Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

KRI — Key Risk Indicator — ключевой индикатор риска.

KCI — Key Control Indicator — ключевой индикатор контроля.

ORMF — Operational Risk Management Framework — система управления операционным риском.

HR — Human Resources — управление персоналом.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

События операционных потерь: внутренние и внешние данные

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство по управлению операционным риском

Institute of Operational Risk (IOR), компания группы IRM

Русское электронное издание подготовлено по предоставленному пользователем оригиналу. Сохраняются профессиональные термины событие потерь, событие без последствий, ORMF, RCSA, KRI/KCI там, где они полезны для сопоставления с отраслевой литературой.

Предисловие

Институт операционного риска (IOR) развивает профессию операционного риск-менеджмента и распространяет практические методы качественного управления. Руководство дополняет общие стандарты, включая ISO 31000, и предназначено для организаций разных отраслей и масштаба.

Основная идея серии: не существует единой системы для всех, но каждая организация должна регулярно сравнивать свою практику с лучшими подходами, совершенствовать ORMF и использовать данные для более объективных решений.

Содержание

Введение

Польза внутренних и внешних данных о событиях

Элементы события операционного риска

фактические события и событие без последствий

даты и время

тип события

место

причины

отказ контролей

прямые/косвенные и финансовые/нефинансовые последствия

Внедрение процесса сбора

Отчётность по событиям

Использование данных

Практические сложности

Выводы

1. Введение

Данные о событиях операционных потерь — один из главных источников фактической информации для ORMF.

Под событием потерь понимается совокупный ущерб организации, возникший вследствие одной или нескольких причин.

Сбор, анализ и отчётность по реальным событиям являются «позвоночником» качественной системы управления операционным риском, потому что дают осязаемые данные о:

фактической частоте/вероятности событий;

реальной тяжести последствий;

качестве контролей;

слабых местах процессов и систем.

Это снижает субъективность RCSA и других оценок.

Прошлые события также дают организации возможность учиться: хороший retrospective analysis повышает качество будущего foresight.

Руководство рассматривает как внутренние события, так и внешние данные, которыми можно дополнить собственную статистику.

2. Внутренние и внешние данные

Своевременный сбор внутренней информации позволяет строить всё более близкую к реальному времени картину фактической экспозиции операционного риска. Чем сбор полнее, тем точнее эта картина.

Как внутренние данные о потерях поддерживают риск-менеджмент

Задача | Польза данных событий
Идентификация | Выявление новых экспозиций, которые раньше не были зарегистрированы
Оценка | Поддержка оценки вероятности и воздействия
Мониторинг | Понимание текущего уровня риска и эффективности контролей; анализ трендов
Контроль | Реальные события выступают «живым тестом» контролей и показывают, как их улучшить

Но ни одна организация не переживёт весь спектр событий, которым теоретически подвержена, особенно редких событий с низкой вероятностью и высоким impact. Поэтому полезны внешние базы.

Консорциумные базы

Участники платят за доступ и обязуются регулярно передавать собственные события по строгим правилам. Идентичность участников обычно защищается обезличиванием.

Преимущества:

высокая полнота;

более высокая точность;

много полей по каждому событию;

данные включают не только громкие случаи;

можно формировать группы сопоставимых организаций;

иногда возможно статистически корректно объединять внутренние и консорциумные данные.

Недостатки:

высокая стоимость;

строгие обязательства по собственной отчётности.

Базы из публичных источников

Такие поставщики отслеживают СМИ и специализированные источники и перерабатывают найденные случаи в форму, пригодную для анализа операционного риска.

Преимущества:

дешевле;

нет обязанности делиться собственными событиями;

часто доступны детали конкретной организации, отказов контролей, сопутствующих факторов и последствий;

особенно полезны для редких тяжёлых событий, которые попадают в публичное поле;

помогают замечать emerging risks, например новые типы киберинцидентов.

Ограничения:

выборка смещена в сторону «новостных» крупных случаев;

данные могут быть неполными и менее точными.

3. Элементы события операционного риска

3.1. Фактические события и событие без последствий

Система событие потерь collection по определению собирает реальные потери. Многие организации дополнительно регистрируют событие без последствий — событие, которое произошло, но не привело к финансовому, репутационному, человеческому или иному ущербу.

Убыток мог не возникнуть из-за:

удачи;

своевременно сработавшего контроля;

действий внешнего участника.

Примеры:

поставщику дважды отправили платёж, но он сам сообщил об ошибке и вернул деньги;

ошибка была обнаружена последующей сверкой до возникновения реальной потери.

Событие без последствий чрезвычайно полезен, потому что:

показывает ранние признаки будущих убытков;

позволяет учиться до крупного события;

даёт фактическую информацию об эффективности контролей.

Серии событие без последствий нередко предшествуют крупным потерям, поэтому их системный сбор способен предотвратить тяжёлые события.

3.2. Дата и время

Временные поля позволяют строить исторические тренды и видеть изменение экспозиции.

Обычно фиксируют минимум:

время обнаружения;

время завершения события.

Операционное событие может длиться минуты, дни, месяцы или годы. Например, требования юридической ответственности часто урегулируются годами.

Иногда дополнительно ищут момент фактического начала/проявления события, который мог быть намного раньше обнаружения.

Пример: загрязнение окружающей среды могло начаться за недели или месяцы до того, как его заметили.

Установить настоящую дату начала бывает сложно, но это полезно для:

страховых требований;

анализа скорости обнаружения;

корректного отнесения потерь к отчётному периоду;

при необходимости корректировки бухгалтерской/налоговой информации.

3.3. Тип события

Каждое событие следует отнести к определённой категории операционного риска.

Это позволяет:

строить профиль реализующихся рисков;

находить области высокой экспозиции;

приоритизировать ресурсы;

агрегировать и сравнивать данные.

Категоризация должна быть согласована с общей таксономией операционных рисков организации.

3.4. Место события

Нужно фиксировать не только физическую площадку, но и организационный источник:

объект/филиал/территория;

бизнес-единица;

функция;

подразделение — например Finance, Operations, HR.

Это позволяет строить географический и организационный профиль событий.

3.5. Причины

У каждого операционного события есть причины, часто несколько. Они могут образовывать цепочку:

непосредственная причина → промежуточные причины → коренные/базовые причины.

Цепочка может иметь больше трёх уровней, но регистрировать всю глубину для каждого мелкого события обычно слишком дорого.

Распространённый компромисс:

для обычных событий фиксировать основную категорию причины — люди, процессы, системы, внешнее событие;

для крупных потерь проводить подробный root cause analysis.

Чем детальнее классификация причин, тем лучше понимание причинных связей, но тем выше стоимость сбора данных.

3.6. Отказы контролей

Отказ контроля может учитываться как отдельная причина либо отдельным полем.

Большинство событий потерь связано с неработоспособностью одного или нескольких контролей. Поэтому события потерь дают прямую информацию об эффективности контроля.

Анализ должен отвечать на вопросы:

какой контроль должен был предотвратить событие;

почему он не сработал;

какой детективный контроль помог обнаружить событие;

какой митигирующий контроль ограничил ущерб;

что изменить, чтобы подобное не повторилось.

Важно фиксировать не только провалы, но и сработавшие контроли. Например, детективный контроль мог своевременно обнаружить проблему, а mitigation — уменьшить impact.

3.7. Прямые и косвенные последствия

Прямые последствия относительно легко связать с событием:

штраф;

пеня;

сверхурочные выплаты;

стоимость ремонта.

Косвенные могут проявиться позднее:

снижение продаж;

потеря доли рынка;

потеря клиентов;

увеличение будущих расходов.

Поэтому окончательный impact может уточняться по мере развития и закрытия события.

3.8. Финансовые и нефинансовые последствия

Финансовый impact может включать:

замену активов;

очистку и восстановление;

liability claims;

штрафы;

иные прямые и косвенные расходы.

Нефинансовый impact сложнее измерить. Примеры:

репутационный ущерб;

потеря goodwill;

падение доверия клиентов.

Его можно оценивать по калиброванной качественной шкале Low/Medium/High, привязав уровни к измеримым признакам — например количеству затронутых клиентов и длительности простоя сервиса.

4. Внедрение процесса сбора событий

4.1. Связь с общей ORMF

Процесс регистрации событий должен быть встроен в общую систему управления операционным риском.

Это означает:

корпоративное управление должен поддерживать регистрацию и контроль соблюдения процедуры;

роли и ответственность за ввод данных должны быть назначены;

должна существовать эскалация в зависимости от тяжести;

пороги регистрации и эскалации должны быть согласованы с risk appetite/tolerance;

классификация события должна совпадать с корпоративной таксономией операционных рисков;

необходимо учитывать риск-культуру, поскольку она сильно влияет на готовность сотрудников сообщать об ошибках и инцидентах.

4.2. Рекомендуемые поля карточки события

Поле | Содержание
Затронутые бизнес-области | Подразделения, функции и бизнес-единицы
Физическое место | Объект/площадка, если их несколько
Затронутые виды деятельности | Процессы и операции
Тип события | По корпоративной классификации операционных рисков
Даты и время | Обнаружение и закрытие; при необходимости фактическое начало
Описание | Краткое понятное описание произошедшего
Причины | Обстоятельства и причины; после закрытия могут уточняться root cause analysis
Последствия и возмещения | Минимум прямой финансовый ущерб и recoveries: компенсации, страховые выплаты и др.
Дополнительный impact | При необходимости косвенные и нефинансовые последствия
Действия | Краткосрочные меры для текущего события и долгосрочные меры предотвращения повторения

Можно добавлять более детальные поля — например разделять proximate и underlying causes или отдельно учитывать нефинансовые эффекты. Но каждое дополнительное поле повышает стоимость процесса.

Слишком тяжёлая форма регистрации способна вызвать сопротивление бизнеса и привести к недорегистрации событий. Нужен баланс полноты и затрат.

4.3. Порог регистрации

Идеально собирать все события. Практически это может быть слишком дорого, поэтому часто вводится денежный порог.

Например, организация может регистрировать события только при ущербе свыше £5 000 или £50 000.

Порог зависит от:

размера организации;

risk appetite;

стоимости процесса сбора.

Крупная организация с более высоким appetite может установить больший порог; небольшая — меньший.

На старте системы допустимо начать с относительно высокого порога, а затем снижать его по мере того, как сотрудники привыкают к процессу и автоматизация уменьшает затраты.

4.4. Целостность данных

Данные должны быть своевременными, точными и полными.

Своевременность

Информация должна вводиться как можно скорее после выявления события.

Можно установить срок, например:

1 рабочий день;

5 рабочих дней;

другой реалистичный срок.

Он должен учитывать масштаб компании, риск-культуру и реальную возможность владельцев процесса предоставить информацию. Риск-функции важно согласовать требования с бизнесом, чтобы получить buy-in.

Точность

В первые часы/дни точные суммы часто неизвестны. Поэтому данные должны обновляться по мере появления новой информации.

Способы валидации:

сравнение похожих событий между подразделениями;

внешние аналоги;

внутренний аудит процедуры сбора.

Полнота

Для каждого события должны быть заполнены все обязательные поля, а все события, соответствующие критериям регистрации, должны попадать в базу.

Событие без последствий сложнее собирать полностью, потому что отсутствие ущерба делает такие случаи менее заметными.

5. Отчётность и эскалация

5.1. Роли и ответственность

Риск-функция редко вводит события сама. Она зависит от сотрудников подразделений, которые знают, что произошло.

Поэтому необходимо формально определить:

кто сообщает;

какие данные предоставляет;

в какой срок;

кто проверяет качество.

Если есть владелец рискаs, их часто делают ответственными за своевременность, точность и полноту регистрации. В организациях с risk champions регистрация может выполняться ими.

В каждом подразделении, функции или на каждой площадке должен быть хотя бы один человек, отвечающий за то, чтобы события не оставались незарегистрированными.

Риск-функция осуществляет надзор. Внутренний аудит периодически проверяет, работает ли процесс и нет ли скрытого underreporting.

5.2. Эскалация

Правила эскалации желательно утверждать риск-комитетом и связывать с risk appetite и финансовыми порогами.

Пример из руководства:

убыток менее £5 000 — остаётся внутри бизнес-области;

≥ £5 000 — сообщается операционной риск-функции;

≥ £50 000 — соответствующему высшее руководство;

≥ £250 000 — executive directors;

≥ £500 000 — делегированному риск-комитету совета;

≥ £1 млн — немедленно совету директоров.

Это лишь пример, а не универсальная шкала.

Важно пересматривать уровень эскалации по мере уточнения ущерба: событие, первоначально оценённое ниже порога, позже может его превысить.

5.3. Варианты действий

Вариант | Содержание
Acceptance | Принять событие/экспозицию, если она внутри appetite/tolerance
Mitigation | Снизить текущий или будущий impact: PR, goodwill-платежи, мировое соглашение, усиление контролей
Transfer | Использовать страхование; для будущих событий увеличить объём transfer
Funding | Создать резервы, использовать кредитные линии, дополнительный капитал при крупном убытке
Prevention | Изменить процесс или контроли, чтобы аналогичное событие не повторилось

Следует различать:

действия по текущему событию — обычно срочные и краткосрочные;

действия по будущему предотвращению — часто более долгосрочные и окончательно определяются после закрытия расследования.

6. Использование данных событий

Loss data используются в трёх основных направлениях:

как вход и средство валидации оценок риска;

для обучения на прошлом и корпоративное управление/oversight;

как статистика для количественных моделей.

6.1–6.2. RCSA, сценарии и KRI

В RCSA реальные события помогают:

проверять вероятность и impact;

оценивать control effectiveness;

находить риски, которые раньше не оценивались.

В scenario analysis реальные события можно:

использовать как фактическую основу;

«увеличивать» до более тяжёлого сценария;

комбинировать элементы нескольких случаев;

строить causal chains.

Особенно полезны внешние события для low-вероятность/high-impact scenarios.

Данные событий также помогают формировать KRI/KCI:

тренд суммы убытков по категории — самостоятельный KRI;

количество отказов контролей — KCI;

сравнение KRI с реальными потерями позволяет увидеть, какие индикаторы действительно предсказывают события, а какие бесполезны.

6.3. Risk appetite и tolerance

Фактическая история потерь делает выбор tolerance менее субъективным.

Например, можно анализировать последние 12 месяцев с учётом сезонности:

среднее значение использовать как ориентир перехода Green → Amber;

худшее историческое значение — как ориентир Amber → Red, если организация не готова терпеть ситуацию хуже ранее пережитой.

Практическая логика:

если реальный ущерб внутри tolerance, событие может рассматриваться как стоимость ведения бизнеса и требовать только мониторинга;

если ущерб переносим, но стоимость mitigation чрезмерна, организация может осознанно принять экспозицию;

если событие имеет тяжёлые последствия и нарушает appetite/tolerance, требуется снижение риска.

На основе tolerance данные о потерях можно строить KRI по объёму и стоимости реализующихся убытков.

6.4. Внешний сопоставительный анализ

Сопоставление внутренних и внешних данных позволяет сравнивать:

частоту событий;

средний ущерб;

категории риска;

скорость обнаружения и регистрации.

Если организация теряет чаще или больше peers, это может указывать на слабые контроли.

Если потери устойчиво ниже отраслевого уровня и внутри appetite, иногда можно обосновать снижение избыточного контроля и сэкономить ресурсы.

Внешний ориентир также помогает обнаружить underreporting внутри компании. Если внутренняя статистика подозрительно «идеальна» по сравнению с отраслью, возможно, события просто не регистрируют.

Недорегистрация сама по себе опасна: невыявленные слабые процессы и контроли могут однажды привести к крупному событию. Даже множество мелких частых потерь способно накапливать клиентский, репутационный и регуляторный ущерб.

Сравнение времени между обнаружением и регистрацией внешних событий с собственной практикой помогает понять, нужно ли ужесточить сроки, эскалацию или обучение.

6.5. Выявление emerging risks

Полноценная оценка риска должна учитывать весь спектр потенциальных экспозиций. Только выявив их и выделив наиболее значимые, организация может построить действительно полный набор контролей.

Особенно полезны внешние данные о потерях: они показывают события, которым организация подвержена, но которые пока не происходили внутри неё.

Такие данные помогают:

замечать новые типы риска;

отслеживать изменения частоты и тяжести;

видеть отказавшие контроли у других организаций;

заранее выбирать экономически оправданные меры;

оценивать, где инвестиции в контроль принесут наибольшую пользу.

6.6. Insight и oversight

Данные событий повышают понимание операционного риска и показывают последствия плохого управления не в теории, а на реальных примерах.

Они также усиливают надзор и независимое подтверждение со стороны:

риск-функции;

внутреннего аудита;

соблюдение требований;

органов корпоративного управления.

6.7. Поддержка risk корпоративное управление

Внутренняя база события потерь позволяет:

показывать высшему руководству и совету текущий фактический риск-профиль;

проверять выводы RCSA и других компонентов ORMF;

убеждаться, что уроки событий действительно используются в последующей идентификации и оценке рисков;

оценивать контрольную среду как по неудачным контролям, так и по событие без последствий, где контроль сработал.

IOR настоятельно рекомендует включать внутреннюю статистику потерь в регулярную риск-отчётность, особенно для риск-комитета и комитет по аудиту.

6.8. Обучение и повышение осведомлённости

Реальные внутренние и внешние события — сильный учебный материал.

На их основе можно показать сотрудникам:

где началось событие;

как оно развивалось;

какие процессы и контроли отказали;

какие последствия возникли;

сколько реально стоил ущерб;

что сделали после события;

насколько последующие меры усилили контрольную среду.

Также данные помогают объяснять, как несколько мелких событий могут агрегироваться в крупную проблему, и почему событие, произошедшее в одном подразделении или у другой компании, вполне может повториться здесь.

Такие уроки помогают сотрудникам распознавать ранние warning signs будущих крупных потерь.

6.9. Тематические обзоры

Необычное внешнее событие может запускать внутренний тематический review по вопросам:

«Может ли это произойти у нас?»

«Если произойдёт, выдержат ли наши контроли?»

Примеры — извержение вулкана с закрытием воздушного пространства, пандемия, новый тип киберугрозы.

Тематический обзор превращает внешнюю историю в конкретный внутренний план мероприятий.

6.10. Моделирование риска

Внутренние и внешние данные о потерях могут использоваться для количественной оценки вероятность и impact.

Чем больше объём и качество данных, тем надёжнее статистический анализ. Но всегда нужно помнить:

имеющиеся события — лишь выборка из полного распределения возможных исходов;

данные исторические;

прошлые закономерности не гарантируют будущее.

Если данные о потерях используются в модели, нужно регулярно сравнивать фактические потери с прогнозными и уточнять модель на основе нового опыта.

7. Практические сложности

7.1. Риск-культура

Ключевой риск процесса — формирование blame culture.

Если сотрудники боятся наказания за сам факт события, они начинают скрывать информацию, и база быстро становится бесполезной.

Особенно опасно напрямую связывать число событий с индивидуальным вознаграждением: это стимулирует underreporting.

Более разумный подход — оценивать соблюдение самой процедуры риск-менеджмента:

своевременно ли событие зарегистрировано;

полны ли данные;

точна ли информация;

выполнены ли необходимые действия.

Публикация «рейтинга подразделений по количеству потерь» также может иметь двойной эффект. Она способна стимулировать улучшение, но может создать давление скрывать события.

Поэтому критически важна коммуникационная стратегия для разных аудиторий — от senior executives до младшего операционного персонала.

Цель коммуникации:

осведомлённость → понимание → готовность сообщать → корректное действие.

Акцент следует делать на пользе открытой и честной регистрации, а не на поиске виноватого.

7.2. Категоризация событий

Две распространённые проблемы:

отличить событие потерь от событие без последствий;

отнести сложное событие к одной категории риска.

Рабочее определение:

событие без последствий — нет ни финансового, ни нефинансового ущерба благодаря удаче или контролям;

событие потерь — имеется финансовый и/или нефинансовый impact.

Если в момент обнаружения ещё неизвестно, возникнет ли ущерб, лучше сначала зарегистрировать случай как событие потерь и позже переклассифицировать в событие без последствий, если последствия не материализуются.

Оценка impact также может корректироваться вверх или вниз по мере появления данных.

7.3. Связанные события

Если множество событий связаны общей коренной причиной или одним отказом контроля и происходят на протяжении времени, их полезно агрегировать и рассматривать как один комплексный случай для анализа и план мероприятийning.

Это помогает увидеть корреляции:

событие A → событие B → событие C

и направить ресурсы не на симптомы, а на ключевую underlying cause или системный контроль.

7.4. Валидация суммы убытка

Полностью подтверждать каждую копейку по каждому событию через бухгалтерские счета часто слишком дорого и практически невозможно.

Причины:

расходы разносятся по разным счетам;

часть потерь отражается через доходные счета и возвраты;

прямые и косвенные последствия накапливаются во времени.

Поэтому многие организации используют принцип 80/20:

подтверждают то, что легко сопоставляется с учётом;

максимально глубоко валидируют самые крупные события.

7.5. Когда закрывать событие

Очевидная точка закрытия — выполнение согласованного план мероприятий.

Но если продолжаются recoveries, страховые выплаты, судебные процессы и другие долгие возмещения, возможны два подхода:

держать событие открытым до окончательного net loss;

установить практический срок, например конец текущего финансового периода, чтобы события не оставались открытыми бесконечно.

8. Выводы

Операционные потери неприятны и затратны, но одновременно дают организации материал для обучения.

Они редко существуют полностью изолированно: события повторяются, имеют общие причины, слабые контроли и культурные предпосылки.

Система событие потерь collection превращает этот опыт в актив ORMF.

При этом идеальная полнота данных не обязательна. Гораздо важнее начать системно анализировать события и извлекать уроки, особенно если они показывают:

слабые контроли;

системные причины;

опасное поведение людей;

проблемы риск-культуры.

Главная цель — лучше понимать причины → контроли → события → последствия и на этой основе повышать ценность операционного риск-менеджмента.

Источник: Institute of Operational Risk / Institute of Risk Management — www.theirm.org.