В последние два кризисных года в российской банковской системе наблюдается «эволюция» ключевых банковских рисков, на управление которыми направлены лучшие силы отечественных кредитных организаций. Если в 2008 г. основными рисками были рыночный и риск ликвидности, то в 2009 г. ключевым становится кредитный риск. В 2010 г. большинство российских банков, переживших острую фазу кризиса, столкнулось с новыми разновидностями рисков — стратегическим и операционным (рис. 1). Для наиболее эффективного выхода из кризиса и роста капитализации кредитным организациям потребовалась новая среднесрочная стратегия развития бизнеса. Новые стратегии подразумевают предложение новых кредитных продуктов, внедрение новых информационных технологий, наем дополнительного персонала, возврат компетенций по принятию отдельных кредитных решений в регионы и т.д. Как следствие, возникают дополнительные операционные риски, многие из которых были выявлены в кризисный период. В большинстве российских банков (за исключением дочерних организаций иностранных банков) управление операционными рисками (ОР) находится в зачаточном состоянии. Таким образом, построение системы мониторинга, оценки и управления операционными рисками является не только важной, но и, по сути, совершенно новой задачей.
{module 297}
ОПРЕДЕЛЕНИЕ ОПЕРАЦИОННЫХ РИСКОВ
Существует два основных определения операционных рисков: данное Базельским комитетом по банковскому надзору [1] и определение Центрального банка Российской Федерации [2]:
1) риск потерь, возникающих в результате неточных или ошибочных действий людей, ошибок внутренних процессов / систем или в результате внешних событий;
2) риск возникновения убытков в результате несоответствия внутренних порядков и процедур проведения банковских операций и других сделок характеру и масштабам деятельности кредитной организации и/или требованиям действующего законодательства в результате нарушения указанных порядков и процедур служащими кредитной организации и/или иными лицами (вследствие непреднамеренных или умышленных действий или бездействия), в результате несоразмерности (недостаточности) функциональных возможностей (характеристик) применяемых кредитной организацией информационных, технологических и других систем и/или их отказов (нарушений функционирования), а также в результате воздействия внешних событий.
Определение регулятора, как всегда, более объемное, при этом все основные компоненты операционного риска (действия людей, внутренние процессы, системы и внешние события) совпадают с определением Базельского комитета. Однако в отличие от европейского регулирующего органа ЦБ РФ выпустил ряд положений, выделяющих из операционного риска правовой, стратегический риск и риск потери деловой репутации. В целях построения оптимальной структуры мониторинга, оценки и управления операционными рисками имеет смысл придерживаться подхода Базельского комитета с вводом системной возможности последующей реклассификации выявленных операционных рисков в указанные выше (правовой, стратегический, риск потери деловой репутации), дабы соответствовать требованиям регулятора (ЦБ РФ).
Целью управления операционным риском является поддержание принимаемого банком риска на уровне, определенном им в соответствии с собственными стратегическими задачами. Приоритетным является обеспечение максимальной сохранности активов и капитала на основе уменьшения (исключения) возможных убытков. Управление операционным риском осуществляют также в целях:
■ выявления, измерения указанного риска и определения его приемлемого уровня;
■ постоянного наблюдения за операционным риском;
■ принятия мер по поддержанию риска на уровне, не угрожающем финансовой устойчивости банка и интересам его кредиторов и вкладчиков;
■ соблюдения всеми служащими банка нормативных правовых актов и внутренних банковских правил и регламентов.
АКТУАЛЬНОСТЬ УПРАВЛЕНИЯ ОПЕРАЦИОННЫМИ РИСКАМИ
Согласно опросу Центробанка [3] в России операционный риск занимает 3-4-е место среди основных банковских рисков (см. таблицу).
При этом, согласно опросам компании Deloitte, в мировой банковской практике управление операционными рисками является ключевой и первостепенной задачей, одновременно труднореализуемой на практике (рис. 2 и 3).
Учитывая зарубежный опыт, можно сделать вывод, что представителям отечественного банковского сообщества только предстоит осознать важность управления операционными рисками, и даже после этого нас ждет длительная работа по построению эффективного риск-менеджмента в данной сфере.
СИСТЕМА УПРАВЛЕНИЯ ОПЕРАЦИОННЫМИ РИСКАМИ КОММЕРЧЕСКОГО БАНКА
Управление операционным риском состоит из его выявления, оценки, мониторинга, контроля и/или минимизации (определение ЦБ РФ). Можно выделить следующие этапы внедрения системы управления операционными рисками:
1) классификация рисков банка;
2) определение сфер компетенции, функций и ответственности подразделений в управлении ОР;
3) сбор данных о размере потерь и вероятности наступления рисковых событий;
4) выявление факторов риска по разным направлениям бизнеса (ключевых индикаторов ОР};
5) количественная и качественная оценка ОР;
6) выбор механизмов контроля за ОР и расстановка приоритетов;
7) расчет экономического эффекта от контроля за ОР;
8) внедрение системы контроля и отчетности по ОР;
9) непрерывный мониторинг ОР.
Ключевым подразделением, отвечающим за разработку и внедрение системы оценки и управления операционными рисками, является соответствующее подразделение в рамках департамента, отвечающего за анализ и управление рисками банка (ДАУР). На рис. 4 представлены основные источники информации, необходимой для работы с операционными рисками. 
ДАУР осуществляет комплексный анализ всей поступающей информации, в том числе аудит ее качества и достоверности. Отдельно производится контроль за устранением выявленных операционных рисков, а также их системная оценка в целом по банку. Кроме того, подразделение проводит стресс-тестирование и оценку эффективности системы управления операционными рисками.
{module 297}
Результатом работы ДАУР с массивом данных по операционным рискам являются следующие сведения и мероприятия:
■ достоверная ежедневная информация по операционным рискам самого банка, а также выявленным в других финансовых организациях (согласно данным СМИ и т.д.);
■ еженедельная динамическая оценка ключевых индикаторов операционного риска (КИР);
■ ежемесячный отчет, предоставляемый председателю правления банка;
■ ежеквартальный отчет, представляемый на правлении банка;
■ ежегодный отчет для совета директоров банка;
■ регулярный аудит и изменение внутренних бизнес-процессов банка с целью минимизации ОР;
■ разработка и внесение оперативных дополнений в политику управления OR политику страхования, политику по противодействию внутреннему и внешнему мошенничеству в план действий, направленных на обеспечение непрерывности деятельности и/или ее восстановление (план ОНиВД), в положение о комитете по управлению операционными рисками и т.д. (рис. 5).
В последние несколько лет в российском банковском секторе наблюдается тенденция к консолидации. Одним из ключевых факторов успешной интеграции нескольких банковских структур является построение (как правило, в сжатые сроки) эффективной системы оценки и управления операционными рисками. Как показывает практика, только в единичных случаях удается успешно выполнить эту задачу.
СТРАТЕГИЯ УПРАВЛЕНИЯ ОПЕРАЦИОННЫМИ РИСКАМИ ПРИ ОБЪЕДИНЕНИИ НЕСКОЛЬКИХ КОММЕРЧЕСКИХ БАНКОВ
1. Введение единой системы учета и реагирования на выявленные операционные риски (для всех объединяемых банков). Предлагается раздельно вести две базы данных: по операционным рискам, выявленным в объединяемых коммерческих организациях, и по операционным рискам, выявленным в других кредитных организациях. На основе данных второй базы осуществляют тестирование собственной системы управления ОР. в том числе стресс-тестирование (для гипотетических сценариев).
■ Требуемые ресурсы: один администратор базы данных.
■ функционал:
— контроль качества и регулярности ввода данных;
— контроль своевременности устранения и минимизации выявленных операционных рисков;
— расчет операционных рисков (в соответствии с требованиями Базельского комитета), правовых рисков, рисков потери деловой репутации и операционных рисков (согласно требованиям ЦБ РФ);
— подготовка регулярной отчетности для председателя правления, правления и совета директоров.
■ Результат: контроль за выявлением и устранением операционных рисков во всех объединяемых банках. Наличие своевременной отчетности, составленной по единым стандартам.
2. Аудит бизнес—процессов, связанных с повышенным риском денежных потерь (выдача кредитов в разрезе бизнес-направлений, покупка ценных бумаг, расчетно—кассовое обслуживание и т.д.).
■ Требуемыересурсы: один риск-менеджер (по ОР) в каждом из объединяемых банков.
■ Функционал:
— аудит действующих полномочий и процедур, в том числе процедур последующего контроля в объединяемых юридических лицах;
— инициирование изменений в бизнес-процессах, наиболее подверженных ОР.
В качестве дополнительной подзадачи:
— аудит балансовых счетов расходов за последние два календарных года (пени, штрафы, госпошлины и т.д.). сторнируемых проводок;
— аудит входящей корреспонденции / предписаний ЦБ РФ. заключений служб внутреннего контроля;
— выявление ключевых сотрудников.
■ Результат: минимизация операционных рисков в бизнес-процессах, для которых характерны наибольшие мгновенные денежные потери, а также операционных рисков, выявленных ЦБ РФ.
3. Унификация внутренней методологии в объединяемых юридических лицах.
■ Требуемыересурсы: один риск-менеджер (по ОР) в каждом из объединяемых банков.
■ Функционал:
— сравнение и анализ действующих методик;
— создание проектной группы по переходу на единую методологию;
— тестирование (совместно с менеджментом юридических лиц) последствий перехода на выбранную методологию;
— внедрение (согласование и ввод в действие) единой внутренней методологии.
■ Результат: управляемый переход на единый формат внутренних нормативных документов.
4. Построение каталога и карты операционных рисков для каждого из объединяемых банков.
■ Требуемыересурсы: один риск-менеджер (по ОР) в каждом из объединяемых банков.
■ Функционал:
— разделение деятельности банков на бизнес-процессы;
— разделение бизнес-процессов на отдельные типичные операции;
— создание экспертной комиссии по проведению анкетирования в целях выявления
бизнес-процессов с повышенными (относительно экспертного — «нормального» — уровня) операционными рисками (частотой, величиной потерь);
— подготовка шаблона четырех практически одинаковых анкет в фомате Excel (оценка наблюдаемого уровня рисков: потери (анкета №1) и частота (анкета №2); оценка типичногодляоперации/целевогоуровня рисков: потери (анкета №3) и частота (анкета №4));
— разработка мотивации для анкетируемых подразделений;
— проведение анкетирования;
— проведение собеседований до и после анкетирования;
— выбор значимых анкет, построение каталога и карты операционных рисков;
— подготовка календаря аудита бизнес-процессов, обладающих повышенными (относительно типичного уровня) операционными рисками;
— проведение запланированного аудита;
— проведение спустя год анкетирования в целях оценки качества мероприятий.
■ Результат: выявление бизнес-процессов, которым присуще максимальное расхождение целевого / типичного и наблюдаемого уровня риска. Построение календаря аудита, проведение аудита; минимизация выявленных операционных рисков; контроль за качеством проведенной работы.
5. Выявление и мониторинг ключевых индикаторов операционных рисков.
■ Требуемыересурсы: один администратор базы данных.
■ функционал:
— выявление ключевых индикаторов ОР;
— ежедневный мониторинг индикаторов;
— подготовка еженедельной отчетности в целях своевременного реагирования на выявленные тенденции в динамике индикаторов О Р.
■ Результат: своевременный мониторинг и реагирование на динамику изменения ключевых индикаторов операционных рисков.
6. Стресс-тестирование по операционным рискам.
■ Требуемыересурсы: один риск-менеджер (по ОР).
■ функционал:
— проведение анализа чувствительности к основным параметрам ОР;
— разработка сценариев (исторические, гипотетические) с последующим анализом устойчивости к ним банка;
— разработка пограничных сценариев, при реализации которых капитала банка окажется недостаточно для покрытия потерь (с учетом требований к капиталу и сценариев по другим видам рисков); анализ параметров данных сценариев;
— оценка на совете директоров величины дополнительного капитала, который возможно привлечь в краткосрочной перспективе в целях прохождения через стресс-сценарий.
Таким образом, для построения в сжатые сроки эффективной системы оценки и управления рисками необходимо наличие риск-менеджеров (по операционным рискам) в каждом из объединяемых банков, а также администратора баз данных по ОР.
ИНДИКАТОРЫ ПОДВЕРЖЕННОСТИ ОПЕРАЦИОННОМУ РИСКУ
Одним из методов выявления всех типов операционного риска, которым подвержен банк, является составление карты рисков по всем бизнес-процессам, дающей представление об основных факторах возникновения и индикаторах рисков. Это позволяет определить основные зоны риска — процессы, где вероятны максимальные потери от реализации OR — и предпринять меры по их минимизации. Расстановка приоритетов способствует наиболее быстрому снижению подверженности организации операционному риску.
В отличие от управления кредитным или рыночным риском в случае с операционным риском действия и решения менеджмента, как правило, влияют на него только косвенно, что существенно усложняет моделирование оценки и управления.
Смена руководителей, деятельность, направленная на снижение текучести кадров, внедрение новой системы отчетности или делегирование полномочий — все эти мероприятия не учитываются в моделях оценки рисков, но оказывают прямое воздействие на подверженность банка операционному риску.
В рамках построения системы индикаторов подверженности операционному риску выявляют все действия, события или процессы, которые могут пойти «неправильно», определяют потенциальные источники возникновения рисков (человеческий фактор, системы, процессы, внешние события) и то, какие подразделения это затронет и к каким потерям приведет. Такую систему используют для мониторинга и прогнозного анализа операционных рисков, дополняя статистический анализ в областях, куда данные не поступают своевременно или в полном объеме.
Индикатор подверженности операционному риску — это переменная, на основе которой можно оценить вероятность наступления рисковых событий и величину потерь от их реализации. Такая переменная может указать на одну причину рискового события или целый комплекс факторов. Количественные показатели (процент от дохода, число ошибок) используют наряду с качественными (эффективность системы контроля, степень компетентности сотрудников), что приводит к некоторой субъективности оценок. Для того чтобы быть полезной, переменная обязательно должна быть связана с источником потерь по операционному риску.
ЭТАПЫ СОСТАВЛЕНИЯ КАРТЫ РИСКОВ БАНКА И ВЫЯВЛЕНИЯ КЛЮЧЕВЫХ ИНДИКАТОРОВ
Можно выделить следующие основные этапы составления карты рисков.
1. Составление карты процессов банка. Детализация начинается с общего представления процесса и заканчивается на микроуровне (определение конечного набора операций). На одной диаграмме представляют пошаговое прохождение процесса, его организационную структуру (зоны ответственности), взаимосвязи и последовательность событий. В дополнение к карте могут быть приложены детальные инструкции субпроцессов, опирающиеся на основной рассматриваемый процесс.
2. Анализдвижущих сил (человеческого фактора, процессов, систем и внешних событий в разрезе разных направлений деятельности банка). Выявление зон рисков каждого из факторов.
3. Анализ факторов риска по разным показателям: качество, количество, уникальность, масштаб последствий. Одни и те же факторы риска приводят к разным по масштабу последствиям в зависимости от конкретного рассматриваемого процесса и типа операции, поэтому здесь важен индивидуальный подход.
4. Идентификация рисков. Выявление последствий реализации рискового события по всей цепочке процесса, включая смежные области.
5. Идентификация и анализпотерь. Этот этап является ключевым как с точки зрения статистического анализа, так и для дальнейшего выявления зон максимальных потерь и выбора приоритетных контрольных мер. На первых порах идентификацию и анализ можно осуществлять на основе экспертных оценок, по мере накопления статистики рисковых событий оценки следует корректировать.
6. Идентификация и анализ ключевых индикаторов подверженности операционному риску. Данный анализ основывается на ранее собранной информации, индикаторы ранжируют в соответствии с их прогнозной силой.
Ключевые индикаторы должны быть:
■ релевантными— строго связанными с частотой операционных потерь и/или величиной потерь;
■ информативными— давать представление о частоте и масштабе потерь в случае реализации рискового события;
■ предупреждающими— по возможности заранее указывающими на зоны риска;
■ незаменяемыми— в случае высокой корреляции двух индикаторов в анализ включают только один;
■ измеряемыми— индикаторы должны быть оценены объективно и по четкой методике;
■ легкопроверяемымииконтролируемыми— расчет индикатора не должен быть очень сложным (метод должен быть понятен конечным пользователям) и дорогостоящим, методика расчета должна быть описана в отчетности по операционным рискам.
Идентификация ключевых показателей риска на основе экспертных оценок может быть организована с помощью внутренних рейтингов (сотрудники, отвечающие за анализируемый бизнес-процесс, присваивают индикаторам тот или иной балл). Сильное отклонение рейтинга от заранее определенного «нормального» уровня предупредит организацию о возможной зоне операционного риска и позволит принять превентивные меры или усилить контроль за этой сферой деятельности.
На практике лучше разграничивать индикаторы по направлениям деятельности банка или бизнес-процессам, тогда выстроятся все цепочки операций с присущими им рисками.
Для того чтобы на оценку индикаторов не влиял масштаб операций банка, лучше применять относительные категории: доля в доходе, в объеме операций или значения за конкретный период. Для установления градаций (низкий, средний, высокий уровень операционных рисков) необходимо сравнить индикаторы с независимо определенными пороговыми значениями. В целях определения действительно ключевых индикаторов весь их комплекс следует регулярно пересматривать и корректировать с учетом меняющихся бизнес-процессов, методов контроля и т.п.
Важным условием внедрения ключевых индикаторов риска в ежедневную работу банка является четкое понимание сотрудниками действий, которые они должны предпринимать в случае превышения индикатором пороговых значений. Инструкции составляют заранее и следование им должно войти в ежедневную практику, т.к. только в этом случае ключевые индикаторы риска могут эффективно выполнять свою функцию — предупреждение и минимизацию возможных потерь.
ЗАКЛЮЧЕНИЕ
В современных условиях построение системы оценки и управления операционными рисками для отечественных кредитных организаций — актуальная и достаточно сложная задача, поскольку они не имеют опыта внедрения подобных систем. При формировании такой системы с нуля приоритетным направлением является комплексный анализ всех бизнес-процессов, методологий, положений и потерь организации с последующими многочисленными корректировками исторически сложившихся технологий совершения банковских операций. При переходе к новой амбициозной стратегии развития банковского бизнеса и/или при объединении коммерческих банков возникает необходимость перестройки многих бизнес-процессов, что позволяет интегрировать систему по управлению операционными рисками на этапе запуска новых бизнес-процессов.
Авторы: Сытин Ф.М.
главный риск-менеджер ЗАО «КБ Открытие»
Каяшова Е.В.
магистр экономики , преподаватель кафедры экономической теории ГУ-ВШЭ
1. Базельский комитет по банковскому надзору. Международная конвергенция измерения капитала и стандартов капитала: уточненные рамочные подходы. — http://www.cbr.ru/today/pk/Basel.pdf.
2. Письмо ЦБ РФ от 23 июня 2004 г. №70-Т «О типичных банковских рисках». — http://www.businesspravo.ru/Docum/DocumShow_Docum-ID_91204.html.
3. Центральный банк РФ. Информация об основных результатах анкетирования кредитных организаций по вопросам стресс-тестирования в 2008 году. — http//www.cbr.ru/analytics/bank_system/print.asp?file=stress_inf_08.htm
4. Global Risk Management Survey: Sixth Edition Risk Management in the Spotlight (2009). Deloitte Touche Tohmatsu, June. — http://www.deloitte. com/assets/Dcom-UnitedStates/Local%20Assets/Documents/us_fsi_GlobaiRskMgmtSrvy_June09.pdf.