Буквально на днях пресс-служба Банка России опубликовала новость о том, что регулятор собирается установить новые требования к управлению операционными рисками - включая риски информационной безопасности. Речь, очевидно, идет о значительных перенастройках внутрибанковских систем, в том числе системы классификации событий, порождающих операционные риски, а равным образом и систем мониторинга и фиксации.
В ЦБ пояснили, что изменения необходимы для приведения порядка расчета операционного риска в соответствии с международными требованиями Базеля III, а в российскую банковскую практику они придут вместе со вступлением в силу соответствующего Положения Банка России – то есть уже с 1 октября этого года. Впрочем, на приведение в порядок своей внутренних систем банкам отведут времени еще ровно год, до ноября 2022 года.
Новое Положение № 716-П, описывающее формирование системы управления операционным риском в кредитной организации в соответствии с новыми требованиями, было зарегистрировано в Минюсте 3 июня. В частности, там говорится, что в состав такой системы должны входить: процедуры управления операционным риском (подробнее разбираемые в Главе 2), классификатор событий операционного риска (подробнее разбираемой в Главе 3), контрольные показатели уровня операционного риска (разбираются в Главе 5), подразделения, непосредственно отвечающие за управление операционным риском, и не только.
В связи с выходом нового Положения № 716-П Банк России также внес изменения в действующее Положение № 3624-У “О требованиях к системе управления рисками и капиталом кредитной организации и банковской группы”. Его скорректированная версия также получила регистрацию в Министерстве Юстиции 3 июня.
Разобраться во всех этих тонкостях, конечно, непросто, поэтому мы обратились за помощью к эксперту - Екатерине Юсуповой, руководителю службы бизнес-консалтинга SAS Россия/СНГ - с рядом назревших у нас вопросов по поводу того, что именно все эти изменения несут с собой для участников российского банковского рынка. Благодарим Екатерину Юсупову за оперативный ответ!
Насколько актуальны эти требования?
Включение операционного риска в периметр регулирования отражает текущие вызовы. Это, прежде всего, понимание того, что значительный объем рисков носит не финансовую природу, а факторы риска могут быть сложно взаимосвязаны и находиться не только во внутренней среде компании, но и вне ее. События последних месяцев тому пример.
Ведь что такое операционный риск? Все то, что ставит под угрозу саму деятельность организации и достижение целей. Управление операционным риском – это понимание своей уязвимости, всех факторов риска; выработка и принятие мер, направленных на его снижение. Это относительно молодая, сложная, межфункциональная область риск-менеджмента, существенно отличающаяся от управления финансовыми рисками. И в этой связи требующая стандартов управления, заданных обязательных элементов.
Насколько необходимо новое Положение?
Регулирование в части управления операционным риском на российском рынке до выпуска данного Положения имело следующий вид: наличие самого понятия “операционный риск”; требования к расчету капитала под операционный риск и включение его в расчет норматива достаточности капитала; письма, носящие рекомендательный характер. Четко определенных требований и ожиданий регулятора к самому построению системы управления не было. Банки ориентировались на международную практику и документы Базельского комитета по банковскому надзору. Но часто ограничивались расчетом капитала. Он был прост: 15 % от средневалового дохода за 3 года. Существенный недостаток такого подхода к расчету капитала в том, что он совершенно не отражает уровень риска, работу организации по управлению риском, систему внутреннего контроля, не стимулирует к развитию в этой части.
Вышедшее Положение задает структуру управления, направленного на выявление существенных факторов риска и оперативно принимаемые по ним решения в целях снижения риска и возможных потерь; делает такое управление обязательным.
Кроме того, вышедшее Положение является первым нормативным документом в числе разрабатываемых в целях внедрения нового стандартизированного подхода Basel III к расчету капитала – подхода, ориентированного на реальный уровень риска и стимулирующего к развитию системы управления.
На что особенно стоит обратить внимание кредитным организациям?
- На выстраивание процессов идентификации факторов риска, процессов сбора данных о потерях, их накоплении. Речь идет не только о прямых финансовых потерях, но также о косвенных и качественных; уже случившихся и потенциальных;
- На выстраивание системы оперативной отчетности, пронизывающей все уровни управления - от участвующих в выявлении рисков сотрудников и линейного менеджмента до высшего руководства компании, принимающего решения о склонности к риску;
- На формирование риск-культуры организации.