7.1. СОДЕРЖАНИЕ ОПЕРАІІИОННОГО РИСКАИ ЕГО РАЗНОВИДНОСТИ

возникновение отклонений в информационных системах и системах внутреннего контроля, которые влекут за собой финансовые потери. Эти риски связаны с ошибками людей, сбоями в системах и наличием недостаточных (неэффективных) систем контроля;

недостатки, присущие внутренним процессам, т.е. вследствие возникновения проблем и отклонений во внутренних процессах;

риски капитала или доходов, связанные с предоставлением услуг или продажей продуктов.

Остановимся на четырех наиболее распространенных точках зрения, сложившихся в зарубежной экономической литературе .

Изначально к операционным рискам относили прочие виды финансовых рисков, отличающиеся от других видов рисков (например, рыночных и кредитных). Очевидно, что такое определение является слишком широким, поскольку перечень иных видов рисков, с которыми сталкиваются кредитные организации, достаточно велик, и включает в себя, например, бизнес-риск, охватывающий такие аспекты ведения бизнеса, как выбор стратегии развития, позиционирование на рынке, компетентность менеджмента, ноу-хау, способы реализации конкурентных преимуществ и т. д. Приведенный перечень областей возникновения рисков, как правило, не входит в компетенцию непосредственно риск-менеджера. Кроме того, определение, построенное от противного, приводит к неполным знаниям о предмете исследования, затрудняет классификацию и оценку рисков.

Другой взгляд на определение операционного риска увязан с областью его возникновения и, прежде всего, с осуществлением финансовых операций. Его источником могут быть ошибки, допущенные при обработке данных, сбои информационных систем, технологические неполадки оборудования, некорректное исполнение операций.

В данном случае в определении основное внимание фокусируется на процедуре исполнения операций по всем стадиям их обработки, но не учитываются, например, риски, связанные с мошенничеством внутри организации, несанкционированным совершением операций, неправильным использованием моделей при оценке финансовых инструментов.

Третий подход акцентирует внимание на осуществлении контроля со стороны организации за операционными рисками.

Наконец, четвертая точка зрения трактует операционный риск как риск прямых или косвенных убытков в результате неверного построения бизнес-процессов, неэффективности процедур внутреннего контроля, технологических сбоев, несанкционированных действий персонала или внешнего воздействия.

Данное определение, на наш взгляд, в отличие от приведенных выше, более полно и точно характеризует специфику, источники возникновения и последствия влияния операционного риска на деятельность кредитной организации. Однако в 2001 г., с выходом нового положения Базельского комитета всеобщее признание получило данное в этом документе определение операционного риска.

Согласно последней редакции нового Базельского соглашения по капиталу (Базель-2), «операционный риск определяется как риск возникновения убытков в результате недостатков или ошибок в ходе осуществления внутренних процессов, допущенных со стороны сотрудников, функционирования информационных систем и технологий, а также вследствие внешних событий». При этом в материалах Базельского комитета особо подчеркивается, что операционный риск включает также юридический (правовой) риск.

Нам представляется, что определение, приведенное в материалах нового документа Базельского комитета, достаточно полно раскрывает операционный риск и носит универсальный характер. Оно одина- ково справедливо как для коммерческих банков, так и для других финансовых институтов, включает в себя достаточно полный и понятный перечень возможных причин и проблем, которые могут привести к убыткам в результате негативного воздействия операционных рисков.

Трактовку понятия «операционный риск» приводит и Банк России. Под операционным риском понимается риск возникновения убытков в результате несоответствия характеру и масштабам деятельности кредитной организации и (или) требованиям действующего законода-тельства внутренних порядков и процедур проведения банковских опе-раций и других сделок, их нарушения служащими кредитной органи-зации и (или) иными лицами (вследствие непреднамеренных или умышленных действий или бездействия), несоразмерности (недоста-точности) функциональных возможностей (характеристик) применя-емых кредитной организацией информационных, технологических и других систем и (или) их отказов (нарушений функционирования), а также в результате воздействия внешних событий» .

Определение операционного риска, сформулированное в документе Банка России, достаточно развернутое, что одновременно делает его громоздким и затрудняет восприятие.

Нам представляется, что из приведенного перечня определений операционного риска наиболее полной и одновременно лаконичной является трактовка, помещенная в материалах Базельского комитета, которой мы и будем придерживаться при изложении данной темы.

Традиционно считается, что риск представляет собой возможность негативного результата, каких-либо нежелательных последствий для функционирующей организации. Обычно риски анализируются с трех различных позиций: во-первых, риск — это неопределенность; во-вторых, риск несет в себе новые возможности, которые позволяют организации достичь конкурентных преимуществ; в-третьих, риск может оказывать разрушительное воздействие на деятельность компании (банка). В связи с этим все разнообразие рисков, с которыми сталкиваются хозяйствующие субъекты, можно условно разделить на три категории: риски события (бизнес-риски), финансовые риски и операционные риски (рис. 7.1).

Рис. 7.1. Соотношение операционного риска и других сфер риска

Кредитным организациям присущи все названные виды, однако, следует отметить, что основное внимание в современной практике российских и зарубежных банков уделяется финансовым рискам, поскольку их природа вытекает из сущности банковского бизнеса и обусловлена колебаниями рыночной конъюнктуры, характером проводимых ими операций на различных рынках, потребностью в поддержании ликвидности. Одновременно заметим, что недостаточно внимания сегодня уделяется стратегическим и операционным рискам, последствия и проявление которых могут быть сравнительно небольшими, а вероятность возникновения достаточно высока.

Классификацию рисков, в том числе операционных, проводят на основе выделенных критериев. Ими могут выступать: источники их возникновения, сфера рисков, вид деятельности кредитной организации.

Схематично классификацию операционных рисков в зависимости от источников их возникновения можно представить следующим образом (рис. 7.2).

ИСТОЧНИКИ ОПЕРАЦИОННЫХ РИСКОВ Качество Риски Человече Процессы Форс-мажор управления систем ский фактор Ошибки Применение Мошенни Оценка Наводнения в принятии устаревших чество ценных бумаг решений технологий Землетря Нехватка Перевод сения Недостаток Низкая кадров денег привлека эффектив Терроризм емых данных ность систем Некомпе Риск тентность поставки Войны Игнорирова Недостаточ персонала ние предуп ная надеж Риски Волнения, редительных ность систем контрагентов забастовки сигналов Совмести Недостаточ Проблемы Низкая ква мость систем ный контроль с поставщи лификация ками персонала Рис. 7.2. Источники возникновения операционного риска

Как показано на схеме, по источникам возникновения операционные риски можно разделить на обусловленные неудовлетворительным качеством управления, недостатками в функционировании систем, действиями персонала, организацией процессов, а также форс-мажорными обстоятельствами.

Из представленной классификации следует, что большая часть операционных рисков связана с деятельностью человека. Например, прямые и косвенные потери (убытки) возникают из-за ошибок персонала в части соблюдения внутренних регламентов и процедур, ошибок в принятии управленческих решений, хищений, злоупотреблений, недостаточной компетентности кадров и низкого уровня их квалификации. Более того, даже в случаях, когда убытки вызваны сбоями в работе теле-коммуникаций, вычислительной техники и информационных систем, в основе их в большинстве случаев лежат ошибки людей. Неслучайно на приведенной схеме четыре из пяти источников так или иначе связаны с деятельностью персонала: качество управления, риски систем, человеческий фактор, процессы. Исключение составляют лишь форс- мажорные обстоятельства.

Менеджеры не должны забывать, что персонал — это главный актив компании, что подтверждается высокими расходами на его содержание. Можно выделить ряд конкретных источников, характеризующих риски, связанные с персоналом. Это прежде всего человеческая ошибка, последствия которой могут быть весьма плачевными.

В особой мере это касается ошибок, возникающих в сфере управления и связанных с качеством принимаемых решений. Очевидно, что конкретными источниками здесь, прежде всего, являются низкий уровень квалификации кадров, использование при принятии решений ограниченного круга данных, игнорирование предупредительных сигналов о первых признаках проблем и некоторые другие.

Другая группа источников обусловлена нарушением бизнес-процессов. Например, последствием перевода средств в случае неверного указания банка-контрагента может стать так называемая непреднамеренная поставка денежных средств. Для возврата средств, перечисленных по ошибке даже в нормально работающий банк, придется приложить немало сил и времени. Что тогда говорить о возврате денег, направленных в проблемный банк или банк, в отношении которого открыто конкурсное производство?

Примером других проявлений операционного риска, связанного с внутренними бизнес-процессами банка, являются нарушения в системе управления и недостаточности или низкого качества внутреннего контроля в кредитной организации. Необнаруженные своевременно превышения лимитов, не разрешенные руководством операции отдельных трейдеров, злоупотребления в учете операций — факторы, вызвавшие крах целого ряда известных финансовых учреждений, в частности, банка Barings. Поэтому, разбив деятельность банка на множество простых процессов, можно представить его деятельность в деталях, а также быстро провести диагностику и оперативное реагирование в случае возникновения проблем.

Еще одна группа источников возникновения операционного риска, связанного с персоналом, — это злоупотребление и мошенничество, которое происходит вследствие нечестности сотрудника и недостаточного качества разработанных процедур и действий, исключающих возможность злоупотреблений. Для того чтобы состоялось мошенничество, необходимо, чтобы для этого существовала возможность. Наличие такой возможности — это результат внутренних проблем и оши-бок. Примером мошенничества может служить вовлечение кредитной организации в коммерческие взаимоотношения с теневой или крими-нальной экономикой, преднамеренное проведение сделок и сокрытие их результатов, наносящие ущерб банку.

Другим проявлением риска может стать концентрация знаний и опыта на одном человеке. Зависимость от ограниченного числа сотрудников — одна из ключевых проблем банков. Достаточно часто встречается ситуация, когда программист становится «незаменимым», в его отсутствие может остановиться технологический процесс: немало банков несло потери, когда такой специалист неожиданно увольнялся по той или иной причине.

Кроме того, зачастую клиенты привыкают к работе с тем или иным менеджером, естественно, что ряд клиентов «приводится» в банк тем или иным менеджером. Очевидно, что в случае ухода клиентского менеджера из банка существует риск ухода некоторых клиентов. Эта проблема может быть частично решена за счет выработки формальных договоренностей между руководством банка и менеджером, приведшим клиентуру. Но может возникнуть также и другая проблема: нередко банковский менеджер, обладающий своей клиентурой, дает своего рода личные гарантии клиенту, что тот приходит в стабильный банк. Как вести себя менеджеру, если у банка начинаются проблемы? Исходя из принципа банковской корпоративности, ему не следует давать рекомендации клиентам уводить средства из банка, с другой стороны, банк рискует своей репутацией, если приведенный им клиент потеряет деньги: в этом проявляется риск работы со «своей» клиентурой.

Зависимость банка от ограниченного числа сотрудников проявляется и тогда, когда в кредитной организации работает известный на рынке специалист или группа специалистов. Хотя уход таких специалистов из банка может в краткосрочной перспективе и не привести к прямым финансовым потерям, не исключены негативные последствия, которые проявятся со временем (влияние на рейтинги, на оценку бизнеса со стороны деловых партнеров). К сожалению, стандартных методов работы здесь нет, хотя многое определяется условиями заключенного со специалистом контракта и корпоративной культурой организации.

Значительные убытки приносит банкирам и некачественная юридическая документация. Конечно, установленный в банках порядок обязательного визирования юристом договоров и процедур снижают этот риск. Проблемы могут возникать либо по причине недостаточной квалификации работников юридической службы, либо по причине их невнимательности. Кроме того, много усилий приходится прилагать для того чтобы своевременно вносить изменения в документацию в условиях часто меняющегося законодательства. В этом случае проблема может быть решена с помощью установления мониторинга нормативной базы, а также концентрации внимания юристов прежде всего на операциях, несущих значительный риск потери денежных средств, кото- рый определяется для каждого банка индивидуально, и установление индивидуального порядка рассмотрения для всех договоров, отличных от стандартных.

Особо выделим такой источник, как возможные сбои в работе информационных систем или их некорректную работу, в том числе из-за ошибок, возникающих в компьютерных программах. Использование информационных технологий помогает повысить эффективность процессов в банке. Однако они также являются источником операционного риска, причинами возникновения которого могут быть и недоступность систем в нужное время из-за сбоев, связанных с техническими неполадками, недостаточным уровнем обеспечения безопасности подверженности атакам хакеров, неавторизованным доступом и вирусами, перебоями электропитания и др.

Отсутствие плана работы в случае сбоя информационных систем или низкое качество подобных планов также может привести к существенным убыткам и задержкам при принятии управленческих решений. У аналитиков любого банка должен быть расчет, во сколько банку обойдется каждый день простоя, учитывая также угрозу потери деловой репутации, возможный риск ухода важных клиентов, которые с трудом поддаются количественной оценке.

Снизить такие риски позволяет жесткая система тестирования программ до их ввода в эксплуатацию, наличие адекватной технической документации и четкое фиксирование ответственности разработчика в соответствующих договорах.

Условия окружающей среды, в которой функционирует банк, усиливают влияние, оказываемое вышеописанными событиями (мошенничество, кадровая политика, технологические и технические сбои, внутренние бизнес-процессы банка). Это может происходить из-за использования новых технологий и повышения уровня автоматизации процессов в соответствии с уровнем развития экономики, изменения требований рынка труда и ожиданий работников, роста сложности и количества проводимых операций.

Так, например, риск потерь, возникающих из-за сложности финансовых инструментов, появляется в том случае, когда информационная система банка не способна адекватно учитывать сделку в бухгалтерском учете и аналитической базе данных. Например, в середине 90-х годов, когда российские банки начали операции с производными финансовыми инструментами, в некоторых из них не были должным образом подготовлены информационные системы. В результате возросло количество ошибок в бухгалтерском учете, но, что более неприятно, банковские аналитики далеко не всегда могли иметь реальную картину валютных и процентных рисков, кроме того, возросли сроки подготовки аналитической информации для руководства. Следова-тельно, нельзя начинать работу с новым для банка финансовым инст-рументом, не убедившись в том, что информационные системы будут корректно его отражать. Поэтому одним из полезных инструментов, снижающих этот риск, является отработанная процедура утверждения порядка работы с новыми финансовыми инструментами.

Кроме этого, не стоит забывать, что операционный риск может возникнуть и в результате событий, которые случаются редко, но могут стать причиной очень крупного материального убытка. Это — природные катастрофы, теракты, закрытие финансовых рынков и др.

Классификацию операционных рисков можно провести и на основе других критериев, например, в зависимости от содержания банковской деятельности или сферы возникновения рисков.

При классификации операционных рисков в зависимости от содержания банковской деятельности разделим всю деятельность условно на управленческую и производственную. Если управленческая деятельность направлена на достижение поставленных целей и задач банком, то производственная — это формализованные процессы по осуществлению персоналом банка операций или иных действий, формирующих различные виды активов и пассивов, использующих первичные и производные финансовые инструменты для обслуживания клиентов и хеджирования рисков, обеспечивающих внутрибанковскую и хозяйственную деятельность, создающих информационные и другие технологии. Эти виды деятельности можно представить как процессы, включающие определенные блоки.

В сфере управленческой деятельности к таким блокам относятся планирование, организация, мотивация и контроль. Сбои в организации процессов данных блоков отражаются на качестве принятия управ-ленческих решений и могут быть вызваны, например, ошибками пер-сонала, в том числе из-за недостатка привлеченных данных, вследствие игнорирования либо недоучета предупредительных сигналов, низкой квалификации.

Процессы в сфере производственной деятельности включают следующие блоки:

операции, связанные с видами деятельности (кредитованием хозяйствующих субъектов и физических лиц, привлечением средств клиентов и банков), операции на валютном и межбанковском рынке, поддержание ликвидной позиции, торговые операции с ценными бумагами, забалансовые операции и др.;

технологии банковских операций и учета, например, операционные обслуживание и предоставление услуг, процессинг пластиковых карт, инкассация, ведение бухгалтерского и управленческого учета, составление финансовой отчетности и другие виды административно-хозяйственной деятельности и пр.;

информационная база, информационные системы и программы;

субъекты производственной деятельности.

В соответствии с таким описанием деятельности банка можно выделить две группы объектов операционного риска:

процессы, связанные с видами деятельности банка;

активы, пассивы, инструменты банковского рынка и банковские технологии.

С первой группой объектов риска связаны следующие факторы операционного риска:

неправильный выбор стратегии банка;

несовершенство процессов управления;

отсутствие или некачественная разработка внутренних положений;

внешние события.

Со второй группой объектов, соответственно, связаны иные факторы риска, такие как:

ошибки персонала;

сбои информационных систем;

технологические ошибки;

недостаточный уровень контрольных процедур.

Эти факторы лежат в основе классификации операционных рисков, предложенной Базельским комитетом. В частности, в определении операционного риска, которое было предложено Базельским комитетом и принято всеми участниками рынка в качестве стандартного, четко выделяются источники операционного риска, по которым его можно классифицировать следующим образом:

ошибки персонала;

сбои информационных систем;

технологические ошибки;

внешние события.

В то же время, как уже отмечалось, предлагаются и другие критерии для классификации.

Ряд крупных зарубежных институтов используют классификацию операционных рисков, предложенную Bankers Trust, в основе которой лежит такой критерий, как сфера риска: внутренние и внешние операционные риски (рис. 7.3).

Рис. 7.3. Классификация операционных рисков

Внутренние риски:

риск персонала — все риски, которые связаны с сотрудниками компании, в частности их несанкционированные действия, недостаточная компетентность, зависимость от отдельных специалистов и т.д.;

технологический риск — риск, вызванный сбоями и отказами информационных систем, программ или баз данных, систем передачи информации и прочего оборудования, необходимого для деятельности компании;

риск физического ущерба — риск, наступающий в результате природных катастроф или трудностей при взаимодействии с клиентами;

недостаточность внутреннего контроля.

Внешний риск — риск, наступающий в результате злоумышленных действий сторонних организаций, физических лиц, а также в результате изменения государственной политики, законодательства и требований регулирующих органов.

Более детальная классификация операционных рисков в зависимости от такого критерия, как сфера их возникновения, предполагает, что внутренние риски следует подразделить на риски, связанные с производственной деятельностью, процессами и управленческой деятельностью (рис. 7.4).

Рис. 7.4. Классификация операционных рисков в зависимости от сферы их возникновения

Кроме того, можно предложить и иной критерий классификации, а именно, выбрав в качестве такового область возникновения возможных убытков и их последствий, вследствие операционных рисков (табл. 7.1).

Таблица 7.1

Классификация операционных рисков в зависимости от области возникновения убытка и их последствий Область возможного убытка Последствие убытков Правовые обязательства Судебные и прочие издержки Соблюдение регулятивных и прочих норм (включая налоговые) Штрафы или прямые выплаты в результате любых других наказаний, например, отзыва лицензии Утрата или потеря стоимости активов Прямое сокращение стоимости материальных активов в результате несчастного случая (напри-мер, небрежность, авария, пожар, землетрясение и т.д.) Возмещение клиентам Платежи третьим сторонам в счет операционных убытков, за которые банк несет правовую ответ-ственность Убытки от регресса Убытки в результате невыполнения третьей сто-роной обязательств перед банком, проистекающие из операционной ошибки или события (т.е. те, которых можно было избежать даже при намерен-ном или вынужденном дефолте контрагента) Списания Прямое сокращение стоимости активов в результате воровства, мошенничества, несанкционированных действий либо рыночные или кредитные убытки в результате операционных событий

Каждая из вышеприведенных классификаций указывает, с одной стороны на многогранность операционных рисков, с другой — демонстрирует их связь с другими видами банковских рисков.

Взаимосвязь операционного риска с рыночным и кредитным рисками

Таблица 7.2 Операционный риск Рыночный риск Кредитный риск Неверный ввод данных о сделке Убыточная торговая позиция Неправильно определена сумма кредита и резерва Банковские риски тесно взаимосвязаны между собой, их взаимное влияние может существенно отразиться на риске банковского портфеля в целом. Это обусловливает потребность в выяснении связей, оценки и управления операционными рисками (табл. 7.2).

Операционный риск Рыночный риск Кредитный риск Непроверенная рыночная информация Неправильная оценка текущей стоимости или риска портфеля Неправильно определена величина резерва, некор-ректно оценено качество кредитного портфеля Отсутствие контроля за соблюдением лимитов Превышение лимитов Превышение лимитов, размера кредитной линии Некорректные подтверждения Ошибочное хеджирование Неправильные размеры кредита и резерва Отсутствие контроля за сделками Нарушены сроки испол-нения сделок Несвоевременно проведены платежи Задержки в представле-нии отчетов Торговля «вслепую» Несанкционированная выдача кредитов

Помимо причинно-следственной связи между операционным, рыночным и кредитным рисками имеет место эффект «кумулятивного» наращивания негативного воздействия. Ввод неверной информации приводит к ошибкам при управлении рыночным риском, что, в свою очередь, ведет к еще большему ущербу. Существует немало примеров того, как ошибки в отчетах, некорректные действия персонала или временный сбой информационной системы многократно увеличивали первоначальный ущерб в результате рыночного или кредитного риска. Например, одна из американских финансовых компаний понесла существенные убытки из-за того, что дилер перепутал количество акций и их стоимость при совершении операций в торговой системе. Несмотря на то, что эта ошибка была практически сразу замечена и исправлена, было заключено уже значительное количество сделок на чрезвычайно невыгодных условиях. Другой пример взаимосвязи рисков состоит в том, что, благодаря несоответствию прав доступа к информационным ресурсам, дилеры и трейдеры могут открывать новые счета для торговых операций, самостоятельно осуществлять авторизацию сделок и т.д. С учетом сказанного отметим, что деятельность кредитной организации должна базироваться на достоверной, точной и своевременной информации, необходимой для анализа и контроля за совершаемыми операциями, действиями персонала.