управления рисками.

Опыт «Альфа- банка» в процессе управления операционным риском

Управление операционными рисками условно делится на ежедневный мониторинг возникающих рисков и реализацию специальных проектов, направленных на минимизацию риска в областях, выявленных в результате мониторинга. В Альфа-Банке мониторинг осуществляется при помощи инструментов, рекомендованных Базельским комитетом: ключевых индикаторов риска, сбора данных по потерям, самостоятельной оценки рисков подразделениями. Примерами специальных проектов могут служить выбор программы страхования, риск-аудит различных подразделений банка. М.Натурина., О.Громенко. Управление операционными рисками: анализ данных по операционным потерям. Оперативное управление и стратегический менеджмент в КБ, N 6, декабрь, 2004

Что касается сбора данных, банк ведет его в соответствии с классами потерь, определенными Базельским комитетом. И здесь есть свои тонкости.

Первая из них - культура понимания операционного риска. В банке должны не просто осознать необходимость регистрации данных, но и делать это профессионально. А значит - восстановить историю операционных потерь (например, по бухгалтерским данным или путем опросов персонала); грамотно определить уровень отсечения (чтобы не засорять базу мелочами); разработать методику оценки событий, несущих операционный риск для банка; учитывать корреляцию между разными данными; регистрировать информацию как по событиям, повлекшим потери, так и по потенциально опасным; учитывать данные по возмещениям.

Помимо такой повседневной работы, нужно периодически анализировать накопившийся массив и предпринимать шаги для улучшения сбора данных. Чтобы достичь однородности базы, нужно, как правило, несколько лет.

Результатом количественной оценки будет определение уровня, который не превысят операционные потери с высокой вероятностью (например, 99 или 99,5%) в целом по банку.

Данные по операционным потерям достаточно разнородные, так как они включают в себя убытки, вызванные многими причинами: ошибками персонала, сбоями систем, нарушениями в работе процессов, внешними факторами. Это приводит к тому, что сбор идет в основном вручную. С точки зрения частоты возникновения и суммы потерь события можно условно поделить на 4 категории. При этом считается, что частые и крупные потери -- это пустое множество, так как если бы такие потери происходили, банк быстро прекратил бы свое существование. Редкие и мелкие потери никого не интересуют.

При сборе данных обычно оговаривается уровень отсечения, то есть минимальный уровень потерь, после которого они начинают фиксироваться. Это связано с тем, что большинство мелких потерь (например, штрафы по несколько десятков-сотен долларов за различные мелкие нарушения) с точки зрения управления операционными рисками неинтересны, не представляют угрозы для банка, они являются нормальными для подобных операций. Затраты на сбор такого рода информации могут превышать ее пользу. Решение об установлении уровня отсечения должно приниматься как минимум через несколько месяцев после начала сбора данных: сначала нужно регистрировать все, даже самую «мелочь», чтобы понять, какого рода события происходят, как часто, критичны ли они, могут ли они при других условиях привести к гораздо большим, уже существенным потерям и т.д. В своих исследованиях Базельский комитет по банковскому надзору применяет уровень отсечения в $10 тыс.

Сбор данных можно начать с составления списка событий, которые должны фиксироваться как операционные потери. Такой список можно составить исходя из того, какие операции проводит банк (при этом нужно определить источник информации, из которого можно получать данные по каждому типу событий):

Ключевую роль в сборе данных играют риск-координаторы -- сотрудники различных подразделений банка, сотрудничающие с риск-менеджерами по нескольким областям, в том числе по сбору данных по операционным потерям. Координаторы знают, какого рода потери могут происходить в их подразделении и где их искать.

Через несколько месяцев после начала сбора данных, набрав достаточное количество событий (более сотни), можно сделать несколько простых таблиц и графиков, которые помогают лучше понять, какие данные попадают в базу, выявить проблемы сбора или классификации данных.

Кроме суммы и количества в матрице можно показывать средний размер потерь: например, в исследовании, проведенном Базельским комитетом, и ряде других количество событий в категории «внутреннее мошенничество» на порядок меньше, чем в категории «внешнее мошенничество», а для сумм потерь соотношение обратное, то есть средняя сумма внутреннего мошенничества во много раз больше, чем внешнего.

Подобные результаты и соотношения между данными, собранным в банке, полезно сравнивать с таблицами, составленными по каким-либо внешним данным. Поиск отличий, а главное -- причин этих отличий, позволяет выявить возможные проблемы регистрации или классификации данных, а также понять, какие категории являются наиболее «опасными» для банка. операционный риск коми банковский

Определение этого уровня является одной из главных целей анализа данных -- исключить «неприятные сюрпризы», то есть знать, каких потерь можно ожидать в следующем году.

Достоверные оценки, основанные только на внутренних данных и актуарных методах, в настоящий момент невозможны. Попытки применять моделирование без достаточной истории приведут к эффекту «Garbage-in-garbage-out»: если входные данные модели -- мусор, то ничего, кроме мусора, на выходе ожидать не стоит.

Например, Базельский комитет по банковскому надзору требует использовать данные за 3 года для того, чтобы начать расчет экономического капитала на основе сумм потерь, и использовать 5-летний интервал для расчета в последующие годы.

Соответственно в течение нескольких первых лет после начала сбора данных им нужно искать другое применение: выявление наиболее критичных рисков, изменение программы страхования, создание провизий и др.

Собранные данные по потерям дают ценную информацию для разработки опросных листов для проведения самооценки риска подразделениями банка. Опросный лист состоит из нескольких сценариев, в которых описана реализация того или иного риска. По каждому сценарию сотрудникам подразделения предлагается оценить, как часто может возникать такое событие, какие могут быть средние и максимальные потери, описать контрольные процедуры и их эффективность.

Проанализировав базу данных, для некоторых типов событий можно разработать индикаторы риска -- количественные показатели, отражающие уровень риска процесса. Например, если потери были вызваны ошибкой при ручном вводе данных, то соответствующими индикаторами будут уровень ручных ошибок при выполнении операции и процент ручных (а не автоматических) операций.

2.3 Методы оценки операционного риска

Ключевой категорией методологии управления операционными рисками является понятие неблагоприятного события. Под ним понимается любое идентифицируемое событие или действие на процессы или операции банка, следствием которых являются те или иные потери банка. Как правило, события классифицируются по источникам их возникновения, а также по объектам, на которых они произошли.

Результатом неблагоприятного события являются потери банка, классифицируемые на измеряемые потери, то есть те, которые могут определяться количественным образом и неизмеряемые потери, определяющиеся экспертным или качественным образом. Основные виды измеряемых и неизмеряемых потерь приведены в таблицах

Таблица 4. Типы измеряемых операционных потерь.

Таблица 5 Типы не измеряемых операционных потерь

Оценка уровня риска может определяться как качественно, так и количественно.

Количественная оценка риска носит вероятностный (прогнозный) характер, расчет опирается на статистические методы, а величина зависит от уровня принимаемой доверительной вероятности. В качестве количественных оценок могут выступать следующие статистические параметры случайных величин, которыми являются конкретные источники риска:

-- оценка вероятности В случае применения вероятностно-статистических методов вместо оценки вероятности выступает статистическая гипотеза о функции распределения вероятности данной случайной величины (источника риска) на множестве объектов риска, например на множестве транзакций через платежную систему. осуществления неблагоприятного события на данном объекте риска из-за реализации конкретного источника риска;

-- статистическая оценка результата неблагоприятного события как статистическая оценка В случае применения вероятностно-статистических методов в качестве данной оценки выступает математическое ожидание. размера возможных потерь по типам потерь, которые могут возникнуть на данном объекте риска;

-- статистическая оценка возможных отклонений В случае применения вероятностно-статистических методов в качестве данной оценки выступает среднеквадратическое отклонение (дисперсия). с заданным уровнем доверительной вероятности от оценки возможных потерь.

Качественный способ применяется для оценки качественного уровня процедур и технологий осуществления отдельных операций и процессов, а также для тех источников и объектов операционного риска, уровень которых нельзя однозначно выразить через некоторое число, характеризующее возможный уровень потерь. В этом случае оценка производится экспертно по 3-, 5- или 10-балльной системе, для чего разрабатываются специальные таблицы критериев и факторов риска с предлагаемыми шкалами оценок. Качественные оценки используются наряду с количественными оценками для определения соответствия используемых процедур совершения операций эталонным и для определения повышенных зон риска.

Важным элементом методологии управления операционным риском являются понятия общей (gross-risk) и эталонной (net-risk)) оценок риска, которые могут быть как количественными, так и качественными.

Под общей оценкой уровня операционного риска (gross-risk) понимается оценка реальных угроз и слабостей, существующих на данный момент в операционной и технологической среде банка, всех условий, недостатков, характеристик и процедур осуществления анализируемых операций в данном банке.

Под эталонной (или чистой) оценкой уровня операционного риска (net-risk) понимается отраслевая оценка чистого уровня риска по каждому источнику риска на эталонных (идеально организованных) процедурах осуществления операций и процессов с полным набором контрольных мероприятий и всех необходимых ресурсов, исключающих возникновение неожиданных неблагоприятных событий, связанных с собственными (индивидуальными) ошибками и недостатками того или иного банка. Оценка эталонного (чистого) риска осуществляется либо на основе общебанковских отраслевых баз данных о неблагоприятных событиях операционного характера, либо экспертным способом.

Степень расхождения общей и эталонных оценок риска на отдельных операциях или процессах характеризует уровень слабостей и недостатков конкретного банка в процедурах и технологиях осуществления данных операций или процессов.

Среди возможных инструментов, используемых банками для оценки операционного риска, можно отметить следующие:

* самооценка риска: банк оценивает свои операции и виды деятельности с точки зрения потенциальной уязвимости для набора операционных рисков. Этот процесс организуется изнутри и часто включает заполнение контрольных листов и (или) создание рабочих групп по выявлению сильных и слабых сторон среды, с которой связан операционный риск. Оценочные карты, например, представляют собой средство трансформации качественных оценок в количественные оценки, которые позволяют провести ранжирование различных видов операционного риска. Одни оценочные карты ориентированы на риски, специфичные для конкретных направлений бизнеса, в то время как другие позволяют ранжировать риски, относящиеся к различным направлениям бизнеса. Оценки могут касаться внутренне присущих рисков, а также контролей, введённых для их ограничения. Кроме того, оценочные карты могут использоваться банками для распределения экономического капитала по направлениям бизнеса в соответствии с характером деятельности по управлению и контролю различных аспектов операционного риска;

· составление карты рисков: при этом различным бизнес-единицам, организационным функциям или процессам сопоставляются определённые типы риска. Эта процедура помогает вскрыть имеющиеся недостатки и расставить приоритеты для последующих управленческих действий;

· индикаторы риска: индикаторы риска основаны на статистике и (или) системе измерения, зачастую финансовой, которая может дать понимание влияющих на банк рисков. Эти индикаторы обычно периодически анализируются (ежемесячно или ежеквартально), чтобы предупредить банк об изменениях, которые могут привести к рискам. Такие индикаторы могут включать количество неудавшихся сделок, показатели текучести персонала и частоту и (или) величину ошибок и пропусков;

· измерение: некоторые банки уже начали измерять свою подверженность операционному риску с помощью различных методов. Например, исторические данные об убытках банка могли бы представить значимую информацию для оценки подверженности банка операционному риску и выработки политики по ограничению (контролю) риска. Эффективным способом использования данной информации является введение порядка систематического отслеживания и фиксирования частоты, объёма и иных сведений об отдельных случаях убытков. Некоторые банки также сочетают внутренние данные об убытках с внешними данными об убытках, сценарным анализом и факторами оценки риска. Хотя проблемы оценки подверженности по прежнему остаются.

Согласно новому исследованию, проведенному международной консультационной фирмой PA Consulting, большинство банков не использует системы измерения и управления операционным риском (СИУОР) при принятии решений. Результаты недавнего глобального обзора более 50 различных финансовых учреждений показали некоторый прогресс, достигнутый банками в области внедрения инструментов управления операционным риском. Однако не более 7% банков используют их для совершенствования внешней отчетности, установления лимитов и мониторинга операций, определения резервов и провизий, постановки задач перед служащими и назначения им вознаграждения или структурирования и оценки сделок.

Одной из причин, объясняющих, почему банки не используют СИУОР при принятии решений, является нехватка надежных систем для измерения. В настоящее время наиболее популярным инструментом считается качественная оценка в баллах для внутреннего аудита, которую полностью внедрили 39% опрошенных банков и еще 20% - частично.

Однако лишь 22% опрошенных банков располагают инструментом для собственной оценки риска и только 15% - системами индикаторов основных рисков и сбора данных об убытках. Только у 6% банков установлены и функционируют программы статистического анализа данных о потерях и качественной оценки операционного риска.

2.4 Основные методы количественного измерения операционных рисков

В последние годы отдельные банки уже разработали, или находятся в стадии разработки, более количественные по характеру, во многих случаях статистически-вероятностные методологии для облегчения процесса оценки величины экономического капитала, необходимого на цели операционного риска в масштабах всего банка, а также на уровне каждого направления банковской деятельности. Представляется, хотя и с некоторой долей обобщения, что банковский сектор движется от методологии оценки по "нисходящей", к более точной методологии оценки по "восходящей", которая строится, начиная с уровня направления банковской деятельности и/или фактора риска. Некоторые банки комбинируют оба указанных подхода при оценке потребностей в экономическом капитале в масштабе всего банка.

Метод оценки по нисходящей

Методология оценки по нисходящей имеет тенденцию концентрации внимания на более широкой, общей оценке операционного риска в масштабах всего банка. В этом отношении банки экспериментировали с различными типами методологий. Некоторые из них просто сводили усилия к общему количеству потребности в капитале для достижения целевой оценки кредитоспособности. В дополнение к этому такие банки могли разработать технологию точной оценки кредитного и рыночного риска, относя разность (остаток) на счет операционного риска. Другие банки использовали основные оценки, например, фиксированные расходы или валовой доход в качестве заменителя операционного риска, принимая за образец в некоторых случаях, равнозначные организации, при расчете своих собственных отчислений капитала на цели операционного риска. Другие банки полагались на общедоступные внешние информационные данные об убытках, соотнося соответствующие внешние убытки с размерами своего банка, с целью получения приблизительной оценки потенциально маловероятных событий, связанных с убытками.

Банки, которые применяют такую методологию оценки по нисходящей, отмечают ряд трудностей, связанных с подобным подходом, включая отсутствие чувствительности по отношению к риску общих оценок и трудности установления связующего звена между общими оценками отдельного банка и всего банковского сектора, а также оценку потенциальных убытков, связанных с реальным риском на уровне направлений банковской деятельности. В случае использования подхода, связанного с общедоступными информационными данными об убытках, банки сталкиваются с трудностями перевода масштаба внешних данных в свой конкретный контекст, (то есть, обычно это возможно только сопоставляя по общей сумме активов). В дополнение к этому банки добивались того, чтобы эти оценки относились к управлению риском и процессам принятия решений на уровне менеджеров, отвечающих за направления банковской деятельности.

Метод оценки по восходящей

Усилия банковского сектора за последние годы были сконцентрированы на разработке более точной количественной технологии оценки операционного риска на уровне направлений банковской деятельности, а также на построении оценки риска в масштабах всего банка и связанного с ним необходимого капитала.

Банки, использующие методологию оценки по восходящей, зачастую полагаются на оценки потенциальных убытков, связанных с операционным риском, осуществленные на уровне конкретного направления банковской деятельности. Такие оценки обычно получают на основе моделей, призванных построить вероятностное распределение убытков, связанных с операционным риском, на некоторую временную перспективу (например, на один год). Такие модели используются по-разному с точки зрения их сложности и природы, лежащих в их основе допущений, начиная с достаточно простых методов, основанных на вероятности и средней серьезности событий, связанных с операционным риском, кончая более сложными методологиями, с помощью которых пытаются оценить контуры "хвоста кривой" распределения убытков. Аналогично этому некоторые банки применяли анализ сценариев (при определенных допущениях в отношении контура вероятностных распределений) для оценки потенциальных убытков, связанных с редкими событиями.

Общей темой для многих подобных методологий оценки является желание адекватно уловить редкие, но потенциально довольно серьезные события, чреватые операционным риском, что может послужить стимулом для оценки капитала, связанного с операционным риском, с использованием некоторых видов статистического анализа. Эти методологии могут применяться для оценки капитала с разбивкой по направлениям банковской деятельности и типам риска. В дополнение к этому банки работают над совокупными оценками по направлениям деятельности и типам риска для того, чтобы получить оценку в масштабе всего банка потенциальных убытков, связанных с операционным риском на некотором предполагаемом уровне достоверности и диапазоне риска. Банки, которые разрабатывают такие технологии и подходы, должны рассмотреть и учесть ряд проблем. Сюда следует отнести, но при этом, не ограничиваясь ими, следующие параметры:

Информационные данные

У банков может не оказаться в достаточном количестве собственных информационных данных в отношении некоторых редко встречающихся типов убытков, связанных с операционным риском. В подобных ситуациях возникает вопрос, какие критерии будут приемлемы для определения, в случае необходимости, дополнительных (внешних) данных к имеющимся собственным данным об убытках? Какие данные отвечают предъявляемым требованиям, и какую методологию следует использовать для адаптации внешних данных к внутреннему контексту банка. Какое соотношение должно быть между внешними и внутренними данными?

В тех случаях, когда доступны собственные данные, возникает вопрос, как исторические (фактические) данные связаны с прогнозируемой величиной будущих убытков банка? Какое влияние на эти взаимоотношения окажут изменения в масштабе операций, номенклатуры бизнеса и/или собственных систем контроля?

В случае, если банк применяет анализ сценариев в качестве средства решения проблемы недостаточности информационных данных, то каким образом ему можно будет разработать разумные допущения для процесса создания подобных сценариев? Как следует ему использовать внешние информационные данные при утверждении разумных суждений, применяемых при создании сценариев?

Утверждение достоверности оценок риска

Важным также представляется то обстоятельство, что количественные результаты методологии оценки банками риска подлежали бы утверждению в достоверности. Возможная техника утверждения достоверности состоит в сопоставлении оценок убытков, связанных с операционным риском с данными о реальных внутренних убытках. При условии наличия недостаточного количества доступных данных об убытках по определенным типам событий, вызывающих убытки, связанные с операционным риском (по сравнению с областью рыночного риска), бывает затруднительно применять формальную статистическую технологию, например, трассировку (тестирование) в обратном направлении или определение критериев для проверки гипотезы. Тем не менее, банки могли бы использовать менее формализованные типы разметок (установления контрольных точек), а также разумные проверки своих оценок убытков по отношению к фактическим убыткам. Подобные оценки могли бы содержать ряд уровней, включая уровень для направлений банковской деятельности, уровень для типов риска и уровень для всего банка в целом. Например, банки могли бы анализировать ожидаемые и реальные оценки, как частоты убытков, так и серьезности последствий на любой системной основе и в любом направлении. Сопоставление динамики качественных индикаторов риска с реальными, фактическими убытками способно пролить свет на уместность выбора определенных факторов и их сравнительные "навески". В будущем, по мере того, как банковский сектор начнет разрабатывать механизмы для объединения в структуру информации о своих фактических убытках, банки смогут устанавливать контрольные точки для своих параметров и оценок убытков по отношению к таким же организациям банковского сектора. Существенные отклонения от опыта равнозначных организаций могли бы послужить стимулом для диалога между подразделениями банка, направленного на выяснение причин и объяснений такому отклонению (например, связано ли это с возможными проблемами самой методологии, или отличиями в системах контроля). Совокупные информационные данные об убытках банковского сектора могли бы использоваться в качестве основы для утверждения достоверности и обоснованности оценок убытков, основанных на анализе сценариев частоты убытков и серьезности последствий.

Другая количественная технология, с которой экспериментируют банки, включает анализ чувствительности ключевых параметров допущений для измерения степени их достоверности посредством оценки их индивидуального поведения и поведения во взаимосвязи друг с другом. В добавление следует сказать, что банки могут разыгрывать анализ сценариев и стресс тестирование достоверности ключевых потенциальных убытков, связанных с операционным риском, и сопоставлять полученные результаты с результатами методологии оценки в масштабе всего банка.

Постепенно будут разрабатываться и появляться другие технологии, но уже сейчас ясно, что проблема утверждения достоверности потребует более пристального внимания со стороны банков и органов банковского надзора, поскольку отдельные крупные банки продолжают разрабатывать свою методологию оценки экономического капитала в масштабе всего банка.

3. Анализ операционных рисков самостоятельных кредитных организаций Республики Коми

Очевидно, что действенность мер, принимаемых Центральным банком России, по предотвращению неплатежеспособности отдельных кредитных организаций и профилактике кризисов национальной банковской системы в целом будет зависеть от того, насколько грамотно и эффективно российскими кредитными организациями будут реализованы базовые принципы управления рисками и механизмы внутреннего контроля. Практика показывает, что банкротства кредитных организаций случаются, несмотря на все усилия органов банковского надзора по их предупреждению. В этом смысле банкротство отдельной кредитной организации представляет собой пример возможного неблагоприятного события, т.е. риск, нуждающийся в "управлении" на государственном уровне. Это обуславливает необходимость наличия у Центрального банка России эффективной и грамотной политики в области управления рисками национальной банковской системы. Бизнес и банки №7(июль) 2004г.

И хотя в настоящее время довольно спорным является утверждение о необходимости жесткого регулирования со стороны надзорного органа операционного риска, возникающего в процессе деятельности кредитной организации и создания существенных провизий под его возможное проявление (в основном по причине практической невозможности его системного проявления), Банк России на протяжении последнего времени последовательно принимал ряд мер, направленных на выявление фактического состояния управления данным видом риска в кредитных организациях РФ.

Особо следует выделить рекомендации по управлению операционным риском в кредитных организациях, изложенные в Письме Банка России от 24.05.2005 №76-Т и Анкетный опрос, проведенный в соответствии с Письмом Банка России от 27.02.2006 №30-Т.

В концепции Банка России оценка риска (т.е. оценка вероятности наступления рискового события и величины его возможных последствий) может быть получена тремя способами:

* на основе статистического анализа распределения фактических убытков

Здесь возможен как анализ собственных инцидентов, связанных с операционными рисками, так и использование внешних данных. Соответственно, в данную категорию попадают Базельские стандартизированный подход и подход базовых коэффициентов, основанные (хотя и с определенными экспертными корректировками) на статистических данных международного банковского сообщества;

* балльно-весовым методом

В этом случае, также предусмотренном Базельским комитетом в числе инструментов качественной оценки операционных рисков, составляется так называемая оценочная карта: по основным риск-факторам оценивается уровень риска (с учетом принятых мер по его минимизации) и с использованием весовых коэффициентов получается некий итоговый балл. Такая оценка действительно характеризует степень подверженности риску, однако непосредственно не указывает ни на вероятность рисковых событий, ни на масштаб их последствий,..

* на основе сценарного анализа

Этот подход предусматривает разработку моделей, позволяющих оценить риск (т.е. величину возможных потерь) для определенного сценария. Вероятностная характеристика оценки риска при таком подходе определяется вероятностью реализации сценариев, которые могут формироваться как экспертным методом, так и на статистической основе.

В данной главе представлены результаты проведенного анкетирования кредитных организаций Республики Коми о состоянии управления операционным риском и его оценки. Также даны практические советы и рекомендации по качественному улучшению работы руководства банков по данному направлению оценки рисков.

Для более качественной оценки и проявления типичных различий между банками в подходах к процессу оценки уровня операционного риска, условно кредитные организации разделены на три уровня:

· Банк «А» - крупный региональный банк; характеризующийся большим количеством совершаемых транзакций, развитой филиальной, клиентской сетью, в т.ч. за пределами региона. Значительной величиной валюты баланса и капитала, достаточным количеством сотрудников, а также имеющий в составе своих акционеров банк, входящий в первую 20-ку крупнейших кредитных организаций, зарегистрированных на территории Российской Федерации. Низкая текучесть кадров, достаточно привлекательная система оплаты труда сотрудников.

· Банк «Б» - средний региональный банк; также характеризующийся достаточно большим количеством совершаемых операций, развитой филиальной и клиентской сетью, но преимущественно на территории Республики Коми, обладающий средней величиной валюты баланса и капиталом немного более 5 млн.евро. В составе акционеров - некрупные юридические лица и высший менеджмент банка. Количество сотрудников жестко ограничивается по причине максимальной экономии на операционных издержках и расходов на содержание аппарата. Средняя текучесть кадров в связи с низким уровнем заработной платы.

· Банк «В» - «мелкий» региональный банк. Достаточно небольшие объемы операций и незначительная клиентская база, капитал менее 5 млн.евро. Акционеры - физические лица, не занимающиеся оперативной деятельностью банка, но жестко контролирующие бюджет банка. Развитие автоматизированных систем ограничено недостатком финансирования, количество сотрудников постоянно сокращается, достаточно большая текучесть кадров в основном в связи с большой нагрузкой на сотрудников.

В ходе проведенного анализа получены следующие обобщенные результаты

Банк «А» относится к универсальной кредитной организации, так как ни одно из направлений деятельности не обозначено им в качестве главного и в тоже время все перечисленные в анкете направления деятельности им осуществляются. К основным направлениям деятельности относится банковское обслуживание физических лиц, банковское обслуживание юридических лиц, операции и сделки на рынке ценных бумаг и срочных финансовых инструментов, а также оказание услуг корпоративным клиентам, органам государственной власти и местного самоуправления на рынке капиталов. Кроме того, банком поддерживается осуществление платежей и расчетов (кроме платежей и расчетов, осуществляемых в рамках обслуживания клиентов кредитной организации), агентские услуги, брокерская деятельность и управление активами. Практически все направления деятельности, за исключением банковского обслуживания физических лиц и управления активами, являются прибыльными. Выполнением основных направлений деятельности занято 65% от общей штатной численности персонала, из них 93% сотрудников заняты непосредственно осуществлением обслуживания юридических и физических лиц.

Банк указал, что имеет достаточное представление об изменениях в международных стандартах достаточности капитала (Базель II) но пока конкретно не изучал вопрос в части выбора оптимального подхода к определению величины регулятивного капитала на покрытие операционного риска. Это свидетельствует о том, что банк живет «сегодняшним» днем и в должной мере не осознает всей важности и ответственности перестройки своей деятельности для соответствия новым международным требованиям. Учитывая, что в соответствии с планами Банка России переход по первому компоненту Базеля II должен состоятся к 2008 году, у банка остается мало времени для перехода на новые технологии оценки и управления рисков, требующих существенных затрат на разработку и внедрение информационно-аналитических систем, обучение персонала, освоение методов оценки рисков на основе математических методов.

В банке отсутствует специальные процедуры выявления и (или) мониторинга операционного риска, уровень операционного риска определен экспертным путем. По мнению банка, доля операционного риска в структуре всех рисков составляет 10%. Отдельного внутреннего документа по управлению операционным риском не разработано, но данный вопрос отражен в «Политике управления рисками», утвержденной Советом директоров. В банке планируется выделение отдельного подразделения (служащего) для выполнения функции управления операционным риском. При этом, в целях снижения вероятности (избежания) операционных убытков, риск-менеджмент взаимодействует с руководителями подразделений (бизнес-направлений) при введении новых услуг и видов операций на стадии утверждения бизнес-процессов, а также по результатам проверок и информации, предоставленной Службой внутреннего контроля. Отдельная внутренняя отчетность по вопросам управления операционным риском в банке в настоящее время практически отсутствует, но находится в стадии разработки.

Отдельный учет операционных убытков ведется, но не установлен порядок расследования случаев операционных убытков. Общая сумма операционных убытков банка, показанная по состоянию на 01.01.2006 составила 63 тыс.руб., являлась незначительной и не оказала влияние на финансовую устойчивость кредитной организации. Из перечисленных семи проявлений операционного риска в банке имело место 3 направления: противоправные действия третьих лиц, выход из строя оборудования и систем, а также ненадлежащая организация деятельности, ошибки управления и исполнения. По количеству случаев проявлений операционного риска лидирует выход из строя оборудования и систем, в части установления недостач в банкоматах, на данный вид риска приходится большинство случаев проявления операционного риска. Вместе с тем, сумма полученных убытков по данному виду риска минимальна и составила 7 тыс.рублей. Наибольшую сумму операционных убытков принесло противоправное действие третьих лиц в части мошенничества по платежной карте, клиенту было выплачено 43 тыс.рублей. В части ненадлежащей организации деятельности, ошибках управления и исполнения указан один случай ошибки в части направления клиенту платежа дважды в сумме 13 тыс.рублей. Следует отметить, что у банка имеется некоторое недопонимание сущности операционных убытков, поскольку к последним не отнесен даже уплаченный по итогам инспекционной проверки штраф, который был взыскан за нарушения внутренних регламентов по выполнению Федерального закона от 07.08.2001 № 115-ФЗ.

В качестве используемых в банке специализированных программных средств для поддержки отдельных направлений деятельности перечислены все основные программные продукты, используемые при осуществлении банковских операций. Для осуществления инкассации и охраны объектов банк использует аутсорсинг - привлечение сторонних специализированных организаций (подрядчиков, субподрядчиков), при этом банк следит за тем, чтобы действия подрядчика, субподрядчика соответствовали действующему законодательству, однако оценку возможных последствий для банка в случае невыполнения подрядчиком, субподрядчиком своих обязательств не проводит.

Из предложенных в анкете видов страхования банк применяет страхование жизни и здоровья служащих, работа которых связана с повышенным риском, страхование денежных средств и других ценностей в пути и на хранении, страхование зданий, сооружений, оборудования и другого имущества, а также автотранспорта. По мнению банка, у него отсутствуют другие виды рисков, которые он готов был бы застраховать, но не имеет такой возможности.

Банком разработаны и утверждены Советом директоров и исполнительным органом планы обеспечения непрерывности (восстановления) финансово-хозяйственной деятельности по основной деятельности и по функционированию автоматизированных банковских систем. За последние три года в банке пересматривались внутренние правила и процедуры осуществления основной деятельности только в связи с внедрением новых операций (продуктов), совершенствованием и оптимизацией действующих бизнес-процессов банк не занимался.

В рамках системы внутреннего контроля осуществляется контроль за соблюдением установленных правил и процедур. Контроль организован в несколько этапов. В текущей деятельности контроль осуществляется на постоянной основе должностными лицами, ответственными за организацию и осуществление банковских операций. Служба внутреннего контроля проверяет соблюдение установленных правил и процедур на регулярной основе, согласно утвержденному Советом директоров плану проверок.

Таким образом, информация, отраженная в анкете, свидетельствует, что банк имеет представление об операционном риске, разработал политику управления операционным риском. Вместе с тем, использует очень оптимистические прогнозы об уровне операционного риска в банке, рассчитывает его только по данным, выраженным реальной денежной величиной и не учитывает вероятность наступления каких-либо событий. Менеджментом банка пока не осознается важность подготовки к переходу на новые требования к достаточности капитала с учетом создания резервов под операционные риски.

И в этой ситуации лишний раз подтверждается некоторый скепсис аналитиков по поводу обязательного административного контроля за уровнем операционных рисков банков. На мой взгляд, отличительной причиной и чертой проявления операционного риска в западных банках является все же недостаточный уровень последующего контроля над действиями отдельных ярко амбициозных менеджеров среднего и высшего звена, их полная заряженность только на максимизацию прибыли, слабая подготовка технического персонала, передача прав на разработку компьютерных программ сторонним организациям, традиционная текучесть персонала и т.п. Пример крупного регионального банка показывает, что необходимость реального контроля над уровнем операционного риска есть и ни в коем случае не оспаривается, но величина реальных убытков от его проявления незначительна. Менталитет сотрудников среднего и младшего звена аппарата управления кардинально отличен от западного. Основная часть сотрудников поступила на работу в банк по рекомендациям, и опасается потерять работу в случае ошибок в деятельности, а тем более выявления фактов мошеннических действий. Разработка и сопровождение большинства ИТ-комплексов осуществляется собственным штатом достаточно квалифицированных специалистов и программистов. В то же время, если недостаточно активно осуществляется управление операционным риском через его выявление, контроль, измерение, наблюдение и предотвращение, то возможны особо тяжкие случаи его проявления - значительные убытки в результате как внутреннего, так и внешнего мошенничества, сбои ИТ-систем.

Банк «Б» основным направлением деятельности является банковское обслуживание юридических лиц, прибыль от осуществления которого составила на 01.01.2006 ~100 млн.руб. при количестве занятых служащих до 100 человек. А также обслуживание физических лиц операции и сделки на рынке ценных бумаг, агентские услуги.

По мнению банка, при заполнении анкеты отсутствует возможность корректного выделения прибыли по перечисленным направлениям деятельности.

Подверженность операционному риску банк оценивает на 18% («риск-профиль»), что фактически соответствует значению бета коэффициента, используемому для оценки операционного риска по стандартизированному подходу по Базелю II.

Вопросы, относящиеся к управлению операционным риском, на настоящий момент не регламентируются отдельным внутренним документом, но затронуты в других документах, в частности в Положениях «О системе оценки рисков и организации системы контроля и управления рисками», «О порядке распределения прав и обязанностей, согласования решений, делегирования полномочий при совершении банковских операций и других сделок и порядке предоставления отчетов и информации», «О комитете по управлению активами и пассивами», Инструкции «О порядке хранения и использования средств защиты информации». При этом в банке разработано, но пока не утверждено «Положение об организации управления операционным риском» (проект имеется). В соответствии с рекомендациями Банка России п.2.3 Положения Банка России от 24.05.2005 № 76-Т, в целях создания условий для эффективного управления операционным риском, утверждение этого Положения будет отнесено к компетенции Совета директоров. Координация и централизация управления операционным риском возложены на органы управления и структурные подразделения.

Ниже описаны процедуры и правила, принятые в банке в настоящее время в соответствии с действующим Положением.

Выявление и оценка операционного риска (в том числе ведение аналитической базы данных о понесенных убытках) осуществляется Заместителем Председателя Правления (в филиалах эти обязанности возложены на отдельного сотрудника), который на ежемесячной основе формирует отчет установленной формы и предоставляет его Председателю Правления. При возникновении операционных убытков в банке установлен порядок расследования этих случаев. По состоянию на 01.01.2006 в банке выявлялся один случай операционного риска на сумму 21 тыс.руб. вследствие «нарушения иного законодательства, неисполнения или ненадлежащего исполнения возникающих из договоров обязательств, связанных с основной деятельностью». Однако, банку также следовало отнести к операционным убыткам уплаченный штраф, взысканный по результатам инспекционной проверки. В целях снижения вероятности операционных убытков в банке предусмотрено ежедневное участие риск-менеджмента в работе комитета по активам и пассивам.

Для поддержки своей деятельности банк использует множество программных продуктов, разработчиками которых являются как сторонние организации, так и непосредственно сам банк. В целях выявления операционного риска банком ведется база данных по операционным убыткам - программа «Кадры», где ежедневно фиксируются ошибки, несущие потери (по балльной системе).

В качестве метода уменьшения финансовых последствий операционного риска банком используются следующие виды имущественного и личного страхования:

- жизни и здоровья служащих кредитной организации, работа которых связана с повышенным риском (инкассаторы, кассиры);

- денежных средств и других ценностей в пути и на хранении;

- зданий, сооружений, оборудования и другого имущества;

- автотранспорта.

В целях ограничения операционного риска в банке разработаны планы обеспечения непрерывности (восстановления) финансово-хозяйственной деятельности (утверждены председателем Правления банка), в том числе:

- основной деятельности;

- функционирования автоматизированных банковских систем.

За последние 3 года внутренние правила и процедуры осуществления основной деятельности не подвергались пересмотру.

В рамках системы внутреннего контроля в банке осуществляется контроль за соблюдением установленных правил и процедур. В частности, система внутреннего контроля в этой части осуществляется по линии административного и финансового контроля, включающих предварительный, текущий и последующий контроль. Административный контроль состоит в обеспечении проведения уполномоченными на то лицами и в строгом соответствии с определенными банком полномочиями и процедурами принятия решений по проведению операций. Финансовый контроль состоит в обеспечении проведения операций в строгом соответствии с Учетной политикой банка применительно к различным видам финансовых услуг и их адекватное отражение в учете и отчетности.