Комплаенс-риск: определение и структура
Материал подготовлен с использованием правовых актов по состоянию на 2 февраля 2024 г.
Рассматривается процесс формирования понятия «комплаенс-риск» в международной практике и научных публикациях. Проведен анализ соотношения понятий «комплаенс-риск», «регуляторный риск» и «репутационный риск». Показаны основные подходы к эффективному управлению комплаенс-риском, которые могут быть использованы при формировании системы комплаенс-контроля в банках Республики Беларусь в рамках совершенствования национального банковского законодательства.
СОДЕРЖАНИЕ
Пункт 1. Общие положения
Пункт 2. Понятие «комплаенс-риск» в международной практике
Пункт 3. Управление комплаенс-риском
Пункт 4. Комплаенс-риск в системе рисков
Пункт 1. Общие положения
В рамках совершенствования национального банковского законодательства и имплементации в банковскую систему Республики Беларусь лучших международных банковских практик и стандартов, оформленных в концепциях Комитета спонсорских организаций Комиссии Тридуэя (далее – COSO), рекомендациях Базельского комитета по банковскому надзору (далее – Базельский комитет), стандартов качества в области управления рисками и внутреннего контроля ISO 9000 Национальным банком были инициированы соответствующие изменения и дополнения в Банковский кодекс. Среди нововведений – внедрение комплаенс-контроля как элемента системы внутреннего контроля с созданием подразделений комплаенс-контроля и внутреннего контроля1. Соответственно, при разработке механизма внедрения комплаенс-контроля как формы внутреннего контроля целесообразно обозначить риски, составляющие основу комплаенс-риска2.
Пункт 2. Понятие «комплаенс-риск» в международной практике
Для раскрытия понятия «комплаенс-риск» необходимо рассмотреть понятие «риск», общепризнанное в международной практике как базовое.
COSO в концепции СOSO 2004 «Управление рисками организаций. Интегрированная модель/Enterprise Risk Management – Integrated Framework» и ее обновленной версии – СOSO 2017 «Управление рисками организаций. Интеграция со стратегией и эффективность деятельности/Enterprise Risk Management – Integrating with Strategy and Performance» определил риск как потенциальное событие, которое может оказать отрицательное воздействие на достижение организацией поставленных целей. Аналогичного подхода к последствиям реализации риска придерживается Институт внутренних аудиторов (Institute of Internal Auditors), осуществляющий определение международных стандартов в сфере осуществления внутреннего аудита. По его мнению, риск – это угроза того, что событие, действие или бездействие окажет отрицательное влияние на способность организации к достижению своих целей и к успешной реализации стратегических планов3.
Согласно Международному стандарту ISO 310006:2018 «Risk Management – Guidelines» риск является следствием влияния неопределенности на достижение поставленных целей, где под неопределенностью подразумевается отклонение от ожидаемого результата или события, которое может иметь как негативные, так и позитивные последствия, либо оба последствия вместе (единовременно или с определенным временным лагом).
Из вышеуказанного следует, что стандарт ISO 310006:2018 «Risk Management – Guidelines» при определении риска использует более современный подход к риск-менеджменту, который имеет важное отличие от традиционного (риск = опасность), – реализация риска не рассматривается как событие, оказывающее однозначно отрицательное воздействие на достижение целей.
Слово «cоmpliаnсе» является производным от глагола «tо соmply» – исполнять и переводится как «согласие, соответствие», «cоmpliаnсе» означает действие в соответствии с запросом или указанием, повиновение. Указанное определение указывает на сущностную характеристику комплаенса – осознанное соблюдение установленных уполномоченным органом требований либо взятых на себя обязательств действовать в соответствии с общепринятыми правилами и стандартами, не имеющими нормативного происхождения.
Комплаенс (соблюдение требований соответствия чему-либо) представляет собой, по сути, часть системы корпоративного управления (внутреннего контроля) в банке, на которую возложена функция управления рисками несоответствия, несоблюдения требований законодательства, прежде всего, регуляторных, ЛПА, требований и стандартов саморегулируемых организаций, кодексов поведения и т.д. Указанные риски могут реализоваться через применение правовых санкций или санкций регулирующих органов, финансовых или репутационных потерь как результат несоответствия деятельности банка установленным регулятором требованиям, так и разработанным в соответствии с ними внутренним документам банка, а также взятым на себя обязательствам осуществлять свою деятельность в соответствии с общепризнанными правилами и стандартами.
Концепция «комплаенс» в силу своей относительной новизны и в зависимости от характера и уровня нормативного регулирования финансовой и экономической деятельности, а также сопутствующей ей культурно-этической среды в различных экономико-правовых системах будет иметь определенные отличия в своей реализации. В то же время в концепции «комплаенс» всегда будут присутствовать 3 основных направления контроля риска несоблюдения:
● требований регулятора;
● ЛПА, принятых органами управления (внешнего – внутренние документы не в полной мере соответствуют требованиям законодательства и внутреннего – внутренние документы содержат положения и нормы, изначально создающие предпосылки для их несоблюдения (умышленного либо неумышленного));
● этических норм, общепризнанных и общепринятых в соответствующей бизнес-среде.
С учетом указанного можно кратко определить следующие цели комплаенса:
Схема 1. Цели комплаенса
Согласно принципу 7 рекомендаций «Комплаенс и комплаенс-функция в банках», утв. в апреле 2005 г. Базельским комитетом, основная функция комплаенс-подразделения заключается в оказании содействия руководству банка в эффективном управлении комплаенс-рисками, с которыми банк сталкивается в процессе своей деятельности. В настоящее время понятия «комплаенс» и «комплаенс-риск» не являются устоявшимися, в связи с чем существуют различия в подходах к их определению. В связи с этим представляется целесообразным провести краткий анализ понятий «комплаенс» и «комплаенс-риск» с целью выделения наиболее существенных их характеристик.
Анализ понятий «комплаенс» и «комплаенс-риск»
|
Источник |
Определение |
Комментарий |
|
Рекомендации Базельского комитета «Комплаенс и комплаенс-функция в банках»4 |
Комплаенс-риск – это риск применения юридических санкций или санкций регулирующих органов, существенного финансового убытка или потери репутации банком в результате несоблюдения им норм, касающихся банковской деятельности |
Из определения комплаенс-риска можно выделить потенциальные источники его возникновения. При этом их состав и характер могут варьироваться в зависимости от регуляторной и бизнес-среды. Опосредованно указано на этическую составляющую комплаенс-контроля |
|
Международная комплаенс-ассоциация (International Compliance Association)5
|
Комплаенс – независимая функция, которая выявляет, оценивает, дает соответствующие советы, отслеживает и готовит отчеты в отношении комплаенс-риска, определяемого как риск юридических или регулятивных санкций, финансовых убытков, урона репутации, которые могут быть обращены на организацию в результате несоблюдения им законодательства, регулирования, кодекса поведения и стандартов хорошей практики |
Акцентируется независимый статус комплаенс-функции, основной задачей которой является контроль комплаенс-риска. Четко определены последствия реализации комплаенс-риска: ● санкции; ● убытки; ● репутационные потери. Указано на этическую составляющую комплаенс-контроля, т.е. обязательства, которые банк берет на себя вне нормативных и регуляторных требований |
|
Международный стандарт ISO/DIS 37301 «Compliance management systems – Requirements with guidance for use»6 |
Комплаенс – это непрерывный процесс и результат выполнения организацией своих обязательств; комплаенс-риск – это вероятность возникновения и последствия невыполнения организацией обязательств по выполнению требований, которые она должна соблюдать в обязательном порядке, а также те, которые она добровольно приняла для соблюдения |
По сравнению с Международным стандартом ISO 19600:2014 «Preview Compliance management systems – Guidelines» акцент перенесен с выполнения требований на выполнение взятых на себя обязательств. Риск определен как эффект неопределенности, где эффект – это отклонение от ожидаемого (положительное или отрицательное); неопределенность – это полное либо частичное отсутствие информации, необходимой для выявления и понимания события, осознания его вероятности и последствий. Определение комплаенс-риска содержит этическую составляющую комплаенс-контроля |
|
Положение Банка России от 16.12.2003 № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» (далее – Положение № 242-П) |
Комплаенс-риск – риск возникновения у банка убытков в связи с несоблюдением российского законодательства, внутренних документов банка, стандартов саморегулируемых организаций, в случае их обязательного характера для банка, а также в силу применения санкций и (или) других мер воздействия со стороны регуляторов (регуляторный риск) |
Определение комплаенс-риска у́же по содержанию, чем принятое в международной практике. Акцент сделан на санкции за несоблюдение национального законодательства. Комплаенс-риск не включает этическую составляющую комплаенс-контроля. В то же время необходимо учитывать имеющуюся в ряде постсоветских стран практику нормативного требования принятия банками внутренних документов, закрепляющих этические стандарты ведения бизнеса (кодекс корпоративной этики и т.п.) |
|
Информационное письмо Банка России от 01.10.2020 № ИН-06-28/143 «О рекомендациях по организации управления рисками, внутреннего контроля, внутреннего аудита, работы комитета совета директоров (наблюдательного совета) по аудиту в публичных акционерных обществах» (далее – Информационное письмо № ИН-06-28/143) |
Комплаенс-контроль, помимо контроля соблюдения национального законодательства, должен также обеспечивать контроль за соблюдением общепризнанных принципов и норм международного права и международных договоров, иных требований, обязательных для исполнения публичными АО (в т.ч. стандартов саморегулируемых организаций, кодексов поведения профессиональных объединений) |
Функции комплаенс-контроля по сравнению с функциями, вытекавшими из определения комплаенс-риска в Положении № 242-П, расширены и приведены в соответствие с изменившимися условиями международной экономической деятельности, несоблюдение которых может повлечь существенные финансовые и репутационные риски для ее участников из-за санкций со стороны иностранных государств либо международных организаций |
|
Compliance Risk Management: Applying the COSO ERM Framework7 |
Комплаенс-риски – это риски, связанные с возможным нарушением применимых законов, правил, договорных условий, стандартов или внутренних политик, где такое нарушение может привести к прямой или косвенной финансовой ответственности, повлечь гражданские или уголовные штрафы, регулятивные санкции или другие негативные последствия для организации или ее персонала |
Этическая составляющая комплаенс-риска не зафиксирована однозначно в его определении, но она присутствует в тексте документа, в категории «compliance-related risks», т.е. риски, связанные с соблюдением требований, которые могут включать риски, связанные с несоблюдением профессиональных стандартов, внутренней политики организации (включая кодексы поведения и деловую этику) и договорных обязательств |
|
Австралийское управление пруденциального регулирования (The Australian Prudential Regulation Authority (APRA))8
|
Комплаенс-риск связан со способностью организации соблюдать законы, правила, положения и стандарты (как внешние, так и внутренние), которые регулируют ее деятельность, включая добровольные отраслевые стандарты и кодексы поведения, которым организация решает следовать, а также последствия, которые могут возникнуть, если она этого не сделает |
Комплаенс-риск рассматривается и как процесс, связанный со способностью организации осуществлять эффективный комплаенс, и как результат реализации риска, если данный процесс не будет организован на надлежащем уровне – и с точки зрения регулятора, и с точки зрения участников соответствующих бизнес-процессов |
В научной среде также имеются различные определения понятий «комплаенс» и «комплаенс-риск» в зависимости от того, на какие их сущностные характеристики авторы делают акцент. На разных этапах становления комплаенса в научных и бизнес-кругах предметом обсуждения были аспекты, наиболее актуальные с точки зрения ведения бизнеса, такие как:
● предотвращение легализации преступных доходов и финансирования терроризма;
● контроль репутационных рисков (анализ, оценка и устранение последствий);
● антимонопольный и антикоррупционный комплаенс;
● борьба с внутренним мошенничеством;
● оптимизация взаимоотношений с регулятором и иными надзорными органами;
● регулирование вопросов этического ведения бизнеса и т.п.9
Примечание
Д.В. Малыхин считает, что комплаенс – это способность финансовой организации действовать согласно инструкциям, правилам и специальным требованиям. При этом он выделяет 2 уровня комплаенса – уровень соответствия внешним правилам, которые обязана выполнять организация в целом, т.е. прямым регуляторным требованиям, и уровень соответствия требованиям системы внутреннего контроля, которые устанавливаются для обеспечения выполнения внешних требований, т.е. опосредованным через ЛПА регуляторным требованиям. Репутационная составляющая комплаенса, предопределяющая осознанное принятие организацией на себя обязанности в своей деятельности соответствовать принятым в бизнес-среде этическим нормам, не была принята в расчет. Комплаенс-риск рассматривается непосредственно как регуляторный риск.
Такой подход получил нормативное оформление в документах Банка России (указание Банка России от 24.04.2014 № 3241-У «О внесении изменений в Положение Банка России от 16 декабря 2003 года № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах»).
Распространенной является точка зрения, когда комплаенс рассматривают как составную часть функции внутреннего контроля, которая направлена на защиту интересов инвесторов, банков и их клиентов с помощью контроля над соблюдением сотрудниками банка положений действующего законодательства, требований надзорных органов, а также документов, определяющих внутреннюю политику и процедуры банка10. Из указанного следует, что комплаенс-риск также рассматривается преимущественно как применение санкции за неисполнение либо ненадлежащее исполнение регуляторных требований. В целом в государствах, которые не имеют длительной истории рыночной экономики, при определении комплаенса акцент делается на цели, направленные на минимизацию риска несоблюдения требований регулирующих и надзорных органов. Этической стороне комплаенса, как правило, уделяется меньше внимания.
В научной среде комплаенс преимущественно рассматривается как:
● способность и готовность осуществлять свою деятельность в соответствии с требованиями законодательства, ЛПА и принятых в деловом обороте этических норм;
● принцип осуществления бизнес-процессов;
● управление комплаенс-рисками;
● элемент корпоративной культуры, направленный на минимизацию регуляторных и репутационных рисков;
● вид внутреннего контроля, призванного минимизировать присущие бизнес-процессам риски правовых и регуляторных санкций11.
Практическое применение комплаенс-контроля по различным направлениям экономической деятельности выявляет его основную сущностную характеристику – обеспечение безусловного соблюдения требований законодательства. Достижение указанной цели требует формирования систем контроля, которые позволят достигнуть ее в максимально возможной степени. Для этого организация должна посредством комплаенса обеспечивать соблюдение законности при осуществлении своей деятельности и ее правомерность. В то же время общепринятые определения комплаенса дают право сказать, что комплаенс представляет собой более широкое понятие, чем простое соблюдение обязательных правил, призванное обеспечить законность экономической деятельности организации. Комплаенс – это не только осуществление экономической деятельности в правовом поле, но и осуществление ее с учетом этических норм и кодексов поведения, принятых в соответствующей бизнес-среде.
Таким образом, под комплаенс-риском, как правило, признают риск возникновения финансовых и репутационных потерь вследствие несоблюдения норм законодательства, внутренних документов организации и общепризнанных стандартов бизнес-процессов, а также применение санкции со стороны регулирующих и надзорных органов.
Пункт 3. Управление комплаенс-риском
Природа комплаенс-риска – потери вследствие несоблюдения – ставит вопрос о том, как управлять таким видом рисков. Любая деятельность коммерческой организации направлена на получение прибыли в интересах его собственников (доход), работников (зарплата) и общества (налоги). При этом есть грань, после которой система комплаенса не только обеспечивает минимизацию рисков, но и ограничивает бизнес непропорционально существующим рискам12. Комплаенс-контроль не должен становиться самоцелью, его функция – быть средством достижения стратегических целей. Избыток контроля, как и его недостаток, влечет за собой негативные последствия для бизнеса.
Управление комплаенс-рисками является одним из ключевых элементов эффективного управления бизнес-процессами. Вероятность реализации комплаенс-риска обусловлена правом регулирующих органов применить к банку меры ограничительного характера в силу возможностей, предусмотренных законодательством. В силу своей природы – контроль соответствия – комплаенс-риск может быть обнаружен до момента своей реализации при надлежаще отлаженном процессе по управлению комплаенс-риском.
Полагаем, он должен включать в себя следующие компоненты:
Схема 2. Компоненты управления комплаенс-риском
Эффективное управление комплаенс-риском возможно при соблюдении следующих условий:
● органы управления своевременно и на регулярной основе получают достоверную информацию об уровне комплаенс-риска;
● органы управления определили допустимый для банка уровень комплаенс-риска и осуществляют его мониторинг на регулярной основе;
● органы управления своевременно и в необходимом объеме утверждают требуемые для управления комплаенс-риском процедуры внутреннего контроля, направленные на предотвращение и минимизацию возможных последствий его реализации;
● органы управления своевременно и адекватно требованиям регулятора проводят мероприятия по совершенствованию подходов к управлению комплаенс-риском.
Управление рисками требует их оценки в целях установления уровня риска, который банк готов принять как допустимый. Согласно рекомендациям Базельского комитета «Принципы корпоративного управления для банков» риск-аппетит – это заранее определенные уровни и виды рисков в рамках допустимого уровня рисков, которые банк готов принять для достижения своих целей, исходя из масштаба и характера его деятельности в рамках стратегии и бизнес-плана13. В то же время применение к комплаенсу концепта «риск-аппетит» будет приводить к определенным противоречиям в деятельности банка, поскольку предполагает не исключение нарушений законодательства, а их сознательное допущение при определенных условиях.
Примечание
По мнению Банка России, факторами регуляторного риска, т.е. комплаенс-риска, являются только случаи непреднамеренного нарушения законодательства14.
Система управления рисками имеет не только существенные отличия от системы внутреннего контроля, частью которого является комплаенс-контроль, но и ряд важных взаимосвязей, по сути дела, внедрение внутреннего контроля является наиболее распространенным подходом к снижению уровня риска. Но управление рисками включает в себя ряд понятий, которые не рассматриваются в рамках внутреннего контроля, такие как «риск-аппетит», «толерантность к риску», «стратегия» и «бизнес-цели». Они устанавливаются в системе управления рисками, но должны рассматриваться как предварительные условия для внутреннего контроля.
Природа бизнес-процессов такова, что при их осуществлении постоянно возникают комплаенс-риски, несоблюдение законодательства может привести к потерям финансового (денежный штраф) или нефинансового характера (потеря деловой репутации). Руководству необходимо осознавать тот факт, что невозможно устранить все комплаенс-риски в деятельности банка либо свести их вероятность до нуля. Оценка комплаенс-риска с учетом всех потенциальных последствий (негативных и позитивных) является важным элементом управления комплаенс-риском. Соответственно, уровень допустимого комплаенс-риска при достижении стратегических целей должен находиться под их постоянным контролем, что, в свою очередь, позволит своевременно определять приоритеты при принятии решений, направленных на предотвращение и обнаружение наиболее существенных комплаенс-рисков. Оптимальный подход – когда соблюдение законодательства, ЛПА и иных требований рассматривается как одна из бизнес-целей.
Сложность управления комплаенс-риском заключается во множественности его проявлений, связанных с необходимостью соблюдения законодательства, ЛПА и иных требований при осуществлении банком своей деятельности. Таким образом, эффективное управление комплаенс-риском предопределяет наличие в банке отлаженных процессов по выявлению и отслеживанию всего спектра рисков, реализация которых способна повлечь негативные последствия в виде мер надзорного характера со стороны регулирующих органов либо ущерба для деловой репутации.
Для определения приоритетов при реагировании на те или иные проявления комплаенс-риска, выработку путей и способов локализации потенциальных потерь, включая снижение затрат на их минимизацию, целесообразно разработать реестр комплаенс-рисков. Идентификация и оценка комплаенс-рисков может осуществляться:
● по результатам проверок надзорных и контролирующих органов;
● по результатам внешнего аудита;
● по результатам внутреннего аудита и проверок подразделений внутреннего контроля и комплаенс-контроля;
● по результатам проведения подразделениями-владельцами рисков самоконтроля либо последующего контроля, проведенного иными участниками соответствующего бизнес-процесса.
По мнению австралийского управления пруденциального регулирования (АPRA), именно бизнес-подразделения несут главную ответственность за управление комплаенс-риском. Возложение ответственности за управление комплаенс-риском на подразделения по управлению рисками либо внутреннего контроля (комплаенс-контроль) не в полной мере согласуется с передовыми практиками в области внутреннего контроля и управления рисками, которые требуют четкого разграничения зон ответственности по выявлению комплаенс-риска в рамках модели «Три линии защиты», имплементированной в систему по управлению комплаенс-риском15.
Эффективная идентификация комплаенс-риска предопределяет наличие следующих взаимосвязанных этапов:
● принятие ЛПА, регулирующих процесс выявления, идентификации и оценки комплаенс-рисков;
● выявление комплаенс-рисков, связанных со стратегией и бизнес-целями;
● проведение на регулярной основе оценки внутренней и внешней среды, оказывающей влияние на степень реализации комплаенс-риска;
● разработка процесса выявления и идентификации новых и потенциальных комплаенс-рисков;
● наличие процедур учета комплаенс-рисков, связанных с действиями третьих лиц (риск аутсорсинга, риск неправомерных действий контрагентов и т.п.);
● наличие процедур получения, анализа и учета информации о реализации комплаенс-риска, поступающей извне (полученной по «горячей» линий, «телефону доверия», из СМИ и т.п.), а также учет результатов расследований, проведенных по фактам, содержащимся в полученной информации.
При оценке комплаенс-рисков первоочередное значение имеет их ранжирование по степени серьезности последствий в случае реализации. Серьезность комплаенс-риска можно оценить по 2 основным параметрам – уровень вероятности и степень воздействия.
Уровень вероятности дает возможность сделать предположение, когда и как может быть реализован комплаенс-риск в виде несоблюдения конкретных нормативных актов либо нарушения этических норм. Оценка вероятности комплаенс-риска, как правило, представляет собой мотивированное суждение, в основе которого лежит субъективная оценка предпосылок реализации комплаенс-риска. Качество оценки зависит, прежде всего, от уровня профессиональной подготовки и опыта лица, выносящего суждение.
Степень воздействия дает возможность оценить эффект влияния реализации комплаенс-риска на достижение стратегических целей банка. Он может быть как прямым и непосредственным (принятие мер надзорного характера регулятором, наложение штрафов и т.п.), так и косвенным, опосредованным (потеря деловой репутации, изменение морального климата, потеря перспектив развития и увольнение компетентных специалистов и т.п.).
Таким образом, качество оценки степени серьезности последствий реализации комплаенс-риска в значительной мере зависит от субъективного фактора, т.е. от профессиональных и личностных качеств должностных лиц, которые ее осуществляют. Минимизации субъективного фактора может способствовать определенная формализация процесса вынесения суждения. Для этого могут быть предприняты следующие шаги:
● выработана единая система оценки серьезности комплаенс-рисков;
● установлены качественные и количественные показатели, которые должны приниматься во внимание при оценке уровня вероятности и степени воздействия комплаенс-риска;
● установлены критерии для оценки уровня воздействия и степени вероятности возникновения комплаенс-рисков;
● комплексная оценка серьезности комплаенс-риска с учетом различных факторов (организационная структура, страна ведения бизнеса, действия аффилированных лиц и т.д.);
● проверка результатов самоконтроля подразделений-владельцев риска как со стороны подразделений внутреннего контроля (комплаенс-контроль), так и иными участниками соответствующих бизнес-процессов;
● создание подразделения, ответственного за организацию процесса управления комплаенс-риском (разработка внутренних документов, проведение контрольных мероприятий и т.п.).
Примечание
СOSO в концепции «Управление комплаенс-риском. Применение модели COSO ERM/Compliance Risk Management: Applying the COSO ERM Framework» допускает рассредоточение функции по управлению комплаенс-риском между различными подразделениями организации (юридическое, внутреннего аудита, по управлению риском и т.п.). Однако лучшей практикой является создание отдельного независимого подразделения, на которое будут возложены функции по организации процесса управления комплаенс-рисками16 (выявление и идентификация, оценка, мониторинг и контроль комплаенс-риска17).
Управление риском подразумевает определение его уровня, допустимого для организации, т.е. готовность к риску в части принятия негативных последствий от его реализации, что применимо к рискам финансового характера. Комплаенс-риск имеет нефинансовую природу, и как риск соответствия (несоответствия) должен оцениваться иначе – какой уровень риска приемлем для организации в достижении ее стратегических целей. При этом приоритет в оценке необходимо отдавать регуляторной составляющей комплаенс-риска, т.е. риску невыполнения требований, которые должны соблюдаться в обязательном порядке.
Пункт 4. Комплаенс-риск в системе рисков
Комплаенс-риск имеет дуалистическую природу – это соблюдение как обязательств, возлагаемых на организацию в силу их нормативной природы, так и обязательств, которые являются таковыми для организации по причине их добровольного принятия. Соответственно, реализация комплаенс-риска в первом случае несет регуляторные последствия, во втором – репутационные. Банк России в Положении № 242-П установил, что комплаенс-риск – риск возникновения у банка убытков в связи с несоблюдением российского законодательства, внутренних документов банка, стандартов саморегулируемых организаций, в случае их обязательного характера для банка, а также в силу применения санкций и (или) других мер воздействия со стороны регуляторов (регуляторный риск). При этом он разделяет правовой риск и регуляторный риск и не включает последний в операционный риск, аргументируя это тем, что согласно приложению 9 к Базелю II факторами операционного риска являются случаи внутреннего и внешнего мошенничества (т.е. умышленные действия). Случаи непредумышленного нарушения законодательства относятся к факторам регуляторного риска. При этом Банк России допускает, что один и тот же фактор риска может являться источником возникновения события как операционного, так и регуляторного рисков, в связи с чем одно и то же событие может быть включено в состав событий как операционного, так и регуляторного рисков.
Также необходимо отметить, что регуляторный (комплаенс-риск) и репутационный риски рассматриваются как отдельные виды риска. Такое разделение рисков находит свое отражение и в научной среде.
Примечание
Р.А. Кириллов дал определение регуляторного риска как риска несоблюдения внешних и (или) внутренних норм, касающихся любых аспектов деятельности корпорации (банка), где несоблюдение кодекса корпоративного поведения и этики было отнесено к социальным регуляторным рискам18. Полагаем, что несоблюдение этических норм, добровольно принятых банком к соблюдению посредством принятия соответствующего ЛПА, относится к риску потери деловой репутации, т.е. репутационному риску.
В 2020 году, учитывая изменения внешних экономических условий и повышения вероятности реализации комплаенс-рисков, имеющих внешнюю природу, Банк России направил российским банкам рекомендацию по расширению функции комплаенс-контроля, включив в нее контроль за соблюдением общепризнанных принципов и норм международного права и международных договоров, иных требований, обязательных для исполнения публичными АО, в т.ч. стандартов саморегулируемых организаций, кодексов поведения профессиональных объединений (Информационное письмо № ИН-06-28/143).
Вывод
В рамках совершенствования банковского законодательства и имплементации в него лучших международных практик принят Закон от 12.07.2023 № 282-З «Об изменении законов по вопросам банковской деятельности», содержащий нормативные правовые предписания о внедрении в банковскую практику комплаенс-контроля как части системы внутреннего контроля с созданием подразделений комплаенс-контроля и внутреннего контроля. Такой подход соответствует последним тенденциям формирования и функционирования систем комплаенса.
Важное значение для эффективного комплаенс-контроля имеет то, как будет обозначена его основная цель – управление комплаенс-рисками. Для этого необходимо определиться с понятием «комплаенс-риск» – это регуляторный риск, как закреплено в российской законодательстве и частично принято в российской банковской практике, либо это совокупность 2 субрисков – регуляторного и репутационного, как следует из последних стандартов ISO и моделей COSO в сфере управления комплаенс-рисками.
Целесообразно провести четкое разграничение между правовым риском и комплаенс-риском, установить соотносимость операционного риска и комплаенс-риска в событиях, реализация которых может быть рассмотрена как в рамках общей системы управления рисками, так и в рамках системы комплаенс-контроля.
Важное значение имеет участие банков в выработке стандартов и кодексов поведения, несоблюдение которых будет нести для участников банковского сообщества репутационные риски. Акционеры, руководство и работники банков должны иметь четкое понимание того, что формирование эффективного комплаенс-контроля невозможно без их усилий по формированию соответствующей комплаенс-среды, где соблюдение взятых на себя обязательств обеспечивается не угрозой возможных потерь от реализации комплаенс-рисков, а является неотъемлемой частью комплаенс-культуры банка.
Библиография
1. Лапко, Д. Актуальные направления развития банковского законодательства / Д. Лапко // Банкаўскі веснік. – 2022. – № 4 (705). – С. 3–8.
2. Кеворкова, Ж.А. Концептуальные положения комплаенс как формы внутреннего контроля в экономических субъектах / Ж.А. Кеворкова, Н.Г. Сапожникова // Учет, анализ, аудит. – 2020. – Т. 7 (№ 2). – С. 6–16.
3. Крепышева, А.М. Определение и измерение риска в комплаенс-менеджменте / А.М. Крепышева, А.А. Сергиевская, М.А. Сторчевой // Стратегические решения и риск-менеджмент. – 2020. – Т. 11 (№ 2). – С. 150–159.
4. The compliance function in banks. Basel Committee on Banking Supervision [Электронный ресурс]. – Режим доступа: http://www.bis.org/publ/bcbs103.pdf. – Дата доступа: 31.01.2024.
5. National Occupational Standards Compliance. International Compliance Association [Электронный ресурс]. – Режим доступа: https://www.int-comp.org/media/2007/nos-comp-june-11.pdf. – Дата доступа: 02.02.2024.
6. ISO/DIS 37301 «Compliance management systems – Requirements with guidance for use» [Электронный ресурс]. – Режим доступа: https://www.iso.org/obp/ui/ru/#iso:std:iso:37301:dis:ed-1:v1:en. – Дата доступа: 02.02.2024.
7. Compliance Risk Management: Applying the COSO ERM Framework. Committee of Sponsoring Organizations of the Treadway Commission [Электронный ресурс]. – Режим доступа: https://www.coso.org/erm-framework. – Дата доступа: 02.02.2024.
8. How to manage compliance risk and out of the headlines. The Australian Prudential Regulation Authority (APRA) [Электронный ресурс]. – Режим доступа: https://www.apra.gov.au/news-and-publications/how-to-manage-compliance-risk-and-stay-out-of-headlines. – Дата доступа: 02.02.2024.
9. Малыхин, Д.В. Особенности организации комплаенс-контроля в российских банках / Д.В. Малыхин // Внутренний контроль в кредитной организации. – 2009. – № 2. – С. 58.
10. Ахуньянова, Ч.Ф. Комплаенс-контроль в концепции устойчивого развития корпораций / Ч.Ф. Ахуньянова // Международный бухгалтерский учет. – 2014. – № 3 (297). – С. 1–10.
11. Кожина, В.О. Комплаенс-контроль в деятельности организаций / В.О. Кожина // Экономика: вчера, сегодня, завтра. – 2019. – Т. 9. – № 11А. – С. 166–172.
12. Шихвердиев, А.П. Комплаенс-риски в менеджменте организаций / А.П. Шихвердиев, Н.А. Оганезова, А.А. Вишняков, Л.В. Гудырева // Корпоративное управление и инновационное развитие экономики Севера: Вестник Научно-исследовательского центра корпоративного права, управления и венчурного инвестирования Сыктывкарского государственного университета. – 2018. – № 1. – С. 20–27.
13. Базельский комитет по банковскому надзору. Принципы корпоративного управления для банков. Июль 2015 г. / Банк России [Электронный ресурс]. – Режим доступа: https://www.cbr.ru/Content/Document/File/36687/Basel_cgpb.pdf. – Дата доступа: 02.02.2024.
14. Ответы, предоставленные Департаментом банковского регулирования Центрального банка Российской Федерации, на вопросы и предложения в отношении управления рисками, капитала, ВПОДК, поступившие в Оргкомитет от участников к встрече руководителей Банка России с руководителями коммерческих банков 10–12 февраля 2016 г. в ОПК «БОР» / Ассоциация банков России [Электронный ресурс]. – Режим доступа: https://asros.ru/dialog/capital/otvety-dbr-banka-rossii-na-voprosy-po-upravleniyu-riskami-i-kapitalom-bor-2016/. – Дата доступа: 02.02.2024.
15. Compliance Risk Management: Applying the COSO ERM Framework. Committee of Sponsoring Organizations of the Treadway Commission [Электронный ресурс]. – Режим доступа: https://www.coso.org/erm-framework. – Дата доступа: 02.02.2024.
16. Там же.
17. Кириллов, Р.А. Организация управления регуляторным риском в коммерческом банке / Р.А. Кириллов, А.А. Фирсова, А.В. Вавилина, О.Ю. Кириллова // Изв. Сарат. ун-та. Нов. сер. Сер. Экономика. Управление. Право. – 2016. – Т. 16. – Вып. 4. – С. 440–444.
18. Кириллов, Р.В. Управление регуляторным риском в системе внутреннего контроля корпорации (на примере компаний банковской сферы): автореф. дис … канд. экон. наук: специальность 08.00.05 / Р.В. Кириллов; Гос. ун-т управления. – М., 2015. – 23 с.
