Сущность операционных рисков и способы их минимизации в деятельности коммерческих банков

Важным этапом при управлении операционным риском является его постоянный мониторинг. Периодичность проведения мониторинга обычно определяется внутрибанковскими нормативными документами и зависит от конкретно го инструмента, позволяющего реализовать мониторинг, и от уровня отдельного операционного риска. В случае принятия банком риска, дол жен проводиться мониторинг, частота проведения которого зависит от уровня принятого риска, а цель состоит в том, чтобы удостовериться, что этот уровень не изменился. В противном случае возникнет необходимость в пересмотре мер по минимизации риска. Аналогичным образом нужно постоянно убеждаться, что меры, предпринятые в целях снижения уровня риска, не потеряли свою эффективность, и уровень риска не вырос до первоначального значения. Если уровень операционного риска для банка не значителен, то мониторинг можно проводить раз в полгода, а если риск достаточно высок, эту процедуру можно повторять ежемесячно, еженедельно и даже ежедневно, если возникнет такая необходимость.

Минимизация операционного риска осуществляется за счет снижения вероятности реализации операционного риска, ограничения величины потенциальных потерь либо комбинацией этих подходов. Однако при внедрении мер по снижению операционного риска важно своевременно анализировать возможность трансформации одного риска в другой, а также оценивать возможные последствия. Чаще всего контроль операционных рисков осуществляется службой внутреннего контроля банка.

Основа описанного подхода была представлена Базельским комитетом в 1998г. в документе «Управление операционным риском» [6], но она содержала только три этапа: оценку, мониторинг и контроль операционного риска. Спустя почти пять лет в документе «Лучшие практики управления и надзора за операционным риском» Комитет представил расширенную модель, где появился этап идентификации операционного риска, а к контролю добавился еще и процесс снижения уровня риска. В настоящий момент разделение процесса на четыре основных этапа (идентификация операционного риска, оценка, мониторинг, контроль и снижение уровня операционного риска) не потеряло своей актуальности, подобную практику поддерживают Национальный Банк РК и большая часть кредитных организаций. Стоит отметить, что на сегодняшний день нет альтернативного подхода, который отличался бы неоспоримыми преимуществами перед «базельской» системой.

Основные инструменты и методы управления операционным риском:

1) Сбор данных о событиях операционного риска. Ведение базы данных о событиях операционного риска является одним из основных инструментов управления операционными риска ми. Обычно ведутся две независимые базы данных: в первой регистрируются случаи реализации операционного риска в банке (внутренняя база данных), а во второй — информация о событиях операционного риска в других кредитных организациях (внешняя база данных).

Ведение и постоянная актуализация единой внутренней базы данных о событиях операционного риска, которые произошли в банке или имели непосредственное отношение к его деятельности, преследует сразу несколько целей. Этот процесс обеспечивает условия для эффективного выявления операционных рисков, а также их оценки в масштабах деятельности всего банка. Такая база данных позволяет выявлять области наибольшей концентрации операционных рис ков, присущих различным направлениям деятельности или подразделениям. Например, регистрируя в базе данных в течение определенного времени схожие события операционного риска, происходящие в разных регионах, городах и дополнительных офисах банка, можно заметить, что определенному внутреннему процессу банка присущ специфический, часто реализующийся операционных риск Более детальный анализ за регистрированных событий поможет выявить этот риск. Оценивать его рекомендуется на основе накопленной статистической базы, при необходимости корректируя полученную оценку с учетом экспертного мнения и специфики выявленного риска. После введения мер по снижению уровня выявленного риска внутрибанковская база данных поможет оценить эффективность предпринятых мер, а также контролировать их актуальность. Таким образом, централизованное ведение базы данных о событиях  операционного риска обеспечит возможность координации процесса сбора данных, а также проведения постоянного мониторинга его функционирования. Стоит отметить, что формирование репрезентативной статистической базы о случаях реализации операционного риска в банке не только играет очень важную роль для анализа всех внутрибанковских процессов и выявления их слабых мест, но также помогает получить объективную оценку уровня операционного риска по банку в целом и может использоваться для анализа и обоснования экономической целесообразности страхования операционных рисков.

Информация о событиях операционного риска, которые произошли в банке, в первую очередь должна поступать от структурных подразделений банка или отдельных сотрудников. В дополнение к этому источнику, а также для проверки сообщений подразделений, зарегистрированных в базе, рекомендуется использовать результаты проверок и расследовании, проводимых службой внутреннего контроля и аудита, службой безопасности, внешними аудиторами и регуляторами, а также бухгалтерскую отчетность.

Для сбора данных о событиях операционного риска в других кредитных организациях (внешняя базаданных) в основном используются средства массовой информации и иные открытые источники. Основная цель, для которой ведется внешняя база данных, заключается в накоплении информации о событиях операционного риска, которые имеют низкую частоту реализации, но могут повлечь за собой очень большие, в том числе и критические, потери. Многие из таких событий, случившись лишь однажды, могут привести банк к банкротству, и регистрация их во внутрибанковской базе данных уже не будет иметь никакого смысла. Именно для предотвращения подобных случаев, анализа чужих ошибок и принятия их во внимание необходимо постоянно вести внешнюю базу данных.

2) Реестр операционных рисков. Для работы с выявленными рисками в банке рекомендуется вести реестр операционных рисков. Реестр операционных рисков централизованно ведется на постоянной основе и содержит в себе подробную информацию о выявленных в банке рисках, их уровне, статусе мероприятий по их снижению, информацию об ответственном за риск подразделении и других факторов, которые каждый банк определяет для себя сам. Подход к его ведению во многом схож с ведением внутрибанковской базы данных о событиях операционного риска и принципиально отличается от базы тем, что в реестре регистрируются только риски, тог да как в базу попадают события, которые в банке уже произошли. Регистрация рисков в реестре и событий в базе ведется в разрезе соответствующих многочисленных параметров. Реестр операционных рисков ведется на основе сообщений самостоятельных структурных подразделений, информации, полученной службой операционного риск менеджмента при анализе базы данных о событиях операционного риска, результатов этом повышая и развивая культуру управления операционными рисками в банке. Результаты проведенной самостоятельной оценки операционного риска можно также использовать для сравнения с результатами количественного анализа, проведенного с применением других инструментов и методов управления операционными рисками.

3) Ключевые индикаторы риска. В процессе управления операционными рисками очень важную роль играют ключевые индикаторы риска (КИР, Key Risk Indicator, KRI). Они позволяют отслеживать и прогнозировать случаи реализации операционного риска, а также осуществлять мониторинг эффективности внедренных принципов контроля. Главным преимуществом этого инструмента является возможность его применения именно с той периодичностью, с какой это необходимо, для каждого индикатора определяется своя частота применения.

По своей сути ключевые индикаторы риска — это превентивная мера, при этом они основываются на статистических данных. Обычно ключевой индикатор риска является отношением индикатора эффективности контроля (Key Control Indicator, КО) к ключевым индикаторам эффективности (Key Performance Indicator, KPI). Например, оценив среднее количество транзакций, приходящихся на одного операциониста, а также количество ошибочных транзакций, можно установить КИР, показывающий долю неправильных операций в общем объеме. Для функционирования КИР необходимо установить его пороговый уровень (trigger), без которого индикатор неприменим. На практике наибольшие затруднения вызывает именно определение критического значения. Для установки триггера обычно используют статистику, принимая средний уровень ошибок за допустимый. Если доля ошибочных операций чрезмерно высока, устанавливается предельно допустимый для банка уровень и при этом внедряются меры по снижению уровня риска. В дальнейшем каждое последующее превышение значения КИР по отношению к пороговому является сигналом для разработки и применения мер по снижению уровня операционного риска.

Отметим также, что целесообразно каждому КИР присваивать уровень риска, который характеризует индикатор. Исходя из этого уровня определяется период расчета индикатора, а также приоритет реагирования.

4) План обеспечения непрерывности бизнес-деятельности. В своей работе банк использует широкий спектр сложных технических систем, формирующих его внутреннюю инфраструктуру, которые могут выходить из строя под влиянием различных факторов. Ущерб от сбоев в системах может быть различным, зависит от характера сбоя и степени важности системы для банка. Для обеспечения непрерывности функционирования банка при отказе систем и сбоях в работе технического оборудования, а также при воз действии внешних неблагоприятных факторов банку нужно разрабатывать и внедрять планы непрерывности бизнес деятельности. Наличие таких планов в первую очередь позволяет избе жать паники при наступлении форс-мажорных обстоятельств. Они дают возможность следовать заранее продуманной и проверенной инструкции, обеспечивающей достижение наилучшего результата при минимальных потерях и в максимально сжатые сроки. Наличие у банка таких планов действий говорит о его надежности, значительно улучшает его репутацию и повышает степень доверия клиентов. Качественно разработанный план обеспечения непрерывности деятельности формирует у клиентов и контрагентов банка уверенность в том, что при наступлении форс мажорных обстоятельств, способных парализовать работоспособность отдельного направления деятельности или всего банка, с их деньгами ничего не случится и банк обеспечит выполнение своих обязательств перед клиента ми и контрагентами своевременно и в полном объеме.

Важно отметить, что разработка действительно эффективных планов обеспечения непрерывности деятельности требует очень больших инвестиций, в том числе финансовых, временных, кадровых. Из-за того, что проект по разработке планов является столь ресурсоемким, многие банки очень долго не решаются приступить к его реализации, составляя формальные документы, которые не реализуются на практике, но удовлетворяют регуляторов. Когда банк все же решается на запуск проекта, он получает значительное число дополнительных выгод, например понимание и спецификацию действительно важных для деятельности банка процессов и областей, которые лежат в основе его функционирования. Более того, во время проведения проекта наводится порядок в сфере информационных технологий банка и в его ключевых бизнес процессах. Это обеспечивает прозрачность и ясность его технологических цепочек, от чего, прежде всего, выигрывает сам банк, т.к. эффективность внутрибанковских процессов существенно повышается.

5) Передача риска: страхование. Одним из важнейших методов управления операционными рисками является их передача. Иными словами, передача риска представляет собой перенесение ответственности за риск на третьих лиц без устранения источника риска. На сегодняшний день существуют два наиболее распространенных способа передачи операционного риска — это страхование и аутсорсинг.

К страхованию прибегают в тех случаях, когда банк не может самостоятельно покрыть отдельные операционные риски либо когда страховать операционные риски получается дешевле, чем внедрять меры по их снижению. При этом можно как страховать отдельные виды операционных рисков (например, страхование сотрудников банка от несчастных случаев или имущества, принятого в залог), так и оформлять полисы комплексного банковского страхования. Основными видами убытков, подпадающими под комплексный пакет страхования банков от преступлений (Bankers Blanket Bond, BBB), являются утрата имущества в помещениях банка, мошенничество сотрудников, включая сговор с третьими лицами, ущерб офисам банка и оборудованию, а также подделка ценных бумаг, денежных знаков, чеков и других платежных документов. В дополнение к полису ВВВ обычно оформляется полис страхования от электронных и компьютерных преступлений (Electronic & Computer Crime, ECC), покрывающий убытки от несанкционированного ввода информации в АБС банка, включая ответственность за убытки клиента по этой причине, убытки банка от уничтожения электронных данных, действия вирусов, утраты ценных бумаг в электронной форме из-за исполнения мошеннического электронного поручения. Комплексное банковское страхование обычно имеет покрытие, равное нескольким миллионам долларов, при годовой страховой премии в несколько сотен тысяч долларов и немного меньшей франшизе. Также особенностью таких пакетов является то, что большинство российских страховых компаний не принимает риски на себя, перестраховывая их все или большую их часть у лондонских страховых синдикатов и оставляя себе от 0% до 10% рисков.

6) Передача риска: аутсорсинг. Вторым вариантом передачи риска является аутсорсинг, когда определенные операционные риски переносятся на сторонние организации и покрываются за их счет. Аутсорсингу обычно подлежат бизнес процессы, полностью невыгодные для банка либо несущие в себе повышенные операционные риски. Важно отметить, что на практике уровень операционных рисков, присущий процессу, не всегда является решающим фактором для передачи процесса на аутсорсинг. В большинстве случаев операционному риск менеджменту приходится иметь дело не с процессами, планируемыми к передаче, а с процессами, уже переданными на аутсорсинг из-за полной незаинтересованности в них банка. В связи с этим в банковской терминологии появилось понятие «риски аутсорсинга». В то же время при становлении системы управления операционными рисками в банке и организации такой схемы управления ими, когда операционный риск менеджмент применяется на стадии принятия решения о передаче риска на аутсорсинг, подход может быть изменен.