Система управления рисками в банках по новым правилам

Материал подготовлен с использованием правовых актов по состоянию на 2 мая 2024 г.

Анализируются нормативные правовые предписания Инструкции об организации корпоративного управления, утв. постановлением Правления Национального банка от 21.02.2024 № 62, в части организации системы управления рисками в банках.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Банковский кодекс (далее – БК)

● Инструкция об организации корпоративного управления, утв. постановлением Правления Национального банка от 21.02.2024 № 62 (далее – Постановление № 62, Инструкция № 62)

Инструкция № 62 определяет для банков, небанковских кредитно-финансовых организаций, ОАО «Банк развития Республики Беларусь» (далее – банки), банковских групп, банковских холдингов требования к организации корпоративного управления.

Отмена прежних правил организации системы управления рисками

В связи со вступлением в силу Постановления № 62 утратила силу Инструкция об организации системы управления рисками, утв. постановлением Правления Национального банка от 29.10.2012 № 550 (далее – Инструкция № 550).

Терминология

Анализируя терминологию Инструкции № 62, можно выделить 3 группы терминов:

1) такие же, как в Инструкции № 550.

Ключевые индикаторы рисков – система показателей (параметров), используемых для наблюдения за основными факторами риска, а также для контролирования уровня рисков.

Присущий риск – риск, изначально присутствующий в деятельности банка в силу объективных причин.

Стресс-тест (стресс-тестирование) – оценка потенциального воздействия на финансовое состояние банка ряда заданных шоков (шоковых ситуаций), т.е. изменений в факторах риска, соответствующих исключительным, но вероятным событиям;

2) измененные термины.

Риск – объективно существующая в присущих банковской деятельности условиях неопределенности потенциальная возможность (вероятность) получения банком потерь (убытков), неполучения запланированных доходов и (или) ухудшения ликвидности и (или) наступления иных негативных последствий, связанных с внутренними и (или) внешними факторами рисков.

Риск-аппетит (ранее – склонность к риску) – уровень риска, который банк принимает при осуществлении своей деятельности в целях обеспечения получения запланированного уровня прибыли и достижения иных определенных банком стратегических целей.

Риск-профиль – совокупность показателей рисков и иных сведений, характеризующих подверженность банка различным видам рисков исходя из стратегии развития, характера, масштабов и сложности видов деятельности, а также финансового положения.

Система управления рисками – совокупность процесса управления рисками, организационной структуры, ЛПА, определяющих политику, методики и процедуры управления рисками, а также полномочий и ответственности органов управления банка, коллегиальных органов, подразделений и должностных лиц банка, направленная на ограничение принимаемых банком рисков и обеспечение его финансовой надежности.

Толерантность к риску – уровень риска, который банк определяет для себя как максимально допустимый (безопасный) для обеспечения своей финансовой надежности и долгосрочного функционирования;

3) совершенно новые.

Существенный риск – риск, признанный банком существенным по результатам проводимой им идентификации существенных рисков в рамках внутренней процедуры оценки достаточности капитала.

Фактор риска – причина, обуславливающая реализацию риска.

Комитет по рискам

Анализируя компетенцию комитета по рискам, можно выделить 4 группы полномочий:

1) те же, что и были в Инструкции № 550:

● принимает решения в отношении рисков;

● представляет совету директоров отчеты о состоянии системы управления рисками и об уровне рисков;

2) измененные:

● проводит оценку эффективности системы управления рисками (исключено: на консолидированной основе, в т.ч. рисками в банке, банковской группе и (или) банковском холдинге, головной организацией которой (которого) является этот банк);

● представляет на рассмотрение совета директоров свои рекомендации по вопросам управления рисками, установления толерантности к риску и риск-аппетита;

3) новые:

● осуществляет мониторинг показателей толерантности к риску и риск-аппетита по существенным рискам;

● осуществляет иные функции, определяемые советом директоров;

4) исключенные, а именно осуществляет внутренний мониторинг выполнения стратегии и решений совета директоров, принятых в отношении риск-профиля и толерантности к присущим банку рискам.

В Инструкции № 62 появляется новая норма, согласно которой заседания комитета по рискам проводятся с периодичностью, позволяющей обеспечить своевременное представление информации совету директоров для принятия управленческих решений, но не реже одного раза в месяц.

Требования к организации системы управления рисками

Органы управления банком обеспечивают эффективное управление присущими рисками и капиталом банка с учетом его риск-профиля, характера и объемов осуществляемых банковских операций и иной деятельности, обеспечивающее его финансовую надежность.

Как и ранее, банк обеспечивает постоянное участие органов управления в организации и функционировании системы управления рисками, а также четкое распределение полномочий по управлению рисками и ответственности между советом директоров, комитетом по рискам, исполнительным органом банка, иными коллегиальными органами и должностными лицами банка, подразделениями по управлению рисками, подразделениями, генерирующими риски, и взаимодействие между всеми указанными участниками процесса управления рисками.

Исполнительный орган банка организует систему управления рисками.

Исполнительный орган банка обеспечивает соблюдение толерантности к риску и риск-аппетита, поддержание риск-профиля банка, адекватного масштабу осуществляемой деятельности.

Исполнительный орган банка обеспечивает утверждение ЛПА банка, разработанных во исполнение не стратегии управления рисками, а стратегического плана развития банка и регламентирующих политику, методики и процедуры управления рисками (если уставом банка не определено, что утверждение таких ЛПА входит в компетенцию совета директоров), а также порядок принятия решений, взаимодействия подразделений, распределения и делегирования полномочий в процессе управления рисками, обеспечивает их эффективное применение на практике.

В банке назначается должностное лицо, ответственное за управление рисками, которое, как и ранее, подотчетно совету директоров, является работником банка и входит в состав комитета по рискам, но подчиняться может не только непосредственно руководителю банка, но и его заместителю.

В Инструкции № 62 появляется новая норма, согласно которой должностное лицо, ответственное за управление рисками в банке, обеспечивает организацию управления рисками на всех уровнях управления рисками в соответствии с характером и объемами осуществляемых банковских операций и иной деятельности. Должностному лицу, ответственному за управление рисками в банке, подчиняется подразделение по управлению рисками. Как и ранее, такое должностное лицо может возглавлять подразделение по управлению рисками.

Статус, должностные обязанности и полномочия (исключена ответственность) указанного должностного лица закрепляются в ЛПА банка.

В банке назначаются должностные лица и (или) создается постоянно действующее подразделение (подразделения) по управлению отдельными видами рисков в соответствии с характером и объемами осуществляемых банковских операций и иной деятельности.

Система управления рисками обеспечивается квалифицированными специалистами, информационными системами и программно-техническими средствами, позволяющими осуществлять сбор, обработку и анализ информации, используемой для управления рисками, проведение стресс-тестов, расчет потребности в капитале, а также составление управленческой отчетности.

ЛПА банка, содержащие политику, методики и процедуры управления рисками

Следует обратить внимание на то, что в Инструкции № 550 наряду с политикой была выделена стратегия управления рисками. В Инструкции № 62 стратегия исключена. При этом, по мнению регулятора, высказанному на расширенном совещании с представителями банков, не важно, как называется документ («политика» или «стратегия»), важна суть ЛПА, т.е. в части обязательного названия ЛПА банка «Политика» таких требований не имеется.

ЛПА банка, содержащие политику, методики и процедуры управления рисками, должны:

● быть последовательными, иметь степень детализации, адекватную уровню и существенности принимаемых рисков, масштабам и сложности деятельности банка;

● применяться единообразно во всех подразделениях;

● подвергаться не реже 1 раза в год оценке на адекватность, в т.ч. с учетом существенных для банка изменений в его деятельности и состоянии, а также изменений на финансовом рынке, по результатам оценки иметь соответствующие корректировки.

Политика управления рисками

Политика управления рисками основывается на стратегии развития банка, в которой определяются цели и задачи управления рисками, основные принципы и методы, используемые для достижения этих целей и выполнения задач, содержится перечень присущих и существенных рисков, устанавливаются требования к управлению рисками и организации процесса управления рисками.

Управленческая отчетность

В банке разрабатывается порядок использования результатов, полученных в процессе управления рисками и анализа устойчивости банка, предусматривающий информирование о них органов управления банком на регулярной основе, порядок их рассмотрения и принятие органами управления соответствующих решений, в т.ч. по исключениям в отношении установленных процедур, порядков и лимитов (ограничений).

Для информирования органов управления банком и должностных лиц банка используется управленческая отчетность, составляемая в динамике на установленные банком даты для выявления негативных тенденций с содержанием сведений:

● о риск-профиле банка с указанием уровня, краткой характеристики основных рисков и ключевых проблем управления ими;

● о выполнении нормативов ограничения рисков и иных нормативов безопасного функционирования, а также показателей, характеризующих толерантность к риску и риск-аппетит;

● о структуре и величине нормативного капитала, доступного и экономического капиталов, потребности в дополнительном капитале;

● о крупных рисках;

● о структуре кредитного, инвестиционного, торгового портфелей и качестве активов;

● о состоянии ликвидности;

●о нарушениях лимитов, операционных инцидентах и потерях по ним;

● о значениях ключевых индикаторов риска и фактах достижения пороговых значений по ним (новый вид сведений, которого ранее не было в Инструкции № 550);

● о сценариях и результатах стресс-тестов;

● о результатах проверки работоспособности плана (планов) обеспечения непрерывности деятельности и плана (планов) обеспечения финансовой устойчивости (новый вид сведений, которого ранее не было в Инструкции № 550);

● иные сведения, выводы и предложения, позволяющие принимать собственникам и (или) органам управления банка необходимые управленческие решения.

В ЛПА банк устанавливает порядок, состав, уровни и периодичность представления управленческой отчетности, позволяющие обеспечивать достаточность информации и своевременность ее представления органам управления банком и должностным лицам банка для принятия управленческих решений.

Процесс управления рисками

Процесс управления рисками включает выявление (идентификацию), измерение (оценку), мониторинг (контроль), ограничение (снижение) уровня рисков. Как видится, процесс управления рисками остался по сути прежний, а именно только внутренний мониторинг и контролирование слились в мониторинг (контроль).

Выявление (идентификация) рисков

Банк осуществляет классификацию рисков (их видов) (ранее еще и «категорий») и разрабатывает методику идентификации существенных и несущественных для банка видов рисков, позволяющую, помимо прочего, принимать во внимание взаимное влияние рисков и их концентрацию, а также выявляет новые риски, возникающие в его деятельности, в т.ч. в связи с началом осуществления им новых видов именно банковских операций (внедрением новых продуктов), выходом на новые рынки.

Выявление (идентификация) риска предполагает выявление основных факторов риска, которые вызвали (могут вызвать) потери и (или) дополнительные затраты.

Банк осуществляет выявление (идентификацию) присущих рисков, возникающих в процессе его деятельности, руководствуясь перечнем основных видов рисков согласно приложению 2 к Инструкции № 62.

Банк в ЛПА вправе дополнительно определить иные виды рисков, присущие его деятельности, а также их факторы.

Измерение (оценка) рисков

В методиках управления рисками определяются порядок количественной и (или) качественной (экспертной) оценки с использованием количественных и качественных факторов оценки для формирования мотивированного суждения об уровне риска.

В ЛПА банк отражает используемые методы измерения (оценки) и методики расчета величины всех существенных рисков. Выбор методов измерения (оценки) величины рисков, признаваемых существенными, банк устанавливает самостоятельно.

Банк осуществляет внутреннюю процедуру оценки достаточности капитала для покрытия не только ожидаемых, но и непредвиденных потерь в соответствии с требованиями Инструкции об организации внутренней процедуры оценки достаточности капитала и управления рисками, утв. постановлением Правления Национального банка от 22.01.2018 № 25.

Мониторинг (контроль) рисков

Мониторинг (контроль) рисков представляет собой сбор (накопление), обработку и анализ информации, на основе которой осуществляются оценка, контроль рисков и составление пруденциальной и управленческой отчетности.

Мониторинг рисков проводится путем ведения и анализа баз данных о клиентах, должниках, контрагентах, банках-корреспондентах, эмитентах ценных бумаг, залоговых активах, рыночной стоимости активов, курсах валют, операционных инцидентах и иных данных, получаемых из внутренних и внешних источников информации, необходимых для оценки рисков на уровне отдельной операции (сделки), портфельном уровне и риск-профиля банка в целом.

Контроль рисков банк обеспечивает путем:

● формирования ключевых индикаторов каждого существенного риска, связанных с его уровнем и показывающих потенциальные источники риска, а также позволяющих осуществлять их анализ на регулярной основе;

● установления контрольных значений каждого индикатора и обеспечения принятия соответствующих мер реагирования при их нарушении;

● изучения внутренних и внешних факторов, оказывающих влияние на уровень риска.

Ограничение (снижение) риска

Ограничение (снижение) риска предполагает осуществление банком комплекса мер, направленных на снижение вероятности наступления событий, приводящих к потерям (убыткам), вплоть до отказа от принятия риска или его передачи третьей стороне, или уменьшение величины потерь (убытков).

Банк в ЛПА отражает используемые методы (инструменты) ограничения (снижения) рисков, сформированную систему лимитов и (или) ограничений (исключен, по сравнению с Инструкцией № 550, порядок контролирования применения и соблюдения лимитной политики, принятия надлежащих мер со стороны руководства).

Анализ устойчивости банка к существенным рискам

Банк на регулярной основе осуществляет анализ устойчивости банка к существенным (в Инструкции № 550 было «присущим») рискам, в т.ч. моделирование, анализ потенциального воздействия на финансовое состояние банка возможных шоковых ситуаций (стресс-тестирование) в соответствии с утвержденными ЛПА.

В ЛПА банк определяет цели и задачи стресс-тестирования, распределяет полномочия и порядок его проведения, устанавливает адекватную периодичность его проведения, порядок рассмотрения результатов и доведения их до органов управления банком (исключены, по сравнению с Инструкцией № 550, основные этапы работы и их предназначение, определены достаточные технические, информационные и человеческие ресурсы для создания и развития инфраструктуры стресс-тестирования и работы с данными).

Планы действий на случаи реализации рисков

Банк разрабатывает следующие планы действий на случаи реализации рисков:

● план (планы) обеспечения непрерывности деятельности на случай реализации рисков, способных привести к приостановке функционирования банка (далее – планы обеспечения непрерывности деятельности) (в Инструкции № 550 – план действий на случай непредвиденных обстоятельств в целях обеспечения непрерывности деятельности банка в случае возникновения неблагоприятных (кризисных) ситуаций);

● план (планы) обеспечения финансовой устойчивости на случай реализации рисков, способных привести к ее потере (далее – планы обеспечения финансовой устойчивости) (в Инструкции №550 – план финансирования в кризисных ситуациях).

Необходимое количество планов банк определяет самостоятельно.

Инструкция № 550 требовала, чтобы в плане обеспечения непрерывности деятельности были предусмотрены процедуры и организационные аспекты действий банка в непредвиденных обстоятельствах. Согласно Инструкции № 62 в планах обеспечения непрерывности деятельности банк предусматривает:

● иерархию, сроки принятия решений и порядок действий для продолжения осуществления критических для банка процессов, операций и восстановления способности их осуществления в полном объеме и (или) порядок действий для поддержания безопасной работы критических объектов информационной инфраструктуры банка и восстановления их работоспособности в полном объеме;

● факторы риска, способные привести к приостановке функционирования банка;

● критические процессы, операции и объекты информационной инфраструктуры, работа которых обеспечивает непрерывность функционирования банка.

Инструкция № 550 требовала, чтобы в плане обеспечения финансовой устойчивости были предусмотрены организация действий по преодолению серьезного нарушения способности банка осуществлять фондирование нескольких или всех видов своей деятельности своевременно и по приемлемой цене; указаны конкретные источники кризисного финансирования и прогнозный объем ресурсов, который может быть получен из этих источников; установлены порядок, сферы компетенции и иерархия принятия решений в случае проблем с ликвидностью; определены временные рамки принятия таких решений при различных допущениях и стрессах. Согласно Инструкции № 62 в планах обеспечения финансовой устойчивости банк предусматривает:

● иерархию, сроки принятия решений и порядок действий для восстановления финансовой устойчивости в изменившихся условиях деятельности;

● факторы риска, способные привести к потере финансовой устойчивости банка;

● источники обеспечения банка ресурсами для восстановления финансовой устойчивости и объемы ресурсов, которые могут быть обеспечены при использовании данных источников.

Банк разрабатывает планы обеспечения непрерывности деятельности и планы обеспечения финансовой устойчивости с учетом следующего:

● факторы риска определяются на основании риск-профиля банка, в т.ч. возможных шоковых ситуаций, анализ устойчивости к которым осуществляется в рамках стресс-тестирования существенных рисков;

● планы обеспечения непрерывности деятельности и планы обеспечения финансовой устойчивости разрабатываются до реализации рисков, способных привести к приостановке функционирования или потере финансовой устойчивости банка, а в случае реализации ранее не предусмотренных факторов риска – после их реализации;

● планы обеспечения непрерывности деятельности и планы обеспечения финансовой устойчивости согласуются друг с другом;

● планы обеспечения непрерывности деятельности и планы обеспечения финансовой устойчивости согласовываются заинтересованными подразделениями и утверждаются органами управления банка;

● в планах обеспечения непрерывности деятельности и планах обеспечения финансовой устойчивости определяются случаи, порядок и сроки информирования работников, клиентов (контрагентов) банка, аутсорсинговых организаций, Национального банка и других госорганов о реализации рисков и соответствующих планов действий.

В Инструкции № 62 появилась новая норма, согласно которой банк обеспечивает обучение заинтересованных подразделений банка порядку действий, предусмотренному планами обеспечения непрерывности деятельности и планами обеспечения его финансовой устойчивости.

Инструкция № 62 вводит ежегодную периодичность осуществления проверки работоспособности планов обеспечения непрерывности деятельности и планов обеспечения финансовой устойчивости, их пересмотр и корректировку с учетом изменения риск-профиля банка.

Оценка эффективности системы управления рисками

Банк не реже одного раза в год проводит оценку эффективности системы управления рисками для ее поддержания в состоянии, адекватном меняющимся условиям.

Результаты проведенной оценки банк учитывает в процессах разработки и совершенствования политики, методик и процедур управления рисками (по сравнению с Инструкцией № 550, исключена «стратегия», появились «методики»).

Операционный риск

Анализируя перечень основных видов рисков (приложение 2 к Инструкции № 62), можем сделать вывод, что основные изменения коснулись операционного риска.

1. Изменилось понятие операционного риска. Операционный риск – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате несоответствия установленных банком порядков и процедур осуществления банковских операций и иной деятельности актам законодательства, ЛПА банка, деловой практике или нарушения этих порядков и процедур работниками банка, некомпетентности или ошибок работников банка, несоответствия или отказа используемых банком систем, в т.ч. информационных, а также в результате действия внешних факторов.

2. Одним из видов операционного риска является методологический риск. Новым является то, что одним из основных видов методологического риска является модельный риск – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате недостатков в методологии применяемых банком количественных и качественных моделей оценки требований и обязательств, рисков и иных показателей.

3. В Инструкции № 62 появляется такой новый вид операционного риска, как риск информационной безопасности – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате противоправных действий лица либо группы лиц, совершаемых в целях несанкционированного доступа к объектам информационной инфраструктуры банка и направленных на нарушение конфиденциальности, целостности, подлинности, доступности и сохранности защищаемой информации, и (или) в результате действий или бездействия работников банка и (или) третьих лиц, направленных на совершение преступлений против компьютерной безопасности банка.

4. Изменилось понятие киберриска. Киберриск – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате противоправных действий лица либо группы лиц, совершаемых посредством использования информационных технологий в целях несанкционированного доступа к объектам информационной инфраструктуры банка и направленных на нарушение конфиденциальности, целостности, подлинности, доступности и сохранности защищаемой информации, и (или) в результате действий (бездействия) работников банка и (или) третьих лиц, направленных на совершение преступлений против компьютерной безопасности банка.

5. В Инструкции № 62 появляется такой новый вид операционного риска, как комплаенс-риск – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате несоблюдения банком актов законодательства, ЛПА банка, а также несоответствия ЛПА банка актам законодательства, применения к банку мер ответственности со стороны контролирующих (надзорных) органов, санкций со стороны международных организаций и отдельных стран.

Основными видами комплаенс-риска являются следующие виды рисков:

● правовой риск – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате допускаемых правовых ошибок при осуществлении деятельности, противоречивости, несовершенства и изменчивости актов законодательства, а также в результате судебных процессов, других правовых процедур, оказывающих негативное воздействие на деятельность банка;

● риск легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения – риск возникновения у банка потерь (убытков) и (или) дополнительных затрат, неполучения запланированных доходов в результате несоблюдения банком законодательства в сфере предотвращения легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения.

Основными видами данного риска являются виды рисков, связанных с легализацией доходов, полученных преступным путем, финансированием террористической деятельности и финансированием распространения оружия массового поражения, определяемые в соответствии с законодательством в сфере предотвращения легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения.