Управление операционным риском в коммерческом банке (О. Щелов, "Бухгалтерия и банки", N 6, июнь 2006 г.)

Управление операционным риском в коммерческом банке

Базель II в России

Вопросам усовершенствования систем управления банковскими рисками уделяется все большее внимание как за рубежом, так и в России. Операционные риски - явление не новое для отечественной банковской системы. Кредитные организации сталкиваются с различными проявлениями операционного риска. Это и человеческий фактор, и несовершенство организационной структуры, сбои в работе оборудования и неблагоприятные внешние обстоятельства. Кредитные организации проявляют заинтересованность в создании таких систем управления операционными рисками, которые адекватны по масштабам, характеру и направлениям банковской деятельности и способны обеспечивать устойчивость в проявлениях операционного риска. Отдельные банки уже создали специальные структурные подразделения или назначили сотрудников, занимающихся этими вопросами.

Рекомендации Базель II для расчета регулятивного капитала на покрытие операционного риска предлагают три группы методов различной сложности. Переход от более простого к более сложному возможен при условии выполнения кредитными организациями некоего набора требований, касающихся в основном качества систем управления риском. Официальная позиция Банка России по реализации нормативов Базель II в Российской Федерации была озвучена в 2004 году. Она заключается в следующем. Прежде всего, с учетом состояния финансовых рынков и уровня развития банковского сектора, а также по результатам обследования, касающегося количественного влияния Базель II на достаточность капитала, к 2008-2009 годам предполагается осуществить упрощенный стандартизированный подход к расчету достаточности капитала. Также предусматривается осуществление процедур надзора за достаточностью капитала со стороны органов надзора и реализация требования по раскрытию банками информации о капитале в целях усиления рыночной дисциплины. В отношении операционного риска это означает внедрение простейшего метода расчета регулятивного капитала на покрытие риска - базового индикативного подхода, обязывающего банк держать для покрытия риска капитал в размере, равном установленной доле от среднего годового дохода, рассчитанного за предыдущие три года. Данный метод является стартовым для расчета достаточности капитала, поэтому Базель II не предусматривает каких-либо исходных условий использования базового индикативного подхода для расчета капитала. Тем не менее банкам, применяющим этот метод, следует стремиться соблюдать рекомендации, содержащиеся в документе Базельского комитета "Надлежащая практика управления и надзор за операционным риском" от февраля 2003 года.

Вышеуказанная позиция Банка России о постепенном переходе от простых к более сложным методам расчета требований к капиталу под операционный риск обусловлена тем, что адаптация Базельских принципов к российским условиям осложнена рядом факторов. С одной стороны, не всеми банками осуществлялся централизованный сбор данных об операционных убытках в течение довольно длительного времени. Банк России рекомендовал создать и вести аналитические базы данных о понесенных операционных убытках в мае 2005 года (письмо ЦБ РФ N 76-Т "Об организации управления операционным риском в кредитных организациях"). В этих базах данных целесообразно отражать сведения о видах и размерах операционных убытков в разрезе направлений деятельности отдельных банковских операций и сделок, обязательств и обстоятельств их возникновения и выявления. С другой стороны, кредитные организации еще в недостаточной мере осознали значимость и необходимость управления операционным риском. Для многих организаций управление операционным риском - новый вид деятельности. У банков нет практического опыта по выявлению, оценке, мониторингу и минимизации операционного риска, они не располагают квалифицированными кадрами - в результате чего сталкиваются с большими сложностями.

По мнению некоторых зарубежных экспертов, операционный риск по степени значимости для банка находится на втором месте после кредитного риска. Поэтому некоторые крупные банки рассматривают возможность применения более продвинутых методов расчета регулятивного капитала на покрытие операционного риска. По прошествии 2008-2009 годов Банк России не исключает возможности рассмотрения вопроса о применении кредитными организациями продвинутых методов оценки величины операционного риска для целей расчета достаточности капитала. Для этого необходимо будет провести соответствующую подготовительную работу, включающую процедуры согласования с Банком России использования более продвинутых методов расчета требований к капиталу. Кредитным организациям необходимо будет тщательно проработать и продумать возможность применения стандартизированного и усовершенствованного подходов, сопоставив свои возможности и уровень подготовки с возможными материальными и людскими затратами. Есть надежда, что в ближайшие годы банкам удастся организовать и осуществить сбор данных о понесенных операционных убытках, что позволит создать основы для применения этих сведений при использовании таких методов оценки операционного риска, как метод статистического анализа распределения фактических убытков, метод сценарного анализа и оценочных карт.

С определенными сложностями при внедрении рекомендаций Базель II сталкиваются и за рубежом. Международным банковским сообществом были проведены исследования по внедрению принципов Базель II. Так, по результатам проводившегося Бундесбанком опроса в 2003-2004 годах немецкие банки собирались применять практически весь спектр предлагаемых подходов в отношении операционного риска. При этом по сравнению с июлем 2003 года в августе 2004 года количество немецких банков, планирующих применять продвинутые подходы, возросло с 51 до 61, стандартизированные - с 109 до 127. А по данным Банка Италии, из 31 участника итальянской базы данных по операционным убыткам планируют применение продвинутых подходов 10 банков и банковских групп, стандартизированные подходы - 12, базовый индикативный подход - 9. При этом сам Банк Италии по итогам анкетирования банков и банковских групп полагает, что к моменту внедрения требований Базель II, возможно, окажутся готовыми к практическому применению продвинутых подходов к измерению операционных рисков от 4 до 6 банков и банковских групп, стандартизированному подходу - до 18. Что касается остальной части банковской системы Италии, то большинство ее участников будут применять базовый индикативный подход.

В качестве первого шага по оптимизации управления операционным риском в мае 2005 года Банк России издал рекомендации. Этот документ разработан в целях формирования единых подходов на основе обобщения передового международного опыта. В нем раскрываются факторы операционного риска, роль совета директоров наблюдательного совета и исполнительных органов по организации управления операционными рисками, говорится о принципах построения системы управления операционным риском, используемых в международной практике и о подходах по выявлению, оценке и мониторингу риска. Кроме того, в документе содержатся рекомендации по применению индикаторов уровня операционного риска для оценки и мониторинга величины риска, а также приводятся примерные показатели, которые могут быть использованы банками в качестве таких индикаторов. В целях унификации подходов и сопоставимости данных о понесенных операционных убытках и для создания и ведения соответствующих аналитических баз данных Банк России рекомендует использовать в качестве базовой матрицы, разработанные в рамках Базель II и приведенные в данном документе классификации случаев операционных убытков и направлений деятельности кредитной организации.

Что касается классификации направлений деятельности кредитной организации, содержащихся в рекомендации Банка России, то эта классификация основана на принципах Базель II с учетом требований российского законодательства.

Банк России изучает обстановку

Чтобы получить максимум информации от участников банковской системы и узнать о положении дел в отношении управления операционном риском, Банк России в марте текущего года провел единовременный анкетный опрос банков. Тем самым регулятор надеется выяснить наличие в кредитных организациях внутренних документов, определяющих основные принципы и подходы к управлению операционным риском; узнать, созданы ли в банках отдельные структурные подразделения (или назначены специальные сотрудники) по управлению операционным риском; налажена ли система сбора информации об операционных убытках; какие применяются способы снижения или передачи риска; осуществляется ли банками классификация случаев операционных убытков по направлениям деятельности в соответствии с рекомендуемыми Банком России унифицированным подходом; применяются ли методы контроля и минимизации операционных рисков, позволяющие обеспечить непрерывность бизнес-процессов, и др. Полученные в ходе обследования сведения позволят сделать выводы о состоянии управления операционным риском и выявить наиболее продвинутые в данном вопросе банки, опыт которых целесообразно будет изучать подробнее. Данное исследование обратит дополнительное внимание кредитных организаций на вопросы управления операционным риском. Результаты анкетирования помогут определить адекватные регулятивные подходы к оценке управления операционным риском, спланировать мероприятия по реализации положений Базель II в рамках внедрения базового индикативного подхода расчета регулятивного капитала для покрытия операционного риска, а также оценить наличие условий для внедрения продвинутых подходов. Обобщение результатов исследования будет готово к началу третьего квартала этого года.

Следует обратить внимание, что при заполнении анкеты банки встретились с трудностями. Это, в частности, коснулось классификации банковских операций и определения результатов деятельности по отдельным операциям. Здесь можно выделить две основные причины. Во-первых, группировка операций и видов деятельности по восьми направлениям, предложенная в рамках Базель II, не соответствует традиционной сложившейся в российском банковском секторе практике. Так, во многих банках кредитные операции проводятся одним подразделением независимо от того, предоставляется кредит физическому лицу или юридическому. Соответственно возникают сложности с отнесением доходов (расходов) по направлениям деятельности, подсчету занятых в этой деятельности сотрудников. Во-вторых, методология расчета прибыли валового дохода по направлениям деятельности, применяемая в рамках Базель II, также отличается от того, к чему привыкли российские кредитные организации. Возникли также затруднения в определении доли операционного риска в структуре рисков банка. Отдельные банки сомневались, следует ли рассматривать услуги, оказываемые подрядчиками, как услуги по договору аутсорсинга, например по инкассации денежных средств и охране зданий.

Отметим, что Банк России, помимо рекомендаций по организации управления операционным риском, выпустил рекомендации по организации управления правовым риском, риском потери деловой репутации и риском ликвидности. Разрабатываются также рекомендации по организации управления рисками, возникающими при совершении операций с применением интернет-банкинга.

Рискуй с холодной головой

Риск - неотъемлемый атрибут бизнеса. Без риска нельзя выиграть, однако риск должен быть соразмерным ожидаемому результату. Если научиться управлять риском, то можно будет смягчить неблагоприятные последствия каких-либо событий. Суть управления риском заключается в эффективном управлении бизнесом, предупреждении убытков и увеличении прибыли. А для эффективного управления риском необходимо развивать внутреннюю культуру организации, т. е. учить сотрудников понимать риски и прививать каждому клерку четкое исполнение правил и обязанностей.

В феврале 2003 года Базельский комитет по банковскому надзору опубликовал нормативные рекомендации по управлению и контролю над операционным риском. В документе содержится 10 основных принципов по управлению риском.

1. Структура корпоративного управления компании определяет е е "аппетит" к риску.

Система управления риском должна охватывать все составляющие риска, обеспечивать его оценку и управление.

2. Управление риском и его количественная оценка должны включать в себя такие компоненты, как планирование непрерывности бизнеса, аутсорсинг, юридический аспект, слияния и поглощения, информирование заинтересованных лиц.

3. Организация должна иметь ясную и стандартизованную систему управления рисками, основанную на конкретных задачах.

4. Необходимо определить лиц, ответственных за риски, и обозначить пределы их полномочий, а также назначить сотрудников, отвечающих за соблюдение законодательства и внутренних правил. Деятельность ответственных лиц нужно контролировать независимыми проверками.

5. Программа должна стать неотъемлемой частью банка. Ни одно подразделение или направление деятельности не может стоять над законом. Для эффективной и бесперебойной работы необходимо пользоваться информацией, получаемой с помощью обратной связи.

6. Управление риском - это не самостоятельный проект, это процесс, осуществляемый постоянно.

7. Процесс управления риском должен подкрепляться надженой, достоверной, полной и своевременной отчетностью.

8. При оценке последствий убытков должны быть учтены усилия на исправление ошибок, потерянное время, компенсационные выплаты и др.

9. Используемая система оценки результатов и система вознаграждения должны отражать общую культуру управления рисками и способствовать соблюдению принятого "аппетита" к риску.

10. Каждый сотрудник должен считаться риск-менеджером. При этом старшие руководители должны отдавать себе отчет, что обязанность по управлению рисками лежит на них.

Смысл управления операционными рисками заключается в прогнозе их периодичности и оценке величины вероятных убытков. Стоит иметь в виду, что у потерь есть и положительная сторона - они вскрывают слабые места и открывают новые возможности. Поэтому самая большая ошибка - сокрытие нежелательного инцидента. Даже после устранения рискованной ситуации или последствий неблагоприятного события нельзя оставлять происшедшее в тайне, гораздо лучше использовать инцидент в качестве наглядного урока для других сотрудников.

Во избежание внутренних потерь и для их прогнозирования следует собирать все данные по убыткам. Что касается внешних убытков, то для их прогноза и смягчения необходимо отслеживать всю имеющуюся официальную информацию в деловых СМИ. Полная информация из разных источников позволяет модулировать разные ситуации и сценарии.

Мера риска - показатели разного типа. Показателей может быть множество. Менеджеры каждого структурного уровня компании пользуются собственным набором показателей. Высшему руководству нужны только отдельные ключевые показатели. Чтобы выбрать нужные, надо предварительно проанализировать причины убытков, выявить корни промахов. Показатели должны отражать отраслевые и регионные риски, а также риски, связанные с выполнением определенного вида деятельности.

Показатель может быть комбинированным. В этом случае группы взаимосвязанных показателей имеют отдельные цифры, привязанные к начальному индексу, что дает возможность отслеживать изменения и управлять ими. Некоторые показатели, взятые сами по себе, могут не иметь значения, но в комбинации с другими показателями обретают смысл.

Прежде чем научиться управлять риском, его надо понять. Только так можно снизить риск и даже исключить его. Избежать риска часто мешают тривиальные вещи: плохая информированность, самоуверенность, лень, недооценка вероятных убытков, а также возможные большие затраты на устранение негативных последствий.

В соответствии с Базель II структура операционного риска включает в себя три составляющие: минимальный размер капитала, процедуры надзора, рыночную дисциплину (раскрытие) информации. Базель II так определяет операционный риск: "риск убытков, возникающий в результате неадекватных или ошибочных внутренних процессов, действий сотрудников и систем или в результате внешних событий".

Подход базового индикатора для оценки риска основан на показателях прибыли. Соответственно риск оценивается на уровне всего банка. Используется коэффициент, определенный в целом по отрасли (альфа-фактор) для каждого банка. Требования к капиталу для покрытия операционного риска равны средней величине положительной валовой прибыли за год, умноженный на альфа-фактор (процентная величина) за последние три года. Альфа-фактор сейчас составляет 15%. Установление такого значения должно привести к установлению рисков на уровне 12% от минимального регулятивного капитала по отрасли.

При стандартизированном подходе для оценки рисков используются данные о прибыли; риск оценивается на уровне вида деятельности. Для каждого вида деятельности используются бета-факторы, рассчитанные на основе показателей по отрасли в целом. Требования к капиталу - сумма (за три года) положительной годовой валовой прибыли за конкретный год по каждому виду деятельности за год, умноженная на бета-фактор вида деятельности.

Подход базового индикатора и стандартизированный подход имеют некоторые недостатки. Усовершенствованный (продвинутый) подход обеспечивает значительную гибкость при использовании критерия измерения внутреннего риска в качестве основы для нормального капитала. Он должен основываться на данных по внутренним убыткам и корректировках с учетом существенных изменений в контрольной среде или структуре бизнеса, а также на минимальном допустимом совокупном уровне убытков, который может быть для банков различен, но в целом должен соответствовать аналогичным банкам. У продвинутого подхода есть квалификационные критерии, которые, в частности, включают в себя активное участие совета директоров в осуществлении контроля, а также наличие системы измерения операционного риска и надлежащую мотивацию.

Формирование стратегии управления операционными рисками

Прежде всего, риск определяется как негативные или неожиданные факторы, влияющие на стабильность доходов. Еще одна составляющая рисков связана с репутацией, брендом и корпоративной этикой. У одних рисков последствия имеют конкретное денежное выражение, у других - влияют на стабильность доходов. Операционный риск включает в себя стратегический риск, риск потери репутации, коммерческий риск.

Начинать надо с формирования стратегии управления операционными рисками (Operation Risk Management - ORM) в рамках всего предприятия. В первую очередь, надо ясно представлять цели организации и правильно оценивать потребности. Затем разрабатывается стратегия и общая структура, в рамках которой и будет осуществляться ORM. При построении работоспособной системы управления операционными рисками необходимо выяснить, есть ли у организации какие-то особенности экономического характера, какие у нее болевые точки, какой у банка аппетит к риску и насколько географически разбросаны его подразделения. Отдельно следует рассмотреть вопрос культуры, поскольку ее уровень непосредственно влияет на общий подход к управлению операционными рисками. Следует иметь в виду, что культура управления рыночными и кредитными рисками не должна рассматриваться как показатель культуры управления операционным риском. Выбранный подход к ORM окажет влияние и на культуру. Методы, требующие дополнительных усилий, всегда оказывают негативное влияние на культуру, если только приносимая ими польза не перевесит такое негативное влияние.

Стоит особо отметить, что принципы корпоративного управления требуют наличия независимого совета директоров. Законодательство разных стран предусматривает наличие независимой службы внутреннего аудита, которая напрямую подчиняется совету директоров.

Нет данных - нет контроля

Анализ операционного риска немыслим без наличия исчерпывающей информации и расчетов. Нельзя контролировать то, что невозможно измерить. Поэтому необходим формальный порядок оценки, четкая процедура классификации рисков, система разграничения операционных и любых иных рисков. Следует учитывать, что операционные риски могут составлять до 75% от общего количества рисков. Для эффективности управления рисками следует оценивать объемы риска и (или) средние убытки в расчете на перспективу, кроме того, необходимо располагать информацией о направлении текущих изменений (снижение или увеличение рисков, их снижение или увеличение на каких-то направлениях). Очень важно иметь ясное представление о серьезности риска и о величине вероятных убытков, а также точно просчитать, снижение каких рисков экономически оправданно.

При решении вопросов достаточности капитала следует учитывать, что размер капитала определяется экономическими соображениями и нормативными требованиями. Основная часть вопросов по достаточности капитала предусмотрена принципами Базель II: "Требования по достаточности капитала являются частью пакета нормативных требований, но только лишь незначительной частью. Для решения большинства проблем соблюдения таких требований недостаточно". Внедряя в жизнь рекомендации Базель II, многие фирмы сконцентрировали внимание на соблюдении требований по достаточности капитала и забыли про необходимость управлять своим бизнесом.

Концепция "Использование внутренних данных об убытках" в качестве основы для оценки требований про достаточности капитала привела к тому, что компании стали применять подход, основанный на распределении убытков, т.е. начали использовать ряд исторических событий для создания частотности. При этом масштаб событий используется для определения тяжести ущерба. Однако у многих фирм нет достаточных данных по убыткам. В результате они используют внешние сведения для заполнения пробелов. Но имеют ли сторонние события отношение к конкретному банку, полезна ли такая информация, насколько подходит она для разработки системы управления риском? Скорее всего "чужая" история ничему не научит сотрудников банка, решающего совсем другие задачи и работающего в других условиях.

Многие фирмы начинали с использования метода распределения убытков для оценки требований к размеру капитала с учетом экономических факторов или нормативных требований. Некоторые компании, испытавшие нехватку данных, использовали сценарный подход. В то же время сейчас организации переходят на гибридный подход к оценке, который совмещает концепции первых двух подходов.

Сценарный подход может определяться как обзор, описание или модель последовательности непредвиденных или нежелательных событий. Сценарии различаются по степени деятельности, в зависимости от уровня внутри организации, на котором они изучаются. Но в целом они состоят из однотипных компонентов. Сценарии описываются с использованием типов событий и могут содержать детальную информацию о причинах и возможном воздействии каждого события, если оно произойдет. В сценариях также может приводиться анализ причин, а также ожидаемое прямое или косвенное воздействие, особенно на репутацию компании.

Сценарный и гибридный подходы могут оказаться более удобными для руководства компании при расчете потребностей в капитале, особенно с учетом возможного большого убытка после значительного улучшения ситуации с контролем над рисками. Модель подхода, основанного на распределении убытков, позволяет предвидеть большое увеличение капитала, хотя качественные оценки могут ухудшить общие показатели. Модель гибридного подхода включает поправку на качество в анализ вопроса об управлении компанией, а также дополнительно освещает процесс распределения капитала.

Нормативные требования по достаточности капитала призваны защищать заинтересованных лиц и рынок в целом. Такие требования позволяют уменьшить последствия катастрофических убытков. Требования к операционному рису предусматривают сокращение уровня убытков в рамках принятого "аппетита" к риску. При этом итоговая ценность компании возрастает. Вот почему контроль над операционными рисками должен приводить к увеличению стоимости бизнеса, а не к дополнительным расходам.

О. Щелов

"Бухгалтерия и банки", N 6, июнь 2006 г.