• источники индикатора (категории или списки сотрудников, которые будут представлять или рассчитывать значение индикатора, или виды систем, из которых это значение будет браться, а также риск-координаторов, курирующих конкретные индикаторы);

• регулярность сбора значений индикатора;

• инструмент фиксации значений (заполнение в базе рисков, или в иных системах, или в excel-таблицах, или в бумажной форме);

• периодичность пересмотра эффективности индикатора.

6.3.2.3. В исключительной компетенции риск-менеджеров находится:

• право на установление индикаторов в подразделениях;

• определение параметров индикаторов;

• анализ данных индикаторов;

• подготовка заключений и отчетов об индикаторах;

• разработка общих регламентов и методик о порядке функционирования индикаторов и эскалации информации для принятия управленческих воздействий по минимизации рисков.

6.3.2.4. Система пороговых уровней (лимитов) КИР должна являться составной частью риск-аппетита и служить метрикой допустимого уровня операционного риска банка. Пороговые значения должны быть обоснованы и задокументированы, а также должны пересматриваться на регулярной основе.

6.3.2.5. При необходимости риск-менеджер может пользоваться помощью риск-координаторов для определения параметров индикаторов риска и контроля за своевременностью представления сотрудниками значений КИР.

6.3.2.6. Риск-координаторы несут ответственность за контроль своевременности представления значения индикаторов, которые они курируют, достоверность расчетов этих значений, организацию разработки порядка действий для ситуаций, когда значение индикатора переходит в желтую зону, и для ситуаций, когда оно переходит в красную зону.

6.3.3. Мониторинг ключевых показателей эффективности управления риском.

6.3.3.1. Субъекты управления операционными рисками устанавливают систему и критерии оценки эффективности управления операционными рисками во внутренних документах.

6.3.3.2. Соответствующий внутренний документ должен быть разработан прежде всего подразделением по аудиту для контроля за эффективностью принятых подразделениями и органами управления мер, обеспечивающих снижение уровня выявленных рисков, или документирование принятия руководством подразделения и (или) органами управления решения о приемлемости выявленных рисков (в соответствии с Положением ЦБ РФ от 16 декабря 2003 г. N 242-П). Подразделение по аудиту каждый год проводит анализ и формирует отчет перед Правлением банка о результатах соответствия системы управления риском критериям оценки её эффективности.

6.3.4. Мониторинг ключевых контролей риска.

6.3.4.1. Система ключевых контролей риска – это перечень контрольных процедур (например, обязательная проверка и акцепт платежной операции вторым сотрудником), исполнение которых минимизирует вероятность наступления инцидентов или иных негативных последствий риска. Контроли риска могут использоваться не только для предотвращения инцидентов, но и для их обнаружения (например, контрольные выгрузки / выборки фактов выдач кредитов клиентам с наличием просроченной задолженности).

6.3.4.2. Контрольные процедуры подлежат регулярному тестированию и пересмотру на предмет их влияния на остаточный риск. Перечень контрольных процедур и периодичность их тестирования должна учитываться в матрице контрольных процедур и матрице рисков (см. п. 6.3.7).

6.3.4.3. С целью наиболее полного охвата бизнес-процессов подразделений риск-координаторы заполняют / обновляют контроли в следующей последовательности:

• определяются бизнес-процессы подразделения;

• определяются основные риски, связанные с этими процессами, типичные инциденты для этих процессов;

• для каждого риска указывается его уровень, определяются существующие контрольные процедуры, способствующие его снижению;

• если контрольная процедура отсутствует либо она очевидно неэффективна, проектируются тесты, которые позволят проверить эффективность работы контрольной процедуры в целях снижения соответствующего ей риска;

• устанавливается периодичность тестирования.

6.3.4.4. По результатам тестирования контрольные процедуры совершенствуются с целью снижения связанных с ними рисков.

6.3.4.5. В случае, если невозможно или нецелесообразно введение/изменение контрольных процедур с целью снижения вероятности/тяжести последствий реализации риска, данный риск может быть принят.

6.3.4.6. Принятие риска допустимо в случаях, если возможные потери от реализации риска приемлемы для банка, и при этом введение/изменение контрольной процедуры по управлению этим риском:

• требует значительных материальных затрат либо затрат труда (в частности, значительных изменений в бизнес-процессах банка, закупки оборудования, доработки программного обеспечения);

• нецелесообразно в силу запланированных значительных изменений бизнес-процесса, устраняющих либо значительно снижающих данный риск.

6.3.4.7. Субъекты, которые имеют право принять риски, и лимиты их полномочий определены пп. 4.1.1.3(1), 4.2.1.2(1), 4.2.2.1.

6.3.5. Сценарный анализ рисков и стресс-тестирование.

6.3.5.1. Сценарный анализ и последующее стресс-тестирование – это моделирование возможного возникновения стрессовых ситуаций и сценариев их развития в оцениваемых процессах и операциях, которые могут привести к существенным убыткам и рискам (сценарный анализ) и последующее моделирование распределения частоты возникновения и размеров убытков (стресс-тестирование). Сценарный анализ направлен на получение оценки маловероятных, но возможных и крайне значительных по тяжести потерь. Экспертные заключения о таких сценариях могут даваться любыми специалистами банка, имеющими соответствующие познания о процессе или операции, которые подвергаются оценке, а также риск-менеджерами.

6.3.5.2. Основными параметрами сценарного анализа и стресс-тестирования являются:

• предмет анализа (вид оцениваемого риска, процесса или операции);

• источник получения экспертных заключений (категории или списки сотрудников, которые будут производить экспертное моделирование ситуаций и сценариев и представлять эти данные);

• регулярность анализа;

• способ получения экспертных заключений (заполнение сотрудниками подразделений анкет или прохождение ими интервью и опросов);

• присутствие независимых лиц (дача заключений в присутствии риск-менеджеров, риск-координаторов или без такового);

• инструмент фиксации экспертных заключений (заполнение в базе рисков (что наиболее целесообразно для обеспечения анонимности) или в иных системах, или в excel-таблицах, или в бумажной форме).

6.3.5.3. В исключительной компетенции риск-менеджеров находится: