В инструменте SAS OpRisk VaR результаты такого расчета графически будут выглядеть примерно так[76] (см. схему 11).

Схема 11

7.6.1. Структура подразделения.

7.6.1.1. Оптимальная структура подразделения по операционным рискам представлена на схеме 12.

7.6.1.2. Представленное деление сотрудников на юниты[77] обусловлено несовместимостью знаний, навыков, интересов, необходимых для выполнения задач юнитов.

Так, юнит по выявлению и устранению рисков (отдел 2 на схеме) – это сотрудники, имеющие интересы и глубокие познания в области методологии, операционной деятельности. По типо-характеру эти сотрудники – гуманитарии. Они имеют большой опыт работы в различных подразделениях банка, знают все банковские процессы и их слабые места, знают риски – это самые дорогостоящие сотрудники.

Юнит по раннему предупреждению рисков – это сотрудники имеющие, интересы и глубокие познания в области статистической аналитики, отчетности. По типо-характеру эти сотрудники – «технари» – математики. Они имеют опыт сбора и анализа больших объемов данных, математического обнаружения тенденций, идентификации их причин, программирования, например, в SAS Enterprise Guide или SPSS Clementine / Modeler, или иных инструментах. Это также высокооплачиваемые сотрудники.

Юнит по координации инцидент-менеджмента в подразделениях состоит, во-первых, из группы «методологов-тренеров» (тех, которые координируют деятельность всех подразделений, обучают работе с рисками и инцидентами (это менее «дорогие» сотрудники)). Во-вторых, этот юнит состоит из группы сотрудников «потоковой проверки инцидентов» без глубоких навыков и познаний (это самые «недорогие» сотрудники). По типо-характеру это ярко выраженные «неугомонные экстраверты-миротворцы», имеющие опыт успешного взаимодействия с другими сотрудниками.

7.6.1.3. Таким образом можно выделить четыре группы сотрудников подразделения по операционным рискам:

• гуманитарии (юнит по выявлению и устранению рисков);

• «технари» (юнит по раннему предупреждения рисков);

• тренеры-наставники (юнит по координации инцидент-менеджмента);

• инцидент-контролеры (юнит по координации инцидент-менеджмента).

7.6.1.4. В подразделение по операционным рискам запрещается включать другие подразделения, связанные с операционной деятельностью, такие например, как подразделения противодействия мошенничеству и мониторинга сомнительных транзакций, мониторинга кредитных мошенничеств, контроля лимитов[78] и т. д. Это нарушает принцип разделения полномочий управления рисками и полномочий исполнения процессов (п. 6.7.3.1.2) и влечет неадекватность и предвзятость оценки рисков в этих подразделениях.

7.6.1.5. Запрещается также отдавать из подразделения по операционным рискам различные функции.

Пример структуры подразделения по управлению операционными рисками

Схема 12

Так, аналитиков по раннему предупреждению рисков, часто хотят «забрать» в иные подразделения, например, в макроаналитическое подразделение. Этого делать нельзя, так как значительную часть работы таких аналитиков составляет непосредственная организация процедур раннего предупреждения (что не вправе делать сотрудники иных подразделений).

Так же часто хотят «забрать» функцию по обеспечению непрерывности (в кадры, в ИТ-подразделение или в подразделение информационной безопасности). Однако все эти подразделения при организации непрерывности деятельности будут выполнять несвойственные им функции (например, не в компетенции кадров находится организация ИТ-непрерывности, так же как не в компетенции подразделения информационной безопасности находится организация непрерывности работы персонала и т. д.). Такое выполнение несвойственных функций является нарушением (выходом за рамки своих полномочий) и по сути дела некомпетентной деятельностью.

7.6.2. Подчиненность подразделения.

Стандартно подразделение по операционным рискам входит в блок рисков (либо в составе подразделения по банковским рискам, либо обособленно с прямым подчинением директору по рискам).

Вхождение подразделения в блок рисков несет существенные риски и ведет к «вырождению» функции управления операционными рисками.

Так, значительное число операционных рисков идентифицируется подразделением именно в блоке рисков (в скоринге, верификации, андеррайтинге, раннем взыскании, позднем взыскании, работе с коллекторами, предотвращении мошенничеств и т. д.). Т. е. подразделение идентифицирует риски у своего начальника – директора по рискам. Более того, когда устранение этих рисков задерживается, подразделение должно «жаловаться» на своего начальника Правлению. Налицо нарушение принципов разделения полномочий управления рисками и полномочий исполнения процессов (п. 6.7.3.1.2). Риск-функция в этих условиях теряет свою эффективность и объективность.

Для недопущения такой ситуации подразделение по операционным рисками должно подчиняться напрямую Председателю правления банка, а не его заместителю по рискам (не директору по рискам[79]). Однако на практике это не наблюдается.

7.6.3. Организация рабочих мест сотрудников подразделения.

7.6.3.1. Подразделение по операционным рискам должно размещаться обособленно от других сотрудников, так как обсуждаемые вопросы по большей части носят конфиденциальный характер.

7.6.3.2. Рабочие места трех юнитов должны обособляться с учетом принципов, указанных в п. 6.7.3.1.6. Так, работа юнита по координации инцидент-менеджмента по большей части представляет собой достаточно шумную деятельность, а работа юнита по раннему предупреждению рисков требует глубокой сосредоточенности. Поэтому одни не должны мешать работать другим. Идеальной ситуацией является расположение этих трех юнитов в трех обособленных пространствах.