Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

ORMF — Operational Risk Management Framework — система управления операционным риском.

CRO — Chief Risk Officer — руководитель функции управления рисками.

CEO — Chief Executive Officer — генеральный директор.

CFO — Chief Financial Officer — финансовый директор.

COO — Chief Operating Officer — операционный директор.

HR — Human Resources — управление персоналом.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

Корпоративное управление операционным риском

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство IOR

Institute of Operational Risk (IOR), компания группы IRM

Русское электронное издание подготовлено по предоставленному пользователем оригиналу.

Предисловие

Институт операционного риска развивает профессию операционного риск-менеджмента и практические методы построения эффективной ORMF. Руководство дополняет существующие стандарты корпоративного управления и риск-менеджмента, а не заменяет их.

Содержание

Введение

Роль корпоративное управление операционного риска

Архитектура корпоративное управление

риск-культура

лидерство

модели ответственности

три линии защиты

blended approach

комитеты

Внедрение корпоративное управление

роли и ответственность

владелец рискаs

CRO

risk management и operational функция управления рискамиs

специализированные контрольные функции

аудит

политика

performance management

внутренняя и внешняя отчётность

постоянное улучшение

Выводы

1. Введение

У любой организации есть система корпоративного управления, которая должна направлять и контролировать деятельность в соответствии с интересами акционеров, кредиторов, регуляторов и других заинтересованных сторон.

Управление рисками — центральная часть этой системы, в том числе управление операционным риском.

Руководство IOR не заменяет такие документы, как UK Corporate Корпоративное управление Code или OECD Principles of Corporate Корпоративное управление. Его цель — показать практики, которые помогают встроить управление операционным риском в общую систему корпоративное управление.

Качественная корпоративное управление-система операционного риска должна помогать организации:

удерживать операционные риски в пределах appetite/tolerance;

соблюдать законы и нормативные требования — охрана труда, экология, финансовое регулирование и др.;

обеспечивать соблюдение внутренних политик и процедур;

контролировать people/conduct risks, включая ненадлежащее поведение руководителей и сотрудников, небрежность и преступные действия.

Операционный риск-менеджмент и corporate корпоративное управление взаимозависимы. Нельзя по-настоящему встроить ORMF без эффективной корпоративное управление-системы, и наоборот, корпоративное управление не будет полноценной без работающей ORMF.

2. Роль корпоративное управление операционного риска

Operational risk корпоративное управление — это архитектура политик, структур, распределения ответственности и отчётности, через которую операционный риск контролируется и направляется.

Её задача — обеспечить последовательные решения по всей организации и не позволить системе риск-менеджмента мешать достижению целей бизнеса.

Основные функции корпоративное управление:

давать орган управления уверенность, что существует надёжная система внутренних контролей;

эскалировать существенные проблемы операционного риска;

удерживать экспозицию в пределах согласованного appetite/tolerance;

обеспечивать соответствие внешним законам и регуляторным требованиям;

контролировать соблюдение внутренних политик и процедур;

назначать роли и следить, что обязанности реально выполняются;

управлять people и conduct risk, включая поведение директоров, менеджеров, сотрудников и подрядчиков.

3. Архитектура корпоративное управление операционного риска

Архитектура состоит из взаимодополняющих элементов. Если они плохо связаны, возникают gaps и слабые места.

Есть формальные элементы:

политики;

процедуры;

роли;

комитеты;

инструменты;

отчётность.

И есть неформальный элемент — риск-культура.

3.1. Риск-культура и корпоративное управление

Риск-культура проявляется в установках, поведении и действиях менеджеров и сотрудников. Формальная система корпоративное управление влияет на культуру, а культура, в свою очередь, определяет, насколько реально работают формальные правила.

Особенно важно, как сотрудники воспринимают стоимость и пользу риск-процедур.

Если система считается чрезмерно дорогой, бюрократической и мешающей работе, возникают:

раздражение;

сопротивление;

снижение доверия к риск-функции;

формальное выполнение процедур;

скрытие проблем;

иногда ненадлежащее поведение.

Поэтому при проектировании корпоративное управление нужно оценивать её влияние на бизнес и культуру.

Рекомендации:

обсуждать новые правила с менеджерами и сотрудниками;

оценивать влияние на стоимость и эффективность операций;

регулярно пересматривать корпоративное управление и удалять устаревшие меры;

вовлекать бизнес в пересмотр;

координироваться с HR, IT security, внутренний аудит, соблюдение требований и другими контрольными функциями, чтобы не создавать дублирование.

3.2. Лидерство

Конечная ответственность лежит на орган управления — обычно совете директоров. Реализация может быть делегирована исполнительным директорам и высшее руководство.

Совет и высшее руководство должны:

устанавливать стандарты поведения и управления;

утверждать appetite к операционному риску;

утверждать политика по операционному риску и связанные политики — охрана труда, информационная безопасность и др.;

демонстрировать приверженность правилам не только словами, но и действиями — «walk the walk»;

регулярно проверять, что корпоративное управление реально работает.

3.3. Три режима ответственности

Формальная система должна чётко разделять три функции:

Механизм | Содержание
Implementation | Повседневное применение ORMF: удержание риска в appetite/tolerance, соблюдение политики, актуальность RCSA, эскалация событий
Design | Разработка политик, процедур и инструментов ORMF
Assurance | Независимая проверка дизайна и внедрения; подтверждение орган управления, что система адекватна и работает как задумано

3.4. Подход «три линии защиты»

Классическая модель жёстко разделяет эти режимы:

первая линия — бизнес/операционное руководство, внедрение;

вторая линия — risk/operational функция управления рисками, конструкция + oversight;

третья линия — внутренний аудит, независимое подтверждение.

Дополнительная роль второй линии — отслеживать качество внедрения и корректировать ошибки и упущения.

Главный плюс модели — снижение конфликтов интересов за счёт разделения обязанностей и более быстрое выявление слабостей.

Ограничения строгой модели трёх линий

Жёсткое разделение ролей снижает конфликты интересов, но создаёт и серьёзные риски.

Во-первых, физическое и организационное разделение может разрушать доверие и сотрудничество. Если риск-функция воспринимается как внешний контролёр, который только критикует, бизнес может:

сопротивляться процедурам;

хуже соблюдать политика;

не эскалировать проблемы;

в крайних случаях принимать чрезмерный риск.

Во-вторых, строгая трактовка трёх линий иногда мешает экспертам по risk конструкция и независимое подтверждение помогать тем, кто внедряет систему. Бизнес-руководители редко являются профессиональными риск-менеджерами, поэтому без обучения и консультаций вероятность ошибок возрастает.

Если регулятор требует строгого разделения — его нужно соблюдать. В остальных случаях чрезмерная изоляция редко оптимальна.

3.5. Blended approach

Альтернативный «смешанный» подход сохраняет отдельные ответственности за:

внедрение;

конструкция;

независимое подтверждение,

но поощряет сотрудничество между ними.

Преимущества:

формируется доверие;

риск-функция и аудит помогают бизнесу обучением и coaching;

комбинируется риск-экспертиза второй/третьей линии и реальное знание операций первой линии;

улучшаются контроли и предотвращаются события;

корпоративное управление становится эффективнее и менее затратной.

Blended approach не означает, что роли смешиваются юридически или организационно. Он означает, что люди с разными обязанностями работают вместе.

Практики для функция управления рисками:

сохранять независимую линию отчётности;

поддерживать рабочие отношения с бизнесом и аудитом;

проводить регулярные relationship meetings;

участвовать в обсуждениях внедрения ORMF;

обучать и консультировать бизнес;

давать decision support, не принимая на себя ответственность за бизнес-решение;

быть доступной для тех, кто реально внедряет систему.

3.6. Комитеты по операционным рискам

Большинство корпоративное управление-систем включает один или несколько комитетов, контролирующих конструкция, внедрение и независимое подтверждение ORMF.

В крупной группе может быть:

несколько дивизионных комитетов;

group operational risk committee под председательством Head of Operational Risk или CRO;

вышестоящий board-delegated risk committee.

В небольшой организации операционный риск может рассматриваться одним комитетом, audit & risk committee или комитет по аудиту.

Минимальное требование хорошей практики: ответственность за надзор операционного риска должна быть закреплена хотя бы за одним органом уровня совета.

В terms of reference соответствующего комитета обычно включают:

надзор за конструкция и внедрение ORMF;

для audit/audit & risk committee — независимое подтверждение ORMF;

рассмотрение проблем, способных повлиять на внешний аудит и достоверность финансовой отчётности;

рассмотрение существенных события потерь;

рассмотрение внутренних аудитов по операционному риску и утверждение audit plan;

ежегодный пересмотр operational risk политика;

контроль устранения нарушений политика и процедур;

рассмотрение risk profile reports и информации об эффективности контролей;

контроль нахождения рисков в пределах appetite/tolerance.

Даже при делегировании комитетам конечная ответственность остаётся у орган управления.

Если существует иерархия комитетов, нужны ясные правила эскалации.

Пример уровней:

дивизионный комитет — риски/слабости, влияющие на эффективность дивизиона и его цели;

групповой комитет — системные проблемы нескольких дивизионов или локальные проблемы, способные угрожать целям всей организации;

board-delegated committee — риски и слабости, угрожающие корпоративным целям или достоверности финансовой отчётности.

4. Внедрение корпоративное управление

Успех системы зависит не только от схемы, но и от реализации: ясных ролей, policies, процедур и отчётности.

4.1–4.2. Владелец рискаs

Владелец риска обычно является бизнес-руководителем, отвечающим за повседневные операции.

В каждом подразделении или функции есть один или несколько владельцев рисков. Это относится и к самой функция управления рисками: например её руководитель является владельцем рисков охраны труда для своей команды.

Владелец риска отвечает за:

управление конкретными категориями риска в своей зоне;

внедрение ORMF;

соблюдение политика и процедур;

удержание экспозиции в пределах appetite/tolerance, если такие пределы установлены.

Рекомендуется назначать владельца для каждой крупной категории риска, актуальной для подразделения: H&S, fraud, cyber и т. д.

Обычно владельцем становится head of department/function. Он может делегировать часть работы специалистам, но конечная ответственность остаётся за руководителем.

4.3. CRO

Если в организации есть Chief Risk Officer, ему необходимы достаточные полномочия для эффективного корпоративное управление всех рисков, включая операционные.

CRO должен иметь прямой доступ к:

орган управления;

board-delegated committees;

CEO при существенных конфликтах или эскалации.

В отношении операционного риска CRO несёт конечную ответственность за конструкция ORMF и корпоративное управление arrangements и за обеспечение надлежащего внедрения системы.

В идеале CRO подчиняется CEO, а не CFO или COO, чтобы сохранить независимость конструкция/oversight от повседневных операций.

Если подчинение CEO невозможно, допустима, например, линия через CFO при условии независимости от sales, production, customer service и сохранения прямого доступа к CEO и совету.

4.4. Risk management function

Даже небольшая организация обычно имеет хотя бы одного человека, выполняющего risk-функцию. В крупной компании она может быть разбита по видам риска.

Главная роль функция управления рисками — проектировать risk management framework, включая ORMF.

В зависимости от корпоративное управление-модели она также:

поддерживает внедрение;

осуществляет oversight;

имеет доступ к орган управления по вопросам конструкция и крупной эскалации;

взаимодействует с внутренний аудит для исправления недостатки контролей и нарушений политика;

взаимодействует с соблюдение требований по регуляторным требованиям.

Линия отчётности функция управления рисками должна оставаться независимой от руководителей, которые сами внедряют ORMF и владеют операционными рисками.

4.5. Специализированная operational функция управления рисками

Отдельная функция операционного риска нужна не каждой организации. В небольшой компании один risk team может покрывать все категории.

Если специализированная функция существует, она должна играть центральную роль:

проектировать ORMF;

поддерживать владелец рискаs при внедрении;

помогать внутреннему аудиту в независимое подтверждение;

консультировать орган управления и высшее руководство;

поддерживать risk committee;

отслеживать risk profile и эскалировать превышение appetite/tolerance;

следить за risk culture;

обучать и coaching владелец рискаs;

улучшать ORMF, делая её удобной и создающей ценность.

В идеале все категории операционного риска находятся под единым методологическим зонтиком. Но continuity, H&S, insurance, cyber/physical security иногда организационно находятся отдельно.

Тогда критически необходимы:

тесное взаимодействие;

единый верхний reporting line, например CRO;

отсутствие пробелов и дублирования.

Operational функция управления рисками должна сохранять независимость от ежедневных решений владелец рискаs, но это не запрещает ей давать советы. Policy должна ясно фиксировать: за решение отвечает владелец риска, а не консультирующая функция управления рисками.

В бизнес-линиях могут работать локальные operational risk specialists. Это улучшает внедрение и связь с центральной функцией, но не заменяет независимую центральную risk/operational функция управления рисками.

4.6. Другие специализированные контрольные функции

Для корпоративное управление операционного риска важны также:

бухгалтерия и финансы;

corporate secretariat;

соблюдение требований;

HR;

IT services;

legal.

Риск-функции следует строить с ними общие процессы:

обмен данными;

общие системы регистрации/отчётности;

взаимное участие в методологиях;

регулярные coordination meetings.

4.7. Аудит

Internal и external audit дают орган управления и руководству независимое подтверждение об эффективности корпоративное управление.

Аудит может проверять:

конструкция ORMF;

фактическое внедрение;

существенные risk exposures;

недостатки контролей.

Risk function должна поддерживать хорошие отношения с аудитом, обмениваться информацией и по возможности использовать совместимые системы данных.

Особенно важно сообщать external audit о событиях, которые могут повлиять на достоверность финансовой отчётности:

мошенничество;

дисциплинарные проблемы senior staff в контрольных функциях;

ошибки financial reporting;

существенные control failures.

4.8. Operational risk политика

Организации рекомендуется иметь отдельную политика по операционному риску либо общую risk политика, где операционный риск явно включён.

Policy задаёт «правила игры» и должна содержать:

цель и область действия;

связь операционного риска с корпоративными целями;

категории риска в scope;

ключевые термины и определения: inherent/residual, risk event, событие без последствий и др.;

корпоративное управление structure;

роли и ответственность;

общий конструкция ORMF;

appetite/tolerance;

порядок разрешения отклонений от политика, например через risk committee. Policy также должна устанавливать:

частоту пересмотра;

орган, который утверждает политика — в идеале орган управления или board-delegated committee.

4.9. Performance management

Система оценки персонала может существенно улучшить корпоративное управление, если мотивирует качественно управлять операционным риском.

Но финансовые стимулы могут создать нежелательное поведение.

Опасный пример: бонус зависит от суммы зарегистрированных потерь. Сотрудник получает прямой мотив:

скрыть событие;

занизить ущерб;

затянуть регистрацию.

Лучше связывать оценку не с количеством и размером потерь, а с качеством входов в ORMF:

RCSA выполнены вовремя и полностью;

информация о рисках и слабостях контролей своевременная, точная и полная;

мероприятия внутреннего аудита закрыты в срок;

сотрудник соблюдает ценности и кодекс поведения.

Если используются денежные стимулы, они должны быть умеренными: чем выше ставка, тем сильнее желание «играть» с системой.

Иногда символические меры работают не хуже — признание сотрудника месяца/года за хорошую risk practice.

Другой подход — включить управление операционным риском в обычную performance review без отдельного бонуса. Risk function может дать input по владелец рискаs, определить потребность в обучении и цели на следующий период.

При разработке incentives важно привлекать HR и operational функция управления рисками.

4.10–4.11. Внутренняя отчётность

Без информации корпоративное управление невозможен.

Нужны данные о:

текущем operational risk profile;

значимых недостатки контролей;

несоблюдении политика и процедур.

Risk exposure reports должны направляться:

board-delegated committee, отвечающему за операционный риск;

group operational risk committees;

дивизионным комитетам — если они существуют.

В отчёте следует выделять:

риски, угрожающие корпоративным целям или превышающие appetite/tolerance;

существенные недостатки контролей;

крупные события потерь и событие без последствийes;

несанкционированные отклонения от политика;

значимые нарушения процедур.

Критерий «существенности» нужно согласовать с получателями. Обычно существенной считается проблема, способная:

материально повлиять на денежный поток или баланс;

повредить репутации;

привести к нарушению debt covenants;

вызвать правовые или регуляторные санкции.

4.12. Внешняя отчётность

Заинтересованным сторонам нужна своевременная, точная и полная информация о рисках, чтобы принимать решения об отношениях с организацией.

Потенциальные пользователи:

акционеры;

кредиторы;

рейтинговые агентства;

регуляторы;

поставщики;

клиенты;

сотрудники.

Объём раскрытия зависит от аудитории и коммерческой чувствительности. Нельзя публиковать сведения, которые дают конкуренту необоснованное преимущество.

Наиболее полное раскрытие обычно требуется регуляторам и рейтинговые агентства. Крупные поставщики и коммерческие клиенты также могут запрашивать подробности ORMF и risk profile.

Operational функция управления рисками должна участвовать во внешней риск-отчётности. Иначе есть риск, что, например, в годовом отчёте окажется неполная или неточная информация о системе и профиле риска.

4.13. Постоянное улучшение

Не реже одного раза в год организация должна оценивать эффективность корпоративное управление операционного риска.

Минимальный набор:

пересмотр и повторное утверждение operational risk политика;

оценка её фактической эффективности, например по числу несанкционированных нарушений;

пересмотр operational risk appetite/tolerance и лимитов;

консультации с владелец рискаs и независимое подтверждение functions.

Раз в 2–3 года рекомендуется более глубокий аудит корпоративное управление с внутренним аудитом или внешними специалистами и сопоставительный анализ с peers.

5. Выводы

Эффективное корпоративное управление операционного риска — от орган управления до операционного уровня — необходимое условие хорошего управления организацией.

Оно должно:

улучшать качество решений;

снижать потери и событие без последствийes;

повышать эффективность контролей;

улучшать отчётность;

помогать достижению целей.

Хорошая корпоративное управление-система не должна существовать ради самой корпоративное управление и восприниматься как «red tape».

Она должна создавать измеримую или воспринимаемую бизнес-ценность.

Ключевая практическая конструкция:

совет устанавливает рамки и appetite → функция управления рисками проектирует и контролирует систему → владелец рискаs управляют рисками в ежедневной работе → внутренний аудит даёт независимое независимое подтверждение → комитеты обеспечивают эскалацию и решения → система постоянно улучшается.

Источник: Institute of Operational Risk / Institute of Risk Management — www.theirm.org.