Основные принципы комплаенс-контроля

? измерение операционного риска проводится по принципу «от простого к сложному» по мере разработки более «продвинутых» систем и совершенствования системы управления операционными рисками;

? формирование у персонала культуры управления операционным риском, а также знаний об операционном риске, который может возникать в связи с выполнением им должностных обязанностей, а также мотивации сотрудников на выявление факторов (причин) операционного риска;

? регулярная оценка уровня операционного риска, присущего как существующим на момент оценки, так и разрабатываемым продуктам, видам деятельности, автоматизированным системам и процессам организации;

? минимизация и/или предотвращение операционных рисков на основе эффективной системы внутреннего контроля;

? применение мер по ограничению операционного риска, стоимость которых не превышает ожидаемую выгоду, получаемую от потенциального снижения операционных издержек;

? ведение постоянного мониторинга операционных рисков и операционных потерь, предоставление соответствующей информации в виде отчётов руководству организации;

? информирование на регулярной основе органов управления организации об уровне операционного риска.

В целях построения эффективной системы управления операционными рисками организация определяет следующие направления внедрения системы управления операционными рисками:

? идентификация (выявление) операционных рисков по направлениям деятельности (бизнес-направлениям) организации, учёт и классификация инцидентов операционных рисков, сбор данных о размере потерь и вероятности наступления рисковых событий;

? оценка, мониторинг и предметный анализ операционных рисков, решение задач по минимизации (устранению) операционных рисков;

? регулирование (принятие, ограничение или нейтрализация) операционного риска;

? выбор механизмов контроля за операционными рисками, внедрение системы контроля и отчётности по операционному риску, совершенствование методов измерения операционного риска, а также контроль системы управления операционным риском.

Идентификация операционных рисков

Внутренними и внешними факторами (причинами) операционного риска являются:

? недостаточный уровень автоматизации процессов, отсутствие доступа к коммерческим базам данных, сбои/отказы автоматизированных либо информационных систем, а также перебои в работе и порча оборудования;

? несовершенство организационной структуры организации в части распределения полномочий структурных подразделений и отдельных сотрудников, порядков и процедур заключения сделок либо осуществления операций, их документирования и отражения в учёте;

? несоблюдение сотрудниками установленных порядков и процедур, неэффективность внутреннего контроля (т. н. организационный риск);

? недостаточная компетенция персонала, недостаток кадров и неустойчивость штата организации, зависимость от отдельных специалистов, несанкционированные действия персонала, а также мошеннические действия (риск персонала);

? неблагоприятные внешние обстоятельства, находящиеся вне периметра организации, случайные или преднамеренные действия физических и/или юридических лиц, направленные против её интересов.

Выявление (идентификация) операционного риска предполагает анализ всех условий функционирования организации на предмет наличия или возможности возникновения факторов операционного риска, который осуществляется на нескольких уровнях:

? анализ изменений в финансовой сфере организации в целом (освоение новых направлений деятельности, продвижение на рынке новых банковских услуг, внедрение новых технологий или финансовых инноваций), которые могут оказать влияние на эффективность деятельности;

? анализ подверженности операционному риску направлений деятельности (бизнес-процессов) с учётом приоритетов организации;

? анализ отдельных операций и сделок организации;

? анализ внутренних процедур, включая систему отчётности и обмена информацией.

Процесс идентификации состоит из следующих процедур:

? классификация (кодификация) типов возможных неблагоприятных[63] событий в разрезе источников[64] (причин) рисков;

? сбор данных о внутренних и внешних событиях, их распределение по классификационным видам (категориям), определение типов и количества полученных и потенциальных потерь.

События реализации операционного риска происходят как при возникновении отдельных факторов, так и в результате сочетания нескольких факторов операционного риска, и организация определяет принадлежность каждого инцидента потерь (события реализации операционного риска) к тому или иному типу операционных рисков по следующим основным категориям:

? внутреннее мошенничество[65]:

• коррупционные действия сотрудников (злоупотребление служебным положением вопреки законным интересам организации в целях получения личной выгоды либо выгоды третьим лицам);

• принудительные действия (принуждение к совершению сделки или к отказу от её совершения, вымогательство, шантаж);