какие возможные причины операционных рисков

Операционные риски и угрозы системам финансовых структур

Об отдельных видах операционных рисков

Причины возникновения операционных рисков

К главным причинам возникновения операционных рисков можно отнести:
• недостаточную квалификацию персонала финансовой организации и отсутствие регулярных тренингов и обучения. «Человеческий фактор» по-прежнему является основной бедой российского бизнеса, так как большинство сотрудников отечественных компаний не обучены грамотному применению информационных технологий и их знания не распространяются дальше «владею Microsoft Word, Internet Explorer и ICQ»;
• непонимание важности информационной безопасности и недооценка существующих угроз. Отсутствие поддержки со стороны руководства приводит к ослаблению системы управления рисками, нехватке финансирования и выполнению действий и мероприятий по повышению уровня защищенности «спустя рукава»;
• отсутствие или недостаточная проработка процедур управления рисками и в том числе политики безопасности. Отсутствие плана действий в случае наступления того или иного риска приводит к нерациональному решению, а зачастую и вообще отсутствию решения возникшей ситуации;
• отсутствие эшелонированной системы защиты информационных активов финансовой организации от всех перечисленных выше угроз. Безопасность компании равна безопасности самого слабого звена. Злоумышленнику достаточно найти всего одну слабость в системе управления рисками, и он сможет нанести ущерб банку, страховой компании или иному финансовому институту;
• наличие уязвимостей на различных уровнях инфраструктуры АБС. Выбрасывание на рынок «сырого» программного обеспечения приводит к обнаружению в нем большого числа дыр и уязвимостей, которыми пользуются злоумышленники для совершения своих «черных дел».

Последствия операционных рисков

В результате перечисленных выше причин возникновения операционных рисков могут наступить следующие последствия:
• внутреннее и внешнее мошенничество;
• ошибки персонала (умышленные и в результате низкой квалификации);
• сбои автоматизированной банковской системы и других типов информационных систем;
• нарушение процессов обработки и хранения данных;
• недостаточная защищенность АБС или прорехи в рубежах ее обороны и т.д.
Все эти последствия приводят к нанесению компании прямого финансового или косвенного ущерба.

Ущерб от операционных рисков

Источники операционных рисков

Снижение операционных рисков

Не касаясь подробно темы снижения операционных рисков, перечислим некоторые его механизмы:
— планирование процедур управления операционными рисками и, в частности, управления информационной безопасностью;
— регулярный аудит финансовой компании на предмет снижения операционных рисков (в том числе аудит безопасности);
— регистрация всех осуществляемых в информационных системах действий;
— аутсорсинг (Managed Service) непрофильных активов (в том числе информационных систем);
— обеспечение банковской тайны (хотя принятие новых законов в последнее время серьезно усложнило эту задачу);
— обеспечение непрерывности бизнес-процессов.

Источник

Глава 4. Операционный риск

Информация об изменениях:

Глава 4. Операционный риск

Процедуры по управлению операционным риском должны предусматривать:

полномочия руководителей структурных подразделений кредитной организации в области управления операционным риском и их ответственность за выявление и оценку операционного риска, присущего деятельности этих подразделений;

наличие в кредитной организации подразделения (работников), осуществляющего разработку процедур по управлению операционным риском, включая методы оценки операционного риска, и составление отчетов об операционном риске, а также применение указанных процедур;

осуществление контроля за выполнением принятых в кредитной организации процедур по управлению операционным риском и оценки их эффективности службой внутреннего аудита кредитной организации (иным подразделением кредитной организации, независимым от подразделений, осуществляющих операции (сделки), связанные с принятием рисков, разработкой и применением процедур по управлению операционным риском);

иные процедуры, установленные пунктом 2.1 Положения Банка России N 716-П.

4.2. В случае если кредитная организация использует методы оценки операционного риска, отличные от установленных Положением Банка России N 652-П, применяемые методы должны соответствовать требованиям, предъявляемым к такого рода методам в международной практике.

В кредитной организации, использующей модели количественной оценки рисков, процедуры управления операционным риском должны содержать методы выявления и оценки риска ошибок процессов разработки, проверки, адаптации, приемки, применения методик количественных и качественных моделей оценки активов, рисков и иных показателей, используемых в принятии управленческих решений (модельный риск).

Методы оценки операционного риска, применяемые дочерней кредитной организацией, должны быть согласованы в письменной форме с головной кредитной организацией банковской группы.

Порядок ведения и использования базы событий, включая требования к форме и содержанию вводимой информации, порогу регистрации размера потерь, информация о которых подлежит отражению в указанной базе событий, а также порядок учета внешней информации в целях оценки принятого кредитной организацией (дочерней кредитной организацией) операционного риска устанавливаются кредитной организацией (головной кредитной организацией банковской группы) в соответствии с главой 6 Положения Банка России N 716-П в документах кредитной организации (головной кредитной организации банковской группы), разрабатываемых в рамках ВПОДК.

4.4. Кредитная организация (головная кредитная организация банковской группы), использующая в целях оценки достаточности капитала на покрытие операционного риска методы, применяемые в международной практике, должна накапливать информацию о потерях, понесенных кредитными организациями вследствие реализации операционного риска, внешних событиях операционного риска, имевших место в кредитных и финансовых организациях, сопоставимых с ней по составу и масштабу операций, включающую данные о суммах потерь, об объеме операций кредитных организаций в регионе, в котором были понесены потери, о причинах и обстоятельствах их возникновения.

Информация о событиях операционного риска должна быть классифицирована кредитной организацией в соответствии с главой 3 Положения Банка России N 716-П в зависимости от состава и масштаба операций.

4.5. В целях осуществления контроля за эффективностью управления операционным риском кредитная организация (головная кредитная организация банковской группы) определяет порядок и периодичность рассмотрения фактов возникновения потерь вследствие реализации операционного риска и причин их возникновения, а также перечень и порядок проведения мероприятий, направленных на повышение качества системы управления операционным риском и уменьшение негативного влияния операционного риска, включая мероприятия, направленные на предотвращение (снижение вероятности) событий операционного риска, и мероприятия, направленные на ограничение размера потерь от реализации событий операционного риска, в соответствии с подпунктом 2.1.7 пункта 2.1 Положения Банка России N 716-П.

4.6. В целях ограничения операционного риска кредитная организация (головная кредитная организация банковской группы) разрабатывает систему мер, направленных на снижение уровня операционного риска. К числу таких мер относятся:

разработка процедур совершения операций (сделок), порядка разделения полномочий и подотчетности по проводимым операциям (сделкам), позволяющих исключить (ограничить) возможность возникновения операционного риска;

контроль за соблюдением установленных процедур;

развитие систем автоматизации банковских технологий и защиты информации;

страхование, в том числе:

имущественное страхование (страхование зданий, иного имущества, включая валютные ценности и ценные бумаги, от утраты (гибели), недостачи или повреждения, в том числе в результате действий третьих лиц, работников кредитной организации, а также страхование предпринимательских рисков, связанных с риском возникновения убытков вследствие реализации банковских рисков);

личное страхование (страхование работников от несчастных случаев и причинения вреда здоровью);

комплекс мероприятий, установленных подпунктом 4.1.5 пункта 4.1 Положения Банка России N 716-П.

Указанные меры должны быть доведены головной кредитной организацией банковской группы до участников банковской группы.

Источник

Финансовая сфера

Огромные убытки финансовых организаций последних месяцев заставляют по-новому взглянуть на управление риском, особенно операционным.

Операционный риск, возможно, самый крупный риск любой организации. Практически каждый крупный убыток, с которым столкнулась та или иная компания на протяжении последних 20 лет, начиная с Enron и Wolrdcom и заканчивая убытками трейдера в Societe Generale и последним кредитным кризисом, был вызван операционным нарушением.

Многие финансовые компании потратили десятки миллионов долларов на разработку надежных систем оценки и контроля операционного риска. Но, несмотря на эти огромные инвестиции, для многих фирм разработка жизнеспособной программы операционного риск-менеджмента (ОРМ) продолжает оставаться недостижимой целью.

Почему это так? Зачастую из-за подхода к данной проблеме, выбранного организацией, и предпосылок, из которых исходило руководство в самом начале процесса. Многие руководители не считают операционный риск банка значительным. Это отражается в низком уровне капитала, приходящегося на этот риск, относительно общего уровня капитала компании (например, 15–20% от общего уровня). Многие видят операционный риск банка просто как риск сбоя в работе бэк-офиса. Как правило, руководители полагают, что ОРМ заключается в разработке систем контроля качества для процессов низкого уровня. Эти взгляды во многом сформировали инвестиционные и кадровые решения, которые, в свою очередь, повлияли на размещение ресурсов и развитие технологий.

Нынешняя лавина убытков в мировой финансовой индустрии заставляет многих руководителей переосмыслить свой подход к управлению рисками в целом. Сегодня многим очевидно, что операционный риск намного более важен, чем считалось раньше. В результате большой интерес вызывают новые подходы к управлению такого рода рисками. Один из таких подходов — современный ОРМ.

Что такое операционный риск?

Али Самад-Хан, старший партнер в Towers Perrin в Нью Йорке, занимающийся операционным риском, является одним из ведущих мировых экспертов в этой сфере. Его клиентами были более 50 крупнейших банков, страховых, энергетических и транспортных компаний, Федеральный резерв США, FSA UK, Всемирный банк и МВФ. Али изучал экономику и финансы в Станфордском и Йельском университетах.

Вообще говоря, операционный риск — это риск потерь от операционного нарушения. Операционный риск проникает во все аспекты возможных рисков — он взаимосвязан со всеми другими типами риска, такими как рыночный, кредитный риск, а также риск ликвидности, усложняя их. В отсутствие операционных провалов все другие типы риска значительно менее важны.

Тем не менее много лет назад Базельский комитет постановил, что кредитные потери, вызванные операционным сбоем, должны с точки зрения составляющих компонент капитала классифицироваться как кредитные убытки. Это компромиссное решение, основанное на историческом прецеденте, имело ненамеренный эффект уменьшения значения операционного риска — не только в банковской области, но и в других отраслях, перенявших в риск-менеджменте банковские принципы.

Следуя этому узкому определению, операционный риск требовал небольшого количества капитала в резерве и, как следствие, рассматривался банками как вопрос низкого приоритета. Это не только отвело ресурсы и внимание руководства от этого основного риска, но и затемнило причины многих крупнейших убытков.

Операционный риск — это гораздо больше, чем просто риск операций. Риск операций — суть подмножество операционного риска, связанное с неосознанными исполнительными ошибками и сбоями в процессах. Так как эти риски, как правило, хорошо известны, ими обычно умеют хорошо управлять. Кроме того, так как эти события являются «нормальными» операционными сбоями, соответствующие убытки от каждого такого события обычно относительно малы, редко превышают миллион долларов. Операционный риск, напротив, в основном заключается в «ненормальных» операционных провалах, особенно в сознательном нарушении профессиональных или моральных стандартов и чрезмерным аппетитом к риску. Примеры включают нарушение стандартов продаж и неавторизированный трейдинг. Многие случаи многомиллиардных потерь происходили тогда, когда нарушители номинально действовали в интересах своей компании, но делали вещи, которые не совпадали с ее долгосрочными интересами.

Традиционный и современный ОРМ — различные бизнес-проблемы

Есть два общих подхода к ОРМ: традиционный и современный. Поясним основные различия на примерах.

Традиционный ОРМ: Вы идете вдоль по рельсам, навстречу вам мчится поезд со скоростью 100 км/час, что вам нужно сделать? Проведем оценку риска: вероятность = 90%, убыток = =10 млн долларов (ваша стоимость для общества). Следовательно, ваша оценка риска — 9 млн долларов. Так как это превышает ваш уровень терпимости риска, вы разрабатываете план действия: спрыгнуть с рельсов. Проблемы традиционного ОРМ связаны с осязаемой угрозой, которая требует тактического решения.

Современный ОРМ: Спрыгнув с рельсов, вы спрашиваете себя: насколько общество подвержено риску железнодорожных несчастных случаев и являются ли имеющиеся методы их предотвращения оптимальными в рамках терпимости риска/убытка нашего общества? Для ответа на эти вопросы вам надо выяснить, сколько людей погибают в среднем каждый год (ожидаемые потери) и в худший из последних 10 лет (грубая мера риска).

Григорий Спивак, FIA, косультант Towers Perrin в Лондоне. На протяжении своей 8-летней карьеры в финансовом секторе Григорий занимался перестрахованием жизни, анализом фондового рынка и деривативами на валютном рынке. Григорий один из немногих русскоговорящих действительных членов Лондонского института актуариев.

Для упрощения проблемы будем оптимизировать только отношение риск–контроль (игнорируя отношение риск–награда) и только по отношению к ожидаемым потерям (строго говоря, это терпимость убытков, а не терпимость риска). Допустим, в среднем от поездов погибает 10 человек в год. Также предположим, что за 5 млн долларов можно построить новые ограждения и что это понизит уровень смертности до двух человек в год. Наконец, предположим, что за 10 млн долларов можно построить туннель, который снизит среднюю смертность до 0,01 в год (прибыль = 99 млн долларов). В соответствии с принципами современного ОРМ детальный анализ затрат-прибыли показал, что оптимальным решением будет построить ограждения и терпеть средние убытки двух смертей в год.

Традиционный ОРМ используется для принятия тактических решений. Это важно, но традиционные методы не могут помочь в решении стратегических задач, таких как оптимизация систем контроля над рисками в терминах вашей терпимости к риску/потерям. Современный ОРМ разработан для того, чтобы помочь старшим руководителям в принятии стратегических решений. Это требует изначально другого подхода, основанного на данных, моделировании и тщательном анализе. В современной системе ОРМ измерение риска и управление риском идут рука об руку.

Проблемы традиционных методов управления рисками

Во многих организациях центральной частью ОРМ является традиционная самооценка риска и контроля. Следуя традиционному подходу, высокий риск характеризуется высокой вероятностью и высоким убытком. На самом деле высокий риск должен характеризоваться низкой вероятностью и высоким убытком в соответствии с подходом к рыночному, кредитному или андеррайтинговому риску. В традиционном подходе небольшой риск, например, распространенная потенциально значительная ошибка в обработке транзакции, описывается как высокий риск. В то же время низковероятный (но огромный) трейдинговый убыток, такой как недавние потери 7,2 млрд долларов от несанкционированного трейдинга в Societe Generale, классифицируется как относительно низкий риск (рис. 1).

(Нажмите чтобы увеличить)

В силу того, что традиционная оценка риска и контроля — ключевой элемент программ ОРМ многих организаций, многие компании уделяют большое внимание вопросам операций, а не более общим вопросам операционного риска. В результате они излишне контролируют области низкого риска и недостаточно контролируют области высокого риска. Управление операциями сильно отличается от управления операционным риском.

Другая практическая проблема традиционного подхода заключается в том, что он начинается с процесса «идентификации рисков». Эта идея — подумать и решить, с какими основными рисками сталкивается ваша компания, — интуитивно привлекательна и бывает полезной для идентификации неминуемых убытков. Но этот подход очень сложно воплотить, если ваша цель — систематически идентифицировать все риски, которым подвержена ваша организация. Так как риски накладываются, можно идентифицировать тысячи рисков. Естественно, управлять такой огромной матрицей рисков на практике нереально.

С точки зрения аналитика, еще один недостаток традиционного метода заключается в том, что он описывает операционные убытки так, как будто они имеют всего один возможный исход. На самом деле операционные убытки могут иметь распределение, предписывающее каждому значению исхода соответствующую вероятность (рис. 2). Традиционный анализ фактически использует единственную среднюю точку на этой кривой.

(Нажмите чтобы увеличить)

Современный подход к ОРМ

Современный подход к ОРМ — это не просто методика измерений риска. В него входит развитие надежного систематического процесса включения информации о риске-награде и риске-контроле в принятие бизнес-решений. Это процесс принятия деловых решений, при которых уровень риска соизмеряется со стандартами терпимости к риску различных заинтересованных сторон.

Измерение риска

Центральная часть современной системы ОРМ — анализ исторических данных и актуарная модель убытков. При этом подходе исторические данные используются для нахождения распределений частоты и размера убытков, для измерения ожидаемых и неожиданных потерь в данном классе бизнеса на протяжении периода времени, например одного года. Рисунок 3 иллюстрирует этот процесс.

Используя современную систему ОРМ, мы можем управлять всем портфелем рисков, используя матрицу «организационная единица — класс риска». Это означает определить, в какую из единиц бизнеса инвестировать на основе их соотношений риск-награда и какие стратегии уменьшения риска воплотить, оптимизируя отношения риск-награда и риск-контроль по всему спектру рисков.

В случаях, когда имеются хорошие данные, форма распределения может определяться историческим уровнем убытков, который отражает качество сегодняшних систем контроля. Уровень риска и качество контроля могут быть измерены для каждой клетки в матрице организационных единиц — типов риска. Сравнение изменения в ожидаемых потерях (среднее) и неожиданных потерях (риск) на протяжении времени дает возможность оценить эффект изменений в системах контроля.

Из-за нехватки собственной статистики убытков и несоответствия внешних данных моделирование операционного риска может быть унылым занятием. Традиционных статистических/актуарных методов для этого недостаточно. Разработаны новые научные методы, но многие организации в своем нынешнем состоянии еще не готовы к применению этих методов.

Большинство организаций, моделирующих операционный риск, делают это для подсчета регулируемого капитала. В таких случаях они склонны выбирать методы, дающие результаты, кажущиеся приемлемыми, а не честно оценивающие полную величину риска. В настоящее время в моделировании операционного риска присутствует большой разрыв между общими распространенными и высшими стандартами.

(Нажмите чтобы увеличить)

Систематика

Одна из причин, почему управлять операционным риском так сложно, — это отсутствие работающей схемы классификации или систематики для этого типа риска. Для управления операционным риском через структурированный процесс важно иметь полный список непересекающихся категорий риска. Сложность в том, что каждая операционная неудача имеет три измерения: причинные факторы, события и последствия (рис. 4). Современный ОРМ основан на многомерной системе, в центре которой находится измерение события, являющееся стартовой точкой анализа.

Причинные факторы и события составляют причины. Неуполномоченные продажи (событие) представляют собой неотъемлемую подверженность убыткам. Такого типа событие происходит по воле сотрудника. Отсутствием контроля менеджера (причинный фактор) обусловлено повторение этого события с большей частотой или убытком. Современная система классификации убытков позволяет производить более эффективный «посмертный» анализ. Классификация убытков в хорошо определенные категории, вместо того чтобы изучать их по отдельности, позволяет развить систематический процесс оптимизации в системе координат риск–награда или риск–контроль.

Воплощение современного ОРМ

Операционный риск проникает во все аспекты возможных рисков, усложняя их. Он взаимосвязан со всеми другими типами риска, такими как рыночный, кредитный риск, а также риск ликвидности.

Многие организации рассматривают ОРМ как последовательность индивидуальных задач, таких как определение слабых сторон контроля, развитие планов действия, сбор данных об убытках и подсчет регулируемого капитала. По сути, эти действия — ответ на требования Sarbanes-Oxley и Basel II. Фирмы инвестировали значительные суммы в развитие таких программ, но, разочаровавшись в их результатах, многие пришли к ошибочному заключению, что ОРМ еще одно бесполезное занятие, нужное для галочки.

Но ОРМ не должен быть последовательностью независимых шагов. Напротив, его нужно воспринимать как структурированный процесс для принятия более грамотных решений в управлении, в котором соответствующая информация о риске и контроле интегрирована в единую систему. Такой подход и есть современный ОРМ. Современный ОРМ использует как основание актуарную науку: метод оценки ожидаемого убытка (стоимость) и непредвиденного убытка (риск), который можно использовать для оптимизации риска-награды и риска-контроля в рамках анализа стоимости-прибыльности.

(Нажмите чтобы увеличить)

В современной среде ОРМ операционный риск для старшего руководителя — не запоздалая мысль, а неотъемлемая часть стратегического планирования, управления бизнесом и процесса управления рисками организации. Многие компании уже осознали преимущества современного ОРМ, и это может привести к установлению новых стандартов в индустрии.

Уроки нынешнего финансового кризиса

В настоящее время широко признается, что нынешний финансовый кризис был вызван последовательными грубыми операционными нарушениями, которые привели к огромным кредитным потерям или потерям рыночной стоимости. Для предотвращения подобного кризиса в будущем представленные на биржах корпорации должны создать должность независимого главного директора по управлению рисками (Chief Risk Officer —CRO), который будет отчитываться непосредственно перед советом директоров. Этот CRO должен быть экспертом в ОРМ и должен отвечать за оценку нового бизнеса так же, как за мониторинг имеющихся рисков. Для того чтобы эта модель действовала, работа CRO и других риск-менеджеров должна оплачиваться так, чтобы не мешать им открыто выражать точку зрения, противоречащую недобросовестным способам получения прибыли.

Источник

Управление опер. рисками в банке (2)

Если Вы уже прочитали перевод первой части книги и поняли, что такое операционный риск, позвольте Вас запутать. Операционный риск может стоять за спиной у многих иных видов банковских рисков. Думали, что реализован кредитный риск? А нет, этот операционный. Предполагали, что вот тот риск нужно учитывать, как стратегический? Ну, нет же, этот тоже операционный! Разобраться в хитросплетении рисковых ситуаций и отличить один вид событий от другого поможет вторая глава книги итальянских авторов, перевод которой находится под ссылкой.

2.3. Основное сходство и различие между операционным риском и другими категориями риска.

Одна из основных характеристик операционного риска — это наличие операционного риска «за спиной» множества потерь, которые могут быть приписаны к другим видам риска, в связи с чем возникает проблема разделения операционных потерь от потерь по другим видам риска. Соответственно, пруденциальное регулирование описывает некоторые детали предотвращения завышенных оценок, двойного учета или ненадлежащего снижения требований к капиталу на покрытие рисков. Определение границы между операционным риском и другими рисками было определено отраслью как фундаментальная проблема постоянного сбора и моделирования данных об операционных потерях. В следующих разделах будут рассмотрены сходство и различие между операционным риском и кредитным риском, рыночным риском, стратегическим риском, репутационным риском и комплаенс-риском.

2.3.1 Операционный риск и кредитный риск.

Под термином «кросс-кредитный риск» мы подразумеваем те события, причиной которым послужила реализация события операционного риска, но которые в силу своей экономической сущности относятся к данным, учитываемым при расчете капитала на покрытие кредитного риска. Аналогично, под термином «потери на границе кредитного риска» мы понимаем возникшие в результате реализации операционного риска убытки по кредитам, такие как потери в результате ошибок или мошенничества в процессе выдачи и сопровождения кредита[1].

Обилие информации, собираемой по случаям «кросс-кредитного риска», затрудняет определение требуемого потока информации и требует участия:

(i) структур, ответственных за мониторинг подверженности кредитному риску и его количественную оценку,

(ii) структур, отвечающих за контроль и управление операционными рисками,

чтобы обе стороны могли анализировать рисковые ситуации и определять любые необходимые меры по минимизации потерь. Также требуется определение наиболее подходящих структур для информирования о крупных событиях, четкого распределения обязанностей, а также определения сроков и процедур отчетности. Соответственно, лучше будет задействовать централизованную структуру, чем децентрализованную, в соответствии с полномочиями первой в области контроля над кредитным риском и оздоровлением проблемных областей. Ниже приведены некоторые примеры пересечений между операционным риском и кредитным риском:

• Внутреннее мошенничество: изменение сотрудником данных, представленных заемщиком в целях оценки кредитоспособности (например, изменение параметров оценки, таких как личные данные или данные о залоге, а также оставление без внимания негативных событий, связанным с заемщиком); предоставление кредитов фиктивным клиентам; неправомерное реализация залога; мошенничество при идентификации личности заемщика;

• Внешнее мошенничество: представление недостоверных персональных данных или фиктивных данных о финансовом состоянии получателя кредита; фальсификация оценок внешнего оценщика относительно залога; представление счетов / счетов-фактур, касающихся фиктивных или уже погашенных кредитов;

• Клиенты, продукты и бизнес-практика: небрежное или халатное управление кредитами в нарушение внутренних правил или соответствующего законодательства;

• Управление исполнением, доставкой и процессами: невозможность взыскания задолженности из-за потери кредитной документации; задержка в погашении кредита; халатность в оценке кредитоспособности клиента; халатность при мониторинге кредита; неполное или неправильное управление дополнениями к договору; халатность при сборе, управлении и сохранении залога (например, недостатки в управлении залогом из-за ошибок при подготовке соответствующей документации: недействительные положения, неоднозначные условия и т. д.).

В настоящее время для учреждений, использующих AMA-подход (усовершенствованный подход, согласно Базель), убытки от операционного риска, связанные с кредитным риском, исторически включаемые во внутренние базы кредитного риска, должны регистрироваться в базах данных операционного риска и идентифицироваться отдельно. Такие убытки не подлежат учету в капитале на покрытие операционного риска при условии, что учреждения продолжают учитывать их в капитале на покрытие кредитного риска. В частности, в ЕВА[2] (2015) конкретно упоминаются два вида операционного риска, связанные с кредитным риском: мошенничество «от первого лица» и «от третьего лица» (статья 30 (1)). Мошенничество от первого лица происходит на начальном этапе жизненного цикла кредитного продукта или кредитного процесса и совершается клиентом с использованием его собственного лицевого счета (например, побуждение к принятию решений о выдаче кредита на основе поддельных или недостоверных финансовых документов, таких как несуществующее или оцененное по завышенной стоимости обеспечение и поддельные справки о заработной плате). Напротив мошенничество от третьего лица, которое всегда происходит в рамках кредитного продукта или кредитного процесса, совершается третьей стороной, которая действует незаконно, используя учетные данные другого (не подозревающего) лица (например, мошенничество с использованием электронных данных, фишинг и использование данных других клиентов или фиктивных идентификационных данных в заявке на кредит; мошенническое использование кредитных карт клиентов третьими лицами).

2.3.2 Операционный риск и рыночный риск

Под термином события «кросс-рыночного» риска мы понимаем случаи, причиной которых послужил операционный риск (например, покупка / продажа финансовых инструментов по неверной стоимости), но которые не покрываются средствами контроля рыночного риска. Ниже приведены некоторые примеры пересечений между операционным риском и рыночным риском:

• Внутреннее мошенничество: закрытие операций трейдерами по нерыночным ценам / параметрам;

• Перерывы в бизнесе и сбои систем: частичная или полная недоступность систем доступа к рынку, препятствующая правильному исполнению операций;

• Управление исполнением, доставкой и процессами: ошибки во время исполнения заказов (например, покупка / продажа неверных ценных бумаг; совершение покупок, а не заказов на продажу, и наоборот; обработка заказов с ошибками в количестве финансовых инструментов или в валюте покупки); закрытие позиций из-за ошибок в процессе оценки (невозможность обновить цены или другие соответствующие параметры).

В 2010 году CEBS[3] рассмотрела вопрос «Операционный риск в сравнении с рыночным риском», определив некоторые критерии различия между этими двумя рисками (CEBS 2010). Соответственно, в рамки операционного риска должно входить:

• События из-за операционных ошибок (например, ошибки ввода или исполнения заказов, ошибки классификации из-за программного обеспечения, используемого фронт-офисом и центральным офисом, техническая недоступность рынка).

• События, вызванные сбоями в системе внутреннего контроля (сбои в работе контрольных процедур, превышение лимитов и т. д.).

• События, зависящие от неправильного выбора моделей вне четко определенных процессов и формализованных процедур (например, выбор модели без проверки ее пригодности для оценки финансового инструмента, и для текущих рыночных условий).

• События, возникающие из-за неправильной реализации моделей (например, ошибки во ИТ-внедрении выбранной модели).

Во всех вышеупомянутых случаях потери должны быть включены в «область потерь по операционному риску», если только позиция не намеренно остается открытой после признания события операционного риска. В этом последнем случае любая доля убытков из-за неблагоприятных рыночных условий, возникающих после решения о сохранении открытой позиции, должна быть отнесена к рыночному риску.

И наоборот, сфера действия операционного риска должна исключать те события, которые вызваны неправильным выбором модели, если такой выбор делается посредством формализованного корпоративного процесса, в котором тщательно изучаются плюсы и минусы модели.

В частности, для учреждений, использующих AMA-подход, EBA (2015) определяет «события операционного риска, связанные с финансовыми операциями, в том числе связанные с рыночным риском» (статья 6). Типы рисков, о которых сообщалось в CEBS (2010), как указано выше, в основном соответствуют положениям, изложенным в статье 6 EBA, где, однако, риск моделей не упоминается. Вместо этого модельный риск определен в Статье 5 EBA (2015): «События операционного риска, связанные с модельным риском». В этой статье также упоминаются утвержденные регулирующим органом внутренние модели: события, связанные с занижением требований к капиталу этими моделями, исключаются из «сферы операционного риска».

При использовании AMA-подхода в капитал на покрытие операционного риска также должны включаться потери операционного риска, связанные с рыночными рисками.

2.3.3 Операционный риск и стратегический риск.

Во избежание перекосов в банковской системе и штрафов, вытекающих из различий в расчете требований к капиталу на покрытие операционного риска, среди финансовых учреждений также должно быть четкое и общее определение событий и воздействий, рассматривающихся как операционные риски и как стратегические риски. Кроме того, полное понимание различий между управлением стратегическим и операционным риском – это ключ, позволяющий сотрудникам организации управлять риском и защищать организации от ущерба.

С одной стороны, текущий подход рассматривает как убытки от операционного риска те потери, которые были вызваны официальными расчетами или добровольным решением организации, желающей предотвратить любой будущий правовой риск. В сферу операционного риска также включаются события, возникающие из-за внутренних несоответствий и ошибок, и внешние события, возникающие при реализации проекта. С другой стороны, потери от реализации стратегического риска — это убытки, возникающие в результате неправильных или неуместных стратегических решений, не связанных с нарушением правил, норм или этического поведения, и не вызванные правовым риском (CEBS 2010).

Как описано в CEBS, объем операционного риска распространяется на следующие примеры (перечень не является завершенным):

• Агрессивные продажи, вытекающие из отдельных инициатив или из политики компании по достижению конкретных целей, с последующим нарушение законодательства, внутренних правил или этического поведения;

• толкование нормативных актов, противоречащее отраслевой практике;

• Возврат средств клиентам в результате событий операционного риска, до того, как клиенты подадут жалобу, но, после того, как организация уже была обязана возместить другим клиентам убытки за то же событие;

• Ошибки при уплате налогов, приводящие к убыткам (например, штрафы, проценты по задолженности).

В противоположность этому, в рамки операционного риска не включаются следующие аспекты:

• Неправильные решения при слиянии/поглощении и при организационно-управленческой проверке;

• Решения, несовместимые с уровнем чувствительности к риску компании, когда эти решения не нарушают правил, норм или этического поведения;

• Возврат средств клиентам по собственной инициативе компании, где нет нарушения правил, норм или этического поведения.

Кроме того, поскольку некоторые стратегические вопросы могут влиять на организацию в целом — а не на одну или несколько ее частей — и увеличивать подверженность организации риску, стратегические риски управляются на уровне совета директоров, тогда как операционный риск влияет на повседневную работу и, следовательно, управляется в основном на уровне риск-менеджеров.

2.3.4 Операционный риск и репутационный риск.

В отличие от вышеупомянутых случаев, для которых надзорные органы предоставили документацию и описания, на связь операционного риска и репутационного официальных ссылок нет. Однако связи между двумя типами риска есть и многочисленны.

Действительно, события операционного риска, в первую очередь связанные с отношениями с клиентами и нарушениями законодательства, во многих случаях наносят ущерб репутации банка, особенно если получают широкое освещение в СМИ. Например, недоступность ИТ-систем может привести к соответствующему репутационному ущербу даже в случае незначительных сбоев. Так, сбой, препятствующий некоторым клиентам осуществлять онлайн-торговлю, повлечет последующие жалобы пострадавших клиентов и усиленное распространение новостей в СМИ. Репутации банка будет нанесен непоправимый ущерб.

Существуют некоторые типы операционного риска, которые встречаются часто, но имеют незначительное влияние, и если их рассматривать отдельно от их репутационного компонента, могут быть в значительной степени недооценены при разработке стратегий минимизации риска. Случай с банкоматом (ATM) является подходящим примером: хотя частые сбои могут не повлечь за собой значительные потери, эти события могут сильно повлиять на способность банка развивать деловые отношения с текущими клиентами или привлекать новых. Другим примером является распространение дистанционного обслуживания, которое предоставило банковской отрасли прекрасную возможность для развития новых коммерческих каналов. Несмотря на свой потенциал, этот инструмент влечет за собой риск утраты доверия клиентов, если их информация не защищена должным образом: на самом деле, сейчас задача IT риск-менеджера не ограничивается мониторингом рисков, связанных с доступом к данным, а распространяется на проблемы целостности и конфиденциальности информации и тесно связана с кибер-риском.

Следовательно, операционный и репутационный риск могут быть сильно взаимосвязанны. Действительно, несколько случаев ущерба репутации, нанесенного финансовой системе, показывают, как операционный риск может вызвать репутационный риск. Так было в случае со скандалом с участием Société Générale в 2008 году, упомянутым выше: помимо потери в размере 7,1 млрд. долларов США и падения стоимости ценных бумаг на фондовой бирже, банк также пострадал от шумихи в СМИ. Аналогично, в 2004 году LTSB был оштрафован за ненадлежащую продажу финансовых продуктов своим розничным клиентам, таким образом нанеся значительный ущерб своему имиджу (Bazzarello и Де Мори 2009).

Следовательно, интеграция оценок операционного риска с количественными и качественными оценками репутационного риска имеет ключевое значение. Также важно, чтобы возможная количественная оценка репутационного риска позволила избежать двойного учета убытков в расчет требований к общему капиталу финансового учреждения.

Принимая во внимание эти взаимосвязи, было бы также целесообразно для банков принять стратегии минимизации рисков, нацеленные на ограничение подверженности и операционному, и репутационному риску. Такие стратегии должны содержать несколько подходов: от ревизии процессов для улучшения системы внутреннего контроля до инвестиций в информационные технологии, внедрения культуры осведомленности о «рисках» и ограничения деловой активности согласно установленному риск-аппетиту организации к операционному или репутационному риску.

Наконец, выбранные стратегии минимизации должны поддерживаться разумной коммуникационной стратегией, которая в некоторых случаях может быть более эффективной, чем только предотвращение рисков и управление ими. В случае подверженности банка риску мошенничества и ненадлежащего размещения финансовых инструментов клиентов, своевременное уведомление о произошедших событиях, и наличие плана действий банка имеет основополагающее значение для управления экономическими последствиями, связанными как с операционными, так и с репутационными рисками.

2.3.5. Операционный риск и комплаенс-риск.

Как указано в разд. 2.2, CRD (Директива 2013/36 / EU) прямо включает правовой риск в определение операционного риска, в прямом соответствии с Базель 2.
Правовой риск охватывает все виды событий, приводящих к потерям/ другим расходам, и являющихся следствием нарушения правил, приведших к судебным разбирательствам / добровольным действиям организации во избежание будущих правовых рисков. Должностные преступления недвусмысленно включены в перечень событий правового риска. EBA (2015), статья 4, дает детальное определение риска, объясняя значение «нарушения правил», «правил», «судебного разбирательства», «других добровольных действий» и «других расходов».

Тем не менее, Базельский комитет проводит различие между операционным риском (BCBS[4] 2004) и комплаенс-риском (BCBS 2005). С одной стороны, операционный риск — это «риск потери в результате ошибок и сбоев во внутренних процессах, действиях персонала и систем или в результате внешних событий. Это определение включает правовой риск, но исключает стратегический и репутационный риск». Кроме того, правовой риск включает, но не ограничивается, штрафы, взыскания или санкции как надзорных органов, так и частных организаций. С другой стороны, комплаенс-риск определяется как риск юридических или нормативных санкций, существенных финансовых потерь или потери репутации, которые банк может понести в результате несоблюдения законов, нормативных актов, собственных стандартов саморегулирования и кодексов поведения, применимых в банковской деятельности. Определения, представленные выше (BCBS 2004, 2005), представляют четкие различия между двумя видами рисков как с точки зрения как событий, так и последствий, и впоследствии некоторые события легко можно отнести к определенному типу риска (например, ущерб, вызванный стихийными бедствиями, вандализм, внешнее мошенничество и другие внешние события явно относятся только к операционному риску). Еще одно различие, которое ясно выявляется при сравнении определений, относится к последствиям. В отличие от комплаенс-риска, количественная оценка операционного риска не отражает влияние риска на репутацию: действительно, в определении операционного риска репутационный риск исключается явно, в то время как ссылка на репутацию появляется в определении комплаенс-риска.

Тем не менее, есть множество точек соприкосновения, которые позволяют рассматривать комплаенс-риск как компонент риска операционного, и приводят к множественной синергии и коллаборации между подразделениями, управляющими двумя типами риска. Это также признается Базельским комитетом (BCBS 2005), согласно которому существует «тесная связь между комплаенс-риском и определенными аспектами операционного риска» вследствие существования «серой зоны».

Фактически, существование кросс-кейсов возникает из «серой зоны», которая включает в себя нарушение договора (непосредственно включено в перечень событий, ведущих к операционному риску) и банковскую ответственность банка за поведение, несоответствующее нормам комплаенс, что приводит к судебным процессам, включенным в правовой риск (ABI и DIPO 2009). Включение правового риска в операционный риск — первая и главная причина размытия границ между различными формами риска.

Сравнивая причины операционного и комплаенс-риска (Таблица 2.2), мы можем доказать, что нарушение правил и внутренних процедур характерно для обоих видов, и что существует огромное разнообразие событий операционного риска, включая так называемый «чистый» риск. Существует некоторая неопределенность в отношении того факта, что все несоответствия правилам автоматически преобразуются в комплаенс-риск: спектр событий операционного риска будет произвольно сокращен. Например, внутреннее мошенничество, допущенное неадекватной процедурой контроля при авторизации операций, будет включено в комплаенс-риск, несмотря на то, что это риск операционный. То же самое относится и к сбою ИТ-системы в ходе стихийного бедствия, при котором из-за нарушения системы непрерывности бизнеса не произошло восстановление операций: это тоже событие операционного, а не комплаенс-риска. Кроме того, преднамеренность действий не должна являться веским отличительным критерием, поскольку противоправное поведение не может оцениваться по-другому, будучи оправданным просто как проявление небрежности или забывчивости, преднамеренной или нет (Birindelli and Ferretti 2013). В таблице 2.2 показано огромное разнообразие последствий комплаенс-риска: в ней сделана четкая ссылка к утрате деловой репутации (риск второго уровня), тогда как потери должны быть материальными, с исключением (дискуссионно) незначительного ущерба в зависимости от нормативных нарушений. Комплаенс-риск может влиять (или не влиять) на репутацию, и репутационный риск может предположительно возникать без генерации комплаенс-риска, в соответствии с его природой риска второго уровня: операционная ошибка также может повлиять на имидж банка. Однако исключение репутационного риска из операционного риска, чьи события часто приводят к ухудшению имиджа, вызывает возражения в литературе (Lawrence 2003).

Таблица 2.2. BCBS: сравнение определений риска (Birindelli and Ferretti 2013).

Кроме того, правовой риск, как компонент операционного риска, не включает влияние на репутацию банка. Более того, его причины отличаются от тех причин, что вызывают комплаенс-риск: несмотря на общие источники, нарушение правил саморегулирования следует отнести только к комплаенс-риску. И наоборот, убытки, возникающие из-за неадекватной и неправильной юридической документации или из-за документации с чрезмерно обременительными условиями для банка, включаются в правовой риск, так же как и потери из-за несоответствующего поведения со стороны контрагентов банка, а не самого банка.

Сходство между подразделением комплаенс и подразделением операционного риска проистекает из управления общими рисками, а также из того факта, что они оба представляют собой контролирующие структуры второго уровня с задачей идентифицировать риски процессов, реализуемых различными структурами. Для достижения общей цели должна быть создана модель эффективной синергии: кросс-риск менеджмент, чему способствует взаимный обмен информацией и ее проверка (Birindelli and Ferretti 2013).

Наконец, стоит отметить, что взаимосвязь между комплаенс-риском и правовым риском проанализирована с точки зрения банков, работающих в общей правовой системе (Terblanché 2012). Комплаенс-риск должен рассматриваться как компонент правового риска и, в свою очередь, также как компонент операционного риска в общей правовой системе. Тербланше (2012) определяет правовой риск как широкую концепцию, которая включает в себя все аспекты правовой системы, в то время как комплаенс-риск является более узкой концепцией, которая включает только кодифицированные аспекты правовой системы. Таким образом, правовой риск включает в себя комплаенс-риск, но комплаенс-риск не включает в себя правовой риск.

2.4 Заключение.

В течение долгого времени операционный риск признавался только как технический вопрос. В отличие от кредитного и рыночного рисков, полагаемых руководителями банков как основной источник беспокойства, ученые, казалось, не интересовались этой темой. Исследователи заинтересовались этой темой только в последние годы, когда Базельский комитет по банковскому надзору начал публиковать информацию о том, как банки должны управлять своей подверженностью операционному риску. Такие события, как крах банка Barings в 1995 году и другие финансовые скандалы (например, Daiwa, Enron, Sumitomo и т. д.), подчеркнули реальную опасность операционного риска с точки зрения прямых потерь и ущерба репутации, и убедили банковскую индустрию обращаться с ним осторожно.

С тех пор операционный риск был предметом нескольких исследований. Многие анализы сфокусировались на профиле операционного риска банка, описанном матрицей бизнес-линий и типов событий, а также на основных факторах, лежащих в основе подверженности банка операционному риску. Большое внимание также уделялось эволюции операционного риска с течением времени и его взаимосвязи с другими банковскими рисками. Все эти обсуждения нашли общую платформу в Базель 2, где, среди прочего, операционному риску впервые было дано определение. Это определение подняло вопросы необходимости четкого разграничения операционного риска и других видов рисков (кредитный, рыночный, стратегический, репутационный и риск соблюдения), чтобы избежать дублирования в управлении ими.

[1] Прим. переводчика: в качестве иллюстрации возможно привести случай кредитования по подложным документам, когда физическое лицо предоставляет фиктивную справку о доходах, получает кредит, а потом уходит в дефолт из-за невозможности обслуживать долг. Таким образом, реализуется кредитный риск – вынос задолженности заемщика на счета просроченных ссуд. Однако причиной реализации кредитного риска послужил риск операционный – целенаправленные мошеннические действия клиента. Событие должно быть зафиксировано в системе учета инцидентов операционного риска, но в целях корректного учета, должно учитываться при формирования капитала на покрытие потерь по кредитному риску.

[2] European Banking Authority. Европейское банковское управление. Регулирующий орган, который работает для поддержания финансовой стабильности в банковской отрасли Европейского союза (ЕС). Европейское банковское управление (EBA) было создано в 2010 году Европейским парламентом и заменило Комитет европейских банковских надзоров (CEBS)

[3]Committee of European Banking Supervisors. Европейский комитет органов банковского надзора.

Источник