Методичні вказівки з інспектування банків "Система оцінки ризиків"

Операційно-технологічний ризик - це потенційний ризик для довгострокового існування банківської установи, що виникає через недоліки корпоративного управління, системи внутрішнього контролю або інформаційних технологій і процесів обробки інформації з точки зору керованості, універсальності, надійності, контрольованості і безперервності роботи.

Такі недоліки можуть призвести до фінансових збитків через помилку, невчасне виконання робіт або шахрайство чи стати причиною того, що інтереси банку постраждають у якийсь інший спосіб, наприклад, дилери, кредитні працівники або інші працівники банку перевищать свої повноваження або здійснюватимуть операції в порушення етичних норм або із занадто високим ризиком. Операційно-технологічний ризик виникає також через неадекватність інформаційних технологій і процесів обробки інформації з точки зору керованості, універсальності, надійності, контрольованості і безперервності роботи, у тому числі через неадекватність стратегії, політики і використання інформаційних технологій. До інших аспектів операційно-технологічного ризику належать імовірність непередбачених подій, наприклад пожежі або стихійного лиха.

Для оцінки операційно-технологічного ризику наглядовці мають враховувати викладені нижче фактори. Ці фактори є рекомендованими критеріями; їх перелік може бути розширений наглядовцями в разі потреби. Вони є оглядом моментів, які можуть допомогти наглядовцю приймати рішення в межах системи оцінки ризиків. Фактичні дані наявної в банку постійно діючої системи оцінки та контролю ризиків мають забезпечувати прийняття керівництвом адекватних та ефективних рішень і враховуються наглядовцями під час оцінки ризику банку.

Це такі фактори:

існування адекватної, ефективної, доведеної до виконавців внутрішньої нормативної бази (положень, процедур тощо) щодо управління операційно-технологічним ризиком, затвердженої відповідними органами банку виходячи з принципів корпоративного управління, а також відповідної практики виконання її вимог;

кількість та складність обробки операцій порівняно з рівнем розвитку і потужністю операційних і контрольних систем, враховуючи попередні результати роботи цих систем, їх поточний стан та перспективи подальшого вдосконалення;

ймовірність технологічних та операційних збоїв, перевищення повноважень персоналом, недоліки в попередньому аналізі операцій під час прийняття рішень, а також відсутність (у тому числі тимчасова) моніторингу або реєстрації операцій з клієнтами або контрагентами;

наявність та дотримання банком технологічних карт здійснення операцій;

наявність, кількість, причини та характер порушень процедур адміністративного і облікового контролю;

потенційна можливість фінансових збитків унаслідок:

помилки виконавців або шахрайства;

низької операційної конкурентоспроможності банку;

неадекватності наявних інформаційних систем;

неповної інформації щодо контрагента або операції;

операційних та технологічних збоїв;

історія та характер скарг та звернень клієнтів до банку у зв'язку з недоліками роботи операційних систем та реакція на них банку;

обсяги та адекватність засобів контролю за банківським програмним забезпеченням та його супроводженням та іншими послугами, які здійснюються із залученням третіх осіб (аутсорсингу);

адекватність стратегії щодо інформаційних технологій, стратегія щодо інформаційних технологій має відповідати поточним та передбачуваним вимогам щодо діяльності банку і враховувати структуру технічних засобів, телекомунікаційних засобів, програмного забезпечення, даних і мереж, а також цілісність інформаційної бази даних;

існування процесу для:

визначення інформаційних потреб для ефективного управління банком;

визначення архітектури інформаційних систем для обробки операцій і надання продуктів та послуг;

забезпечення достовірності та збереження інформації (наприклад, створення, обробка, зберігання та надання даних). Це включає планування заходів забезпечення безперервної діяльності;

забезпечення своєчасної підготовки і використання управлінської інформації;

рівень кваліфікації та навичок менеджерів та працівників;

існування належних механізмів контролю для моніторингу точності інформації, належних облікових підходів і дотримання положень або законів.

Урахування викладених нижче факторів надає можливість оцінити кількість операційно-технологічного ризику:

Урахування викладених нижче факторів надає можливість оцінити якість управління операційно-технологічним ризиком:

Узагальнені висновки:

Кількість операційно-технологічного ризику:

Якість управління операційно-технологічним ризиком:

Інспектори мають враховувати як кількість операційно-технологічного ризику, так і якість управління ним, щоб зробити такі висновки:

Сукупний операційно-технологічний ризик:

Очікується, що напрям зміни ризику буде:

Ризик репутації - це наявний або потенційний ризик для надходжень та капіталу, який виникає через несприятливе сприйняття іміджу фінансової установи клієнтами, контрагентами, акціонерами (учасниками) або органами нагляду. Це впливає на спроможність банку встановлювати нові відносини з контрагентами, надавати нові послуги або підтримувати відносини, що тривають. Цей ризик може привести банківську установу (або її керівників) до фінансових втрат або зменшення клієнтської бази, у тому числі до притягнення до адміністративної, цивільної або кримінальної відповідальності. Ризик репутації має місце на всіх рівнях організації, і тому банки мають відповідально ставитися до своїх відносин із клієнтами та суспільством.

Публічне сприйняття іміджу банку можна поділити на дві категорії:

сприйняття ринком, наприклад нинішніми або потенційними клієнтами, контрагентами, акціонерами (учасниками);

сприйняття органами державного регулювання, наприклад Національним банком України, Державною комісією з цінних паперів та фондового ринку, Державною податковою адміністрацією, іншими уповноваженими органами.

Для оцінки ризику репутації наглядовці мають ураховувати викладені нижче фактори. Ці фактори є рекомендованими критеріями; їх перелік може бути розширений наглядовцями в разі потреби. Вони є оглядом моментів, які можуть допомогти наглядовцю приймати рішення в межах системи оцінки ризиків. Фактичні дані наявної в банку постійно діючої системи оцінки та контролю ризиків мають забезпечувати прийняття керівництвом адекватних та ефективних рішень і враховуються наглядовцями під час оцінки ризику банку.

Це такі фактори:

сприйняття ринком або суспільством менеджменту і фінансової стабільності банку;

сприйняття ринком або суспільством продуктів або послуг, які пропонує банк;

бажання та здатність керівництва банку коригувати бізнес-стратегії відповідно до змін у законодавстві, кон'юнктури ринку або інших факторів (наприклад, припинення або обмеження дії окремих пунктів ліцензії, зміна статусу банку тощо);

практика роботи банку щодо аналізу перспектив розширення спектру продуктів та послуг та розроблення відповідної внутрішньої нормативної бази, у тому числі щодо перевірки клієнтів та отримання інформації про них. Перспективи збереження такої практики надалі;

обсяг послуг довірчого управління та умови їх здійснення;

характер та обсяг скарг та звернень від клієнтів і здатність та бажання керівництва відповідно реагувати на них;

існування дуже гучної або помітної судової справи, яка негативно впливає на імідж банку;

штрафи, пені та інші фінансові збитки, завдані банку в минулому в результаті притягнення банку (або його керівників) до адміністративної, цивільної або кримінальної відповідальності;

результати перевірок уповноважених органів державного регулювання, бажання та здатність керівництва відповідно реагувати на їхні рекомендації;

участь банку у Фонді гарантування вкладів фізичних осіб.

Урахування цих факторів надає можливість оцінити сукупний ризик репутації:

Узагальнені висновки:

Сукупний ризик репутації:

Очікується, що напрям зміни ризику буде:

Юридичний ризик - це наявний або потенційний ризик для надходжень та капіталу, який виникає через порушення або недотримання банком вимог законів, нормативно-правових актів, угод, прийнятої практики або етичних норм, а також через можливість двозначного тлумачення законів або правил. Банки наражаються на юридичний ризик через те, що мають відносини з великою кількістю зацікавлених сторін, наприклад, клієнтами, контрагентами, посередниками тощо, органами нагляду, податковими та іншими уповноваженими органами. Юридичний ризик може призвести до сплати штрафних санкцій та адміністративних стягнень, грошового відшкодування збитків, погіршення репутації, погіршення позицій банку на ринку, звуження можливостей для розвитку і зменшення можливостей правового забезпечення виконання угод.

Для оцінки юридичного ризику наглядовці мають враховувати викладені нижче фактори. Ці фактори є рекомендованими критеріями; їх перелік може бути розширений наглядовцями в разі потреби. Вони є оглядом моментів, які можуть допомогти наглядовцю приймати рішення в межах системи оцінки ризиків. Фактичні дані наявної в банку постійно діючої системи оцінки та контролю ризиків мають забезпечувати прийняття керівництвом адекватних та ефективних рішень і враховуються наглядовцями під час оцінки ризику банку.

Це такі фактори:

існування адекватної, ефективної, доведеної до виконавців внутрішньої нормативної бази (положень, процедур тощо) щодо управління юридичним ризиком, затвердженої відповідними органами банку виходячи з принципів корпоративного управління, а також відповідної практики виконання її вимог;

кількість та серйозність порушень або відхилень від установлених норм або юридичних вимог (серйозність визначається шляхом аналізу частоти, грошової суми та характеру відхилення). Такий аналіз має враховувати як поточні дані, так і дані за минулі періоди;

історія подання скарг, претензій та порушення судових справ клієнтами або іншими особами. Скарги, претензії та судові справи можуть бути пов'язані з:

захистом клієнтом своїх прав, які виникають в результаті використання банківських продуктів або отримання банківських послуг, таких як кредитні, вкладні операції, грошові перекази тощо;

порушеннями норм та вимог законодавства та нормативно-правових актів;

недотриманням інших пруденційних або етичних вимог, установлених самим банком або органами його регулювання;

як положення та повноваження доведено до керівництва та працівників;

наявність своєчасної, достовірної та повної управлінської інформації;

професійний рівень та кваліфікація керівництва та працівників (зокрема працівників юридичної служби);

наявність належних механізмів контролю (внутрішній та зовнішній аудит, відповідні процедури тощо) для забезпечення дотримання норм законодавства та нормативно-правових актів, вимог внутрішньої нормативної бази та укладених угод.

Урахування поданих нижче факторів надає можливість оцінити сукупний юридичний ризик:

Узагальнені висновки:

Сукупний юридичний ризик:

Очікується, що напрям зміни ризику буде:

Стратегічний ризик - це наявний або потенційний ризик для надходжень та капіталу, який виникає через неправильні управлінські рішення, неналежну реалізацію рішень і неадекватне реагування на зміни в бізнес-середовищі. Цей ризик виникає внаслідок несумісності:

стратегічних цілей банку;

бізнес-стратегій, розроблених для досягнення цих цілей;

ресурсів, задіяних для досягнення цих цілей;

якості реалізації цілей банку.

Ресурси, що потрібні для реалізації бізнес-стратегій, можуть бути як матеріальними, так і нематеріальними. До них належать канали взаємодії і обміну інформацією, операційні системи, мережі надання послуг та продуктів і управлінський потенціал та можливості. Внутрішні характеристики організації мають оцінюватися з точки зору впливу економічних, технологічних, конкурентних, наглядових та інших змін зовнішнього середовища.

Для оцінки стратегічного ризику наглядовці мають враховувати викладені нижче фактори. Ці фактори є рекомендованими критеріями; їх перелік може бути розширений наглядовцями в разі потреби. Вони є оглядом моментів, які можуть допомогти наглядовцю приймати рішення в межах системи оцінки ризиків. Фактичні дані наявної в банку постійно діючої системи оцінки та контролю ризиків мають забезпечувати прийняття керівництвом адекватних та ефективних рішень і враховуються наглядовцями під час оцінки ризику банку.

Це такі фактори:

місія, цілі, корпоративні культура та цінності, толерантність банку до ризику;

практика керівництва щодо доведення до виконання, модифікації і реалізації стратегічних планів;

стан виконання стратегічних планів, частота та величина змін у ставленні банку до ризику (толерантності до ризику);

наявні інформаційні системи управління і засоби контролю для моніторингу бізнес-рішень;

вплив на публічний імідж та добре ім'я банку стратегічної позиції, яку банк обрав щодо своїх технологій, продуктів та конкурентів;

плани та можливості щодо структурної реорганізації банку (наприклад, злиття або приєднання);

сумісність стратегічних ініціатив із наявними або запланованими ресурсами;

ринкова позиція банку, включаючи проникнення на ринок на географічному рівні та на рівні продуктів;

диверсифікація банку щодо продуктів, географії та клієнтури;

результати виконання планів банку щодо запровадження нових продуктів або послуг.

Урахування поданих нижче факторів надає можливість оцінити сукупний стратегічний ризик:

Узагальнені висновки:

Сукупний стратегічний ризик:

Очікується, що напрям зміни ризику буде: