Про затвердження Положення про організацію системи управління ризиками в банках України та банківських групах

Відповідно до статей 7, 15 та 56 Закону України "Про Національний банк України", статей 44 та 66 Закону України "Про банки і банківську діяльність", з метою вдосконалення в банках України системи управління ризиками з урахуванням принципів і рекомендацій Базельського комітету з банківського нагляду Правління Національного банку України ПОСТАНОВЛЯЄ:

1. Затвердити Положення про організацію системи управління ризиками в банках України та банківських групах (далі - Положення), що додається.

2. Банкам України/відповідальним особам банківських груп розробити/доопрацювати та запровадити внутрішньобанківські/внутрішньогрупові документи з питань управління ризиками, виконати заходи із запровадження вимог Положення в терміни, установлені в графіку, що додається.

3. Департаменту методології (Іваненко Н.В.) після офіційного опублікування довести до відома банків України інформацію про прийняття цієї постанови.

4. Контроль за виконанням цієї постанови покласти на заступника Голови Національного банку України Рожкову К.В.

5. Постанова набирає чинності з дня, наступного за днем її офіційного опублікування.

1. Це Положення розроблено відповідно до вимог Закону України "Про Національний банк України", Закону України "Про банки і банківську діяльність" та з урахуванням принципів і рекомендацій Базельського комітету з банківського нагляду щодо корпоративного управління та управління ризиками в банках і банківських групах.

2. Це Положення визначає основні цілі та принципи управління ризиками, які виникають за всіма напрямами діяльності банку та банківської групи на всіх організаційних рівнях, і встановлює мінімальні вимоги щодо організації в банку та банківській групі комплексної, адекватної та ефективної системи управління ризиками.

3. Терміни, що використовуються в цьому Положенні, вживаються в таких значеннях:

1) агрегування даних щодо ризиків - виявлення, збір та оброблення даних про ризики, ураховуючи вимоги щодо складання звітності про ризики, що дає змогу оцінити діяльність банку з урахуванням ризик-апетиту. Агрегування даних щодо ризиків уключає також класифікацію, сегментацію, об'єднання чи розбивку даних про ризики;

1-1) активна банківська операція - термін застосовується в значенні, визначеному в Положенні про визначення банками України розміру кредитного ризику за активними банківськими операціями, затвердженому постановою Правління Національного банку України від 30 червня 2016 року № 351 (зі змінами) (далі - Положення № 351);

2) аутсорсер - організація будь-якої форми власності, фізична особа-підприємець або особа, яка провадить незалежну професійну діяльність, обрана банком для виконання на умовах аутсорсингу окремих робіт/функцій (далі - функції) банку;

3) аутсорсинг - передавання функцій банку на виконання аутсорсеру на договірній та регулярній основі з метою оптимізації витрат і процесів у банку;

4) банківська книга - активи та зобов'язання банку (як балансові, так і позабалансові), які не включені до торгової книги;

4-1) бізнес-модель управління фінансовими активами - бізнес-модель, яку банк використовує для управління фінансовими активами з метою генерування грошових потоків, визначена згідно з Інструкцією з бухгалтерського обліку операцій із фінансовими інструментами в банках України, затвердженою постановою Правління Національного банку України від 21 лютого 2018 року № 14 (зі змінами);

5) бізнес-процес - сукупність взаємопов'язаних або взаємодіючих видів діяльності, спрямованих на створення певного продукту або послуги;

5-1) верифікація вартості майна - перевірка достовірності ринкової (справедливої) вартості майна, визначеної оцінювачем під час здійснення ним оцінки майна;

5-2) головний ризик-менеджер (CRO) - головна посадова особа банку, відповідальна за управління ризиками;

5-3) головний комплаєнс-менеджер (CCO) - головна посадова особа банку, відповідальна за здійснення контролю за дотриманням норм (комплаєнс);

6) декларація схильності до ризиків (RAS - Risk Appetite Statement) - внутрішньобанківський/внутрішньогруповий документ, який визначає сукупну величину ризик-апетиту, види ризиків, які банк прийматиме або уникатиме з метою досягнення його бізнес-цілей, та рівень ризик-апетиту щодо кожного з них (індивідуальний рівень);

7) диверсифікація - обмеження впливу фактора ризику за рахунок уникнення надмірної концентрації за одним портфелем шляхом пошуку та поєднання портфелів, які за однакових умов приводять до різних не обов'язково прямо протилежних результатів. Диверсифікація є методом пом'якшення ризику, який застосовується як щодо активних, так і пасивних операцій;

8) допустимий рівень ризику (Risk Capacity) - максимальна величина ризику, яку банк у змозі прийняти за всіма видами ризиків з огляду на рівень його капіталу, здатність адекватно та ефективно управляти ризиками, а також з урахуванням регулятивних обмежень;

9) дохідність до погашення (YTM - Yield to Maturity) - сукупна величина дохідності у відсотках річних, яку банк отримає в разі набуття у власність облігації або іншого боргового інструменту на дату оцінки за поточною ринковою (справедливою) вартістю за умови утримання такого інструменту до погашення;

10) дюрація - середньозважений строк до отримання грошових потоків за облігацією або іншими фінансовими інструментами з фіксованим прибутком;

11) економічна вартість капіталу (EVE - Economic Value of Equity) - теперішня вартість чистих майбутніх грошових потоків за фінансовими інструментами банківської книги;

12) інформаційна система щодо управління ризиками - сукупність технічних засобів, методів і процедур, що забезпечують реєстрацію, зберігання, оброблення, моніторинг і своєчасне формування достовірної інформації для звітування (інформування), аналізу та прийняття своєчасних та адекватних управлінських рішень щодо управління ризиками;

13) кіберризик - уживається в значенні, визначеному в Положенні про здійснення контролю за дотриманням банками вимог законодавства з питань інформаційної безпеки, кіберзахисту та електронних довірчих послуг, затвердженому постановою Правління Національного банку України від 16 січня 2021 року № 4;

14) комплаєнс-ризик - імовірність виникнення збитків/санкцій, додаткових втрат або недоотримання запланованих доходів або втрати репутації внаслідок невиконання банком вимог законодавства, нормативно-правових актів, ринкових стандартів, правил добросовісної конкуренції, правил корпоративної етики, виникнення конфлікту інтересів, а також внутрішньобанківських/внутрішньогрупових документів банку;

15) кредит - термін застосовується в значенні "кредитна операція", визначеному в Положенні № 351;

16) кредитний ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок невиконання боржником/контрагентом узятих на себе зобов'язань відповідно до умов договору. Кредитний ризик виникає за всіма активними банківськими операціями, за винятком боргових цінних паперів та інших фінансових інструментів у торговій книзі банку;

17) культура управління ризиками - дотримання визначених банком принципів, правил, норм банку, спрямованих на проінформованість усіх працівників банку щодо прийняття ризиків та управління ризиками;

18) ліміт ризику - обмеження, установлені банком для контролю величини ризиків, на які наражається банк протягом своєї діяльності;

19) модифікована дюрація - показник, що відображає вплив зміни дохідності до погашення на вартість облігації або іншого фінансового інструменту з фіксованим прибутком;

20) необтяжені активи - активи банку, щодо яких немає юридичних, регуляторних або операційних перешкод для надання їх як застави для залучення фінансування або продажу іншій стороні;

21) непрацюючі активи - активи банку, визначені як непрацюючі згідно з вимогами Положення № 351;

22) операційний ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок недоліків або помилок в організації внутрішніх процесів, навмисних або ненавмисних дій працівників банку або інших осіб, збоїв у роботі систем банку або внаслідок впливу зовнішніх факторів. Операційний ризик уключає юридичний ризик, однак має виключати ризик репутації та стратегічний ризик;

23) опуклість (convexity) - показник, що характеризує чутливість дюрації облігації або іншого фінансового інструменту з фіксованим прибутком до зміни дохідності до погашення та уточнює вплив процентних ставок на поточну вартість облігації або іншого інструменту з фіксованим прибутком;

24) передавання ризику - передавання банком своєї відповідальності за ризик іншим особам за винагороду зі збереженням наявного рівня ризику;

25) передрозрахунковий ризик (Pre-Settlement Risk) - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок дефолту контрагента за договором до початку виконання своїх зобов'язань будь-якою зі сторін договору;

26) підрозділ з управління ризиками - підрозділ, очолюваний головним ризик-менеджером, або підрозділ(и), очолюваний(і) керівником(ами) підрозділу(ів) та підпорядкований(і) головному ризик-менеджеру, який(які) забезпечує(ють) виконання функцій з управління ризиками, визначених законодавством України та цим Положенням;

27) підрозділ контролю за дотриманням норм (комплаєнс) - підрозділ, очолюваний головним комплаєнс-менеджером, або підрозділ(и), очолюваний(і) керівником(ами) підрозділу(ів) та підпорядкований(і) головному комплаєнс-менеджеру, який(які) забезпечує(ють) виконання функцій з управління комплаєнс-ризиком, визначених законодавством України та цим Положенням;

28) пом'якшення ризиків - комплекс заходів, спрямованих на зменшення ймовірності виникнення ризику та/або зменшення впливу ризику на результати діяльності банку;

29) прийняття ризиків - утримання ризиків на рівні, що перебуває в межах визначеної банком схильності до ризиків (ризик-апетиту) та не створює загрози для інтересів вкладників, інших кредиторів, власників банку та фінансової стійкості банку;

29-1) проблемні активи - термін застосовується в значенні, визначеному в Положенні про організацію процесу управління проблемними активами в банках України, затвердженому постановою Правління Національного банку України від 18 липня 2019 року № 97 (зі змінами) (далі - Положення № 97);

30) профіль ризику - результат оцінки рівня ризиків банку на певну дату до врахування заходів для мінімізації ризиків, а також з урахуванням таких заходів, у розрізі кожного з видів ризику та в агрегованому вигляді;

31) процентний ризик банківської книги - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок впливу несприятливих змін процентних ставок на банківську книгу. Процентний ризик банківської книги впливає на економічну вартість капіталу банку та чистий процентний дохід банку;

32) ризик - імовірність виникнення збитків або додаткових втрат або недоотримання доходів, або невиконання стороною договірних зобов'язань унаслідок впливу негативних внутрішніх та зовнішніх факторів;

33) ризик-апетит (схильність до ризику) - сукупна величина за всіма видами ризиків та окремо за кожним із ризиків, визначених наперед та в межах допустимого рівня ризику, щодо яких банк прийняв рішення про доцільність/необхідність їх утримання з метою досягнення його стратегічних цілей та виконання бізнес-плану;

33-1) ризик інформаційної безпеки (складова операційного ризику) - імовірність виникнення збитків або додаткових втрат, або недоотримання запланованих доходів унаслідок порушення конфіденційності, цілісності, доступності даних в інформаційних системах банку, недоліків або помилок в організації внутрішніх процесів або настання зовнішніх подій, уключаючи кібератаки або неадекватну фізичну безпеку. Ризик інформаційної безпеки включає кіберризик;

33-2) ризик інформаційно-комунікаційних технологій (далі - ризик ІСТ) (складова операційного ризику) - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок несправності або невідповідності інформаційно-комунікаційних технологій бізнес-потребам банку, що може призвести до порушення їх сталого функціонування, або недоліків в організації управління такими технологіями;

34) ризик країни - імовірність виникнення збитків або додаткових втрат, або недоотримання доходів унаслідок впливу на діяльність боржника-контрагента несприятливих умов в економічній, соціальній, політичній сферах іншої країни;

35) ризик ліквідності - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок неспроможності банку забезпечувати фінансування зростання активів та/або виконання своїх зобов'язань у належні строки;

36) ризик репутації - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок несприятливого сприйняття іміджу банку клієнтами, контрагентами, акціонерами, наглядовими та контролюючими органами;

37) ризик розрахунків (Settlement Risk) - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок невиконання контрагентом своїх зобов'язань після того, як банк виконав свою частину зобов'язань;

38) ринковий ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок несприятливого впливу факторів ринкового ризику (курсів іноземних валют, процентних ставок та/або інших факторів) на вартість/ціну інструментів;

38-1) сервіси ІСТ - сервіси, що надаються через системи інформаційно-комунікаційних технологій (далі - ІСТ) внутрішнім або зовнішнім користувачам, включаючи введення даних, зберігання даних, послуги з обробки даних та звітності, а також моніторинг та сервіси з підтримки бізнесу та прийняття рішень;

39) система управління ризиками - сукупність належним чином задокументованих і затверджених політики, методик і процедур управління ризиками, які визначають порядок дій, спрямованих на здійснення систематичного процесу виявлення, вимірювання, моніторингу, контролю, звітування та пом'якшення всіх видів ризиків на всіх організаційних рівнях;

40) стратегічний ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок неправильних управлінських рішень та неадекватного реагування на зміни в бізнес-середовищі;

41) стрес-сценарій - модель можливого розвитку подій (обставин) унаслідок впливу різних факторів ризиків, виникнення яких може завдати шкоди фінансовому стану та/або ліквідності банку;

42) стрес-тестування - метод вимірювання ризику, що дає змогу оцінити потенційні несприятливі результати впливу ризиків як величину збитків, що можуть стати наслідком шокових змін різних факторів ризиків (курсів іноземних валют, процентних ставок та/або інших факторів), які відповідають виключним (екстремальним), але ймовірним подіям;

42-1) товар - біржовий товар у значенні, визначеному в Законі України "Про товарні біржі", та дорогоцінні метали;

43) торгова книга - інструменти, які утримуються з метою торгівлі або хеджування ризиків інструментів торгової книги та обліковуються на торгових рахунках;

43-1) торгові рахунки - визначені банком у бухгалтерському обліку аналітичні рахунки, за якими обліковуються виключно інструменти, що утримуються в торговій книзі та управляються трейдинг-деск;

44) трансфертний ризик - імовірність виникнення збитків або додаткових втрат, або недоотримання запланованих доходів унаслідок того, що у банку або його боржників/контрагентів, які є нерезидентами, немає можливості отримання іноземної валюти за кордоном та/або перерахування її в Україну;

44-1) трейдер - працівник банку, уповноважений на здійснення від імені та за рахунок банку діяльності з управління інструментами, що утримуються в торговій книзі;

44-2) трейдинг-деск (trading desk) - трейдер(и), який(і) є працівником(ами) банку, або бізнес-підрозділ банку, представлений трейдерами, який(і) управляє(ють) інструментами, що утримуються в торговій книзі. Управляти інструментами, що утримуються в торговій книзі, може виключно трейдинг-деск. Трейдинг-деск не управляє ні прямо, ні опосередковано інструментами, що утримуються в банківській книзі. Трейдинг-деск має право виконувати операції за дорученням клієнтів/інших підрозділів банку;

45) уникнення ризику - відмова від здійснення певних операцій або припинення ділових відносин, які наражають банк на ризик;

46) хеджування - метод пом'якшення ризику, який полягає у визначенні об'єкта хеджування та підборі до нього адекватного інструменту хеджування. Суть хеджування полягає в компенсації збитків від об'єкта хеджування за рахунок прибутку від інструменту хеджування, які виникають за одних і тих самих умов чи подій. За наявності хеджування банк позбавляється як ризику, так і можливості отримання додаткового прибутку (за винятком хеджування за допомогою опціонів): якщо умови чи події будуть сприятливими з точки зору об'єкта хеджування, то будь-який прибуток автоматично перекриватиметься збитками від інструменту хеджування;

47) чистий процентний дохід (NII - Net Interest Income) - різниця між сумою процентних доходів та сумою процентних втрат за активами і зобов'язаннями банківської книги;

48) шокова величина/шокова зміна - гіпотетична величина зміни фактора зовнішнього оточення (рівня процентної ставки, значення валютного курсу), яка використовується в стрес-тестуванні. Шокова величина/шокова зміна має відповідати двом критеріям: бути суттєвою та ймовірною;

49) юридичний ризик - імовірність виникнення збитків або додаткових втрат, або недоотримання запланованих доходів унаслідок неочікуваного застосування норм законодавства через можливість їх неоднозначного тлумачення або унаслідок визнання недійсними умов договору у зв'язку з їх невідповідністю вимогам законодавства України.

Інші терміни, які вживаються в цьому Положенні, використовуються в значеннях, визначених Законом України "Про банки і банківську діяльність", іншими законами України та нормативно-правовими актами Національного банку України (далі - Національний банк).

4. Банк/банківська група (далі - банк) у своїх внутрішньобанківських/внутрішньогрупових документах (далі - внутрішньобанківські документи) мають право встановлювати більш поглиблений підхід до побудови та функціонування системи управління ризиками, адекватний особливостям його діяльності, характеру і обсягам банківських та інших фінансових послуг, дотримуючись мінімальних вимог, визначених у цьому Положенні, та враховуючи рекомендації Базельського комітету з банківського нагляду щодо управління ризиками.

5. Банк створює систему управління ризиками, адекватну його розміру, бізнес-моделі, масштабу діяльності, видам, складності операцій банку, яка забезпечує виявлення, вимірювання (оцінку), моніторинг, звітування, контроль та пом'якшення всіх суттєвих ризиків банку з метою визначення банком величини капіталу, необхідного для покриття всіх суттєвих ризиків, притаманних його діяльності (внутрішнього капіталу).

6. Органи управління відповідальної особи банківської групи несуть відповідальність за ефективність системи управління ризиками в банківській групі.

7. Ефективність, комплексність та адекватність створеної банком системи управління ризиками є предметом оцінки уповноваженими працівниками Національного банку, які здійснюють банківський нагляд у формі інспекційних перевірок та безвиїзного нагляду (далі - уповноважені працівники Національного банку), щодо:

1) відповідності затверджених радою банку стратегії управління ризиками та декларації схильності до ризиків банку його бізнес-моделі та ризикам, які банк спроможний утримувати для досягнення бізнес-цілей;

2) відповідності профілю ризику банку затвердженому радою банку рівню ризик-апетиту;

3) повноти та ефективності впровадження внутрішньобанківських документів;

4) створення та дотримання високої культури управління ризиками, уключаючи забезпечення обізнаності та залучення членів ради банку та членів правління банку, а також інших працівників банку до управління ризиками [періодичності засідань ради банку, інших колегіальних органів за участю головного ризик-менеджера/працівників підрозділу з управління ризиками, головного комплаєнс-менеджера/працівників підрозділу контролю за дотриманням норм (комплаєнс), документування таких засідань], навчання працівників банку з питань управління ризиками;

5) відповідності внутрішньобанківських документів щодо управління ризиками вимогам цього Положення;

6) наявності у головного ризик-менеджера, головного комплаєнс-менеджера належного статусу та відповідної кваліфікації для виконання покладених на них функцій;

7) виконання банком інших вимог, установлених цим Положенням.

8. Оцінка ефективності, комплексності та адекватності, створеної банком системи управління ризиками здійснюється уповноваженими працівниками Національного банку шляхом: аналізу діяльності банку, внутрішньобанківських документів, результатів самооцінювання з боку банку; перевірки процесів, операцій, інструментів з управління ризиками; проведення інтерв'ю з керівниками банку та іншими працівниками банку; оцінки взаємодії ради банку і частоти проведення зустрічей із головним ризик-менеджером та головним комплаєнс-менеджером.

9. Наявність фактів недотримання вимог щодо впровадження й функціонування ефективної системи управління ризиками, порушень норм цього Положення є підставою для негативних висновків щодо організації системи управління ризиками банку, а також застосування до банку/відповідальної особи банківської групи заходів впливу в порядку, установленому Положенням про застосування Національним банком України заходів впливу, затвердженим постановою Правління Національного банку України від 17 серпня 2012 року № 346, зареєстрованим у Міністерстві юстиції України 17 вересня 2012 року за № 159/21902 (зі змінами) (далі - Положення № 346).

10. Банк створює комплексну, адекватну та ефективну систему управління ризиками, яка відповідає таким принципам:

1) ефективність - забезпечення об'єктивної оцінки розміру ризиків банку та повноти заходів щодо управління ризиками з оптимальним використанням фінансових ресурсів, персоналу та інформаційних систем щодо управління ризиками банку;

2) своєчасність - забезпечення своєчасного (на ранній стадії) виявлення, вимірювання, моніторингу, контролю, звітування та пом'якшення всіх видів ризиків на всіх організаційних рівнях;

3) структурованість - чіткий розподіл функцій, обов'язків і повноважень з управління ризиками між усіма структурними підрозділами та працівниками банку, та їх відповідальності згідно з таким розподілом;

4) розмежування обов'язків (відокремлення функції контролю від здійснення операцій банку) - уникнення ситуації, за якої одна й та сама особа здійснює операції банку та виконує функції контролю;

5) усебічність та комплексність - охоплення всіх видів діяльності банку на всіх організаційних рівнях та в усіх його структурних підрозділах, оцінка взаємного впливу ризиків;

6) пропорційність - відповідність системи управління ризиками бізнес-моделі банку, його системній важливості, а також рівню складності операцій, що здійснюються банком;

7) незалежність - свобода від обставин, що становлять загрозу для неупередженого виконання головним ризик-менеджером, головним комплаєнс-менеджером, підрозділом з управління ризиками та підрозділом контролю за дотриманням норм (комплаєнс) своїх функцій;

8) конфіденційність - обмеження доступу до інформації, яка має бути захищеною від несанкціонованого ознайомлення;

9) прозорість - оприлюднення банком інформації щодо системи управління ризиками та профілю ризику.

11. Банк здійснює комплексну оцінку щонайменше таких суттєвих видів ризиків:

1) кредитного ризику;

2) ризику ліквідності;

3) процентного ризику банківської книги;

4) ринкового ризику;

5) операційного ризику;

6) комплаєнс-ризику;

7) інших суттєвих видів ризиків, на які банк наражається під час своєї діяльності.

Банк самостійно встановлює фактори, показники та поріг суттєвості інших видів ризиків на підставі обґрунтованих висновків та визначає порядок виявлення таких ризиків у методиці виявлення суттєвих ризиків.

12. Банк оцінює ризики за інструментами, що містяться як в торговій, так і в банківській книгах. Перелік видів ризиків, які банк має оцінювати залежно від книги, у якій міститься інструмент, наведений у карті ризиків торгової та банківської книг (додаток 1).

13. Банк створює систему управління ризиками, яка щонайменше охоплює види ризиків, наведені в пункті 11 глави 2 розділу I цього Положення.

14. Банк під час оцінки всіх видів ризиків ураховує ризик концентрації.

Банк розглядає ризик концентрації як концентрацію своїх активів та зобов'язань у розрізі:

1) одного боржника/контрагента та групи пов'язаних контрагентів;

2) бізнес-ліній і продуктів;

3) видів економічної діяльності (галузевої концентрації) та географічних регіонів;

4) пов'язаних із контрагентами осіб, чиї фінансові результати залежать від одного виду діяльності чи основного продукту;

5) класів боржників/контрагентів, що визначаються відповідно до вимог Положення № 351;

6) видів забезпечення виконання боржниками та контрагентами своїх зобов'язань;

7) видів валют.

Банк має право розглядати ризик концентрації в інших розрізах додатково до встановлених у пункті 14 глави 2 розділу I цього Положення.

15. Банк створює систему управління ризиками, яка забезпечує аналіз ризиків на постійній основі з метою прийняття своєчасних та адекватних управлінських рішень щодо пом'якшення ризиків та зменшення пов'язаних із ними втрат (збитків).

16. Банк організовує систему управління ризиками, яка ґрунтується на розподілі обов'язків між підрозділами банку із застосуванням моделі трьох ліній захисту:

1) перша лінія - на рівні бізнес-підрозділів банку, включаючи трейдинг-деск, та підрозділів підтримки діяльності банку. Ці підрозділи приймають ризики та несуть відповідальність за них, здійснюють поточне управління ризиками і подають звіти щодо поточного управління такими ризиками;

2) друга лінія - на рівні підрозділу з управління ризиками та підрозділу контролю за дотриманням норм (комплаєнс);

3) третя лінія - на рівні підрозділу внутрішнього аудиту щодо перевірки та оцінки ефективності функціонування системи управління ризиками.

17. Система управління ризиками банку щонайменше має передбачати:

1) організаційну структуру, яка чітко визначає обов'язки, повноваження та відповідальність осіб щодо управління ризиками;