С 1 июля 2010 года вступило в силу Положение Банка России «О порядке расчета размера операционного риска» № 346‑П, которое устанавливает порядок расчета размера операционного риска для включения в расчет норматива достаточности капитала банка (Н1), установленного Инструкцией Банка России N110‑И «Об обязательных нормативах банков».
Согласно этому положению, размер операционного риска должен рассчитываться как усредненная за 3 года сумма чистых процентных и непроцентных доходов, умноженная на коэффициент α, равный 0,15. Это соответствует подходу на основе базового индикатора, предложенному Базельским комитетом. Однако данное ужесточение нормативов не предписывает банкам создание резервов под возможные убытки, равно как и не требует реализации каких-либо практических подходов по управлению риском. Таким образом, два банка с одинаковым уровнем доходов должны будут включить в расчет Н1 одинаковый размер операционного риска вне зависимости от того, какие внутренние процедуры контроля ими применяются и управляют ли они этими рисками вообще.
Понятно, что Банк России начинает с простейших базовых вещей, в то время как Базельский комитет предлагает еще 2 более сложных подхода к оценке размера капитала на покрытие операционного риска: стандартный и продвинутый. Стандартный подход позволяет более точно оценить операционные риски, связанные с каждым из основных направлений банковской деятельности. Но этот подход также не принимает во внимание степень контроля данных рисков в организации.
Продвинутый подход предполагает использование в банках собственных моделей анализа операционных рисков и позволяет учитывать внутренние процедуры контроля, соотношения с отраслевыми показателями операционных потерь и корреляционные взаимосвязи по отдельным видам операционного риска.
Естественно, что частота и размеры операционных убытков в банках, использующих продвинутые подходы, ниже, чем в тех, где управлению операционными рисками не уделяется должного внимания. Поэтому и расчетная аллокация капитала на покрытие операционного риска банка, применяющего передовые методы, как правило, в полтора раза ниже, чем при использовании базового индикативного подхода.
Стимулы к решению проблем
Возможность использования передовых подходов к оценке операционных рисков может стать хорошим толчком к улучшению практики операционного риск-менеджмента в России. Однако Базельское соглашение предусматривает ряд условий для их внедрения. В частности, в оргструктуре банка должно быть отдельное подразделение по управлению операционными рисками, высшее руководство и совет директоров должны на постоянной основе информироваться о понесенных потерях и принимать активное участие в управлении операционными рисками, в банке должны быть разработаны соответствующие процедуры и т.д. Важно, что банк должен иметь базу данных о потерях вследствие операционного риска в разрезе основных направлений деятельности не менее чем за 3 года. Сама же система оценки операционного риска должна регулярно проверяться. В конце концов, модель, используемая для оценки операционного риска, должна быть одобрена регулятором.
Модель аллокации капитала под операционный риск, допустимая для использования в продвинутом подходе, должна удовлетворять пяти основным принципам.
Пять принципов построения модели аллокации капитала под операционный риск
1. Экономический капитал должен расти при возрастании рисков в мире.
2. Экономический капитал должен расти при росте размеров бизнеса.
3. Экономический капитал должен расти при усложнении бизнеса.
4. Экономический капитал может уменьшаться при повышении уровня контроля.
5. Экономический капитал должен расти, если бизнес в прошлом понес потери, превышающие ожидаемые.
Первый принцип реализуем при наличии данных об операционных потерях во внешнем мире. Существуют международные агентства, специализирующиеся на сборе таких данных и их последующем анализе. Одним из факторов подверженности риску в рамках данного анализа является рыночная доля банка. К сожалению, в России на сегодняшний день нет такой базы данных, хотя её создание могло бы быть инициировано независимыми агентствами и банковскими ассоциациями.
Что касается второго принципа, то его встраивание в модель представляется наиболее простым. Такие характеристики размеров бизнеса, как денежный поток и численность персонала, легко инкорпорируемы в расчет капитала. Данный принцип учтен как в базовом индикативном, так и в стандартном подходах. Чем больше бизнес, тем больше риск.
Два банка могут иметь одинаковый размер активов и генерировать равные денежные потоки, но при этом один будет принимать вклады и выдавать кредиты, а другой – оперировать сложнейшими банковскими продуктами, например, на рынках производных финансовых инструментов. Поэтому с ростом сложности бизнеса капитал тоже должен расти. Этот принцип может быть встроен в модель при наличии в банке шкалы для определения сложности реализуемых банком продуктов. Например, ING использует экспертную шкалу от 1 до 10, где 10 означает наиболее высокий уровень сложности.
Четвертый принцип наиболее важен для тех банков, которые прилагают максимальные усилия к управлению операционным риском. Между уровнем контроля и размером капитала должна существовать обратная зависимость. ING банк использует балльную оценку уровня операционного риск-менеджмента, которая впоследствии влияет на размер капитала. Различные виды деятельности, направленные на регулирование риска, могут быть разбиты на группы и дополнительно использоваться риск-менеджером для планирования его активности, а результат – как показатель его профессиональной деятельности.
Последний принцип знаком автовладельцам, страхующим свой автомобиль или автогражданскую ответственность. Если за прошедшие периоды у вас не было существенных инцидентов, то вы, вероятно, получите бонус. Однако если таковые имелись, то страховая премия возрастет. Единственная разница с автострахованием в том, что должны учитываться не суммарные потери, а единичные крупные. Таким образом, наличие в прошлом серьезных инцидентов и потерь должно служить поводом к увеличению капитала.
Продвинутые модели могут также учитывать диверсификационные корреляции и страхование рисков для уменьшения размера капитала под операционным риском.
Пока у российских банков нет стимула внедрять продвинутые методики, процесс вряд ли может в полной мере развернуться. Однако известно, что многие российские банки делают попытки к внедрению продвинутых подходов, что называется, «для себя». Создаются базы данных об операционных убытках, проводится самооценка рисков и т.д. Но культура операционного риск-менеджмента и система в целом еще требуют значительного развития, что невозможно без должной поддержки менеджмента и регулятора.
Культура должна выстраиваться шаг за шагом, день изо дня. Что это значит?
Сотрудники и руководство банка должны быть осведомлены о рисках, характерных для их деятельности. Они должны также осознавать свою ответственность за их своевременное выявление и контроль. При этом мало дать определение операционного риска, необходимо объяснить, почему организации важно своевременно узнавать о существующих угрозах и принимать адекватные меры. Приводите больше примеров, если не из собственной практики, то из деятельности других организаций. Это можно осуществить в рамках отдельных тренингов или с помощью электронных курсов.
Каждый операционный инцидент, произошедший в банке, должен быть детально изучен. Однако, цель этого процесса в том, чтобы определить не «кто виноват», а скорее «что делать». Ведь инциденты, чаще всего, происходят не по злому умыслу (за исключением мошенничества), а по причине отсутствия должного контроля. Когда вам удастся донести до своих коллег, что вы преследуете цель усилить их процессы таким образом, чтобы избежать сбоев и потерь в дальнейшем, вы перейдете на новую ступень отношений – партнерство, когда и риск-менеджер, и сотрудники заинтересованы в снижении операционных потерь. Вы можете оценить риск, но никто лучше не знает своих процессов, чем сами сотрудники.
Обучение сотрудников – перманентный процесс. Нельзя забывать, что со временем знания устаревают, и их необходимо постоянно обновлять. Имея благоприятную культуру и отношение к риск-менеджменту, вы сможете выстроить эффективный процесс комплексной самооценки рисков и информирования об инцидентах.
Инциденты и понесенные потери должны регистрироваться в автоматизированной системе, где лучше заранее предусмотреть необходимость классификации инцидентов по причинам возникновения, направлениям бизнеса или банковским продуктам, ответственным департаментам, клиентским сегментам и т.д. При регистрации инцидента, помимо его описания, необходимо зафиксировать сумму реализованных и потенциальных потерь, дату инцидента (или период) и когда о нем стало известно. Отдельное внимание следует уделить анализу причин произошедшего, был ли данный риск ранее выявлен в процессе самооценки рисков, наблюдался ли рост соответствующих индикаторов операционного риска. Очень хорошо, если в той же самой системе будут регистрироваться косвенные потери от инцидента, меры, которые были незамедлительно приняты для смягчения возможных последствий и предупреждения аналогичных случаев в будущем. Эта информация пригодится не только для последующего статистического анализа, но и может быть использована вами в будущем в случае возникновения похожих ситуаций. Если речь идет о крупном банке с разветвленной филиальной сетью, то будет крайне полезно проинформировать коллег о выявленном риске, чтобы они могли заранее определить возможность его реализации в своем офисе и принять превентивные меры.
Держать руку на пульсе
Как убедиться, что вы проинформированы обо всех потерях, понесенных по причине операционного риска? Удостовериться в этом необходимо хотя бы потому, что иногда сотрудники не могут самостоятельно определить, был ли тот или иной случай операционным инцидентом. Для этого существует масса способов. Самый простой и часто используемый – это выверка с финансовым департаментом, в процессе которой вы можете, к примеру, установить ранее неизвестные факты уплаты штрафов или комиссий. Выверка с юридическим управлением поможет выявить потенциальные издержки, связанные с судебными разбирательствами. Если в организации ведется регистр клиентских жалоб и жалоб сотрудников, то имеет смысл проверить, были ли они должным образом проанализированы вами на предмет возможных репутационных потерь или косвенных убытков. В конце концов, стоит посмотреть ключевые индикаторы операционного риска и провести интервью с руководителями департаментов на предмет незаявленных инцидентов.
Хорошей практикой является внедрение новых индикаторов операционного риска по результатам анализа операционных инцидентов. Это поможет в ближайшее время наблюдать за уровнем соответствующего риска и быстро реагировать в случае его повышения. В целом же индикаторы должны покрывать все наиболее критичные для банка зоны риска. Например, если ваши наиболее высокие риски связаны с человеческими ошибками в процессе ручной обработки операций, то необходимо установить индикаторы для мониторинга количества таких транзакций. Индикаторы, превышающие пороговые значения, должны быть проанализированы и доведены до менеджмента, который примет меры к ослаблению соответствующего риска.
Естественно, мониторинг операционного риска посредством ключевых индикаторов – это процесс, требующий определенной гибкости. Риск-профиль организации может меняться под воздействием внешних факторов или внутренних преобразований. Соответственно и индикаторы операционного риска должны пересматриваться, акценты могут смещаться в ту или иную зону риска, пороговые значения тоже могут меняться. Тем не менее, ни один из видов риска не должен оставаться без наблюдения. Особенно это касается тех рисков, которые менеджмент банка осознанно принимает. К примеру, если вы принимаете риск кредитного мошенничества, допуская время от времени отклонения от правил кредитной политики, то разумно вести мониторинг за количеством одобренных исключений.
Важно отметить, что эффективная система мониторинга позволит снизить уровень операционных потерь при условии своевременной реакции менеджмента.
Задача риск-менеджмента – предоставить всеобъемлющую и в то же время простую карту рисков, обратить внимание на важные детали и предложить адекватные меры ослабления риска. Зрелость операционного риск-менеджмента растет год за годом, но этот рост невозможен в отрыве от общей культуры и осознания её значимости менеджментом организации.
Для большинства российских банков характерны следующие проблемы:
• Слабая заинтересованность руководства в повышении качества управления рисками;
• Отсутствие эффективных инструментов и системы управления операционным риском в целом;
• Отсутствие базы данных об операционных потерях;
• Слабый контроль за системой оценки операционного риска.
Что такое инцидент?
Формально это событие, несущее риск прямых или косвенных убытков в результате неверного построения внутренних процессов, человеческих и/или системных ошибок или внешнего воздействия. Однако вы должны самостоятельно определить, что в вашей организации является инцидентом и регистрируется в системе. Критерием, как правило, является уровень реальных или потенциальных потерь. Ошибка операциониста, выявленная в процессе верификации вторым сотрудником, не инцидент. А вот если эта ошибка не была выявлена и привела (потенциально могла привести) к потерям, скажем, выше тысячи евро (зависит от порога, который вы установили), то это – инцидент. И он показывает неэффективность существующего контроля. Далее вы должны оценить возможные способы усиления контроля. Одним из них, возможно, будет автоматизация данной проверки.
Правила для ключевых индикаторов операционного риска
• Индикаторы должны быть эффективны. Они устанавливаются для того, чтобы быстро и в понятной форме доводить до менеджмента информацию об изменяющемся уровне риска. Поэтому каждый индикатор должен отражать какую-либо угрозу и вашу подверженность ей.
• Индикатор должен быть измерим. Иными словами, не может быть индикатора «качество обслуживания клиентов». Повысилось? Понизилось? Как измерить? Но может быть установлен индикатор «количество клиентских жалоб (письменных, полученных по e-mail, выраженных по телефону)».
• Обязательное правило – установка пороговых значений. Значение индикатора должно сравниваться с установленной границей. Например, в текущих условиях департамент клиентских операций может обработать 100 заявок в месяц. А вот если их количество возрастет на 20%, то увеличится риск человеческих ошибок. Значит, пороговым значением может быть 100 заявок в месяц или рост их количества на 20% и более.
• Вы должны иметь возможность проверить значения индикаторов, рапортуемые подразделениями. Это не значит, что вы их действительно будете проверять на регулярной основе, но выборочные проверки должны производиться время от времени.
• И наконец, процесс расчета и предоставления индикатора не должен быть слишком сложным. Если для подсчета индикатора приходится вручную вести отдельный журнал, а потом пол дня вычленять из него нужные данные, то это неэффективно с точки зрения соотношения «затраты/польза». Также большое значение имеет процесс сбора индикаторов. Идеально, когда процесс автоматизирован. В противном случае, можно обойтись «малой автоматизацией»: использовать базу данных или электронные таблицы.
Текст: Айгуль Новикова, Менеджер по управлению операционными рисками, Вице-президент «ИНГ БАНК (ЕВРАЗИЯ) ЗАО»
