7.1. СОДЕРЖАНИЕ ОПЕРАЦИОННОГО РИСКА И ЕГО РАЗНОВИДНОСТИ

■ возникновение отклонений в информационных системах и системах внутреннего контроля, которые влекут за собой финансо­вые потери. Эти риски связаны с ошибками людей, сбоями в системах и наличием недостаточных (неэффективных) систем контроля;

■ недостатки, присущие внутренним процессам, т.е. вследствие возникновения проблем и отклонений во внутренних процессах;

■ риски капитала или доходов, связанные с предоставлением услуг или продажей продуктов.

Остановимся на четырех наиболее распространенных точках зре­ния, сложившихся в зарубежной экономической литературе^[35].

Изначально к операционным рискам относили прочие виды финансовых рисков, отличающиеся от других видов рисков (например, рыночных и кредитных). Очевидно, что такое определение является слишком широким, поскольку перечень иных видов рисков, с которыми сталкиваются кредитные организации, достаточно велик, и включает в себя, например, бизнес-риск, охватывающий такие аспекты ведения бизнеса, как выбор стратегии развития, позиционирование на рынке, компетентность менеджмента, ноу-хау, способы реализации конкурент­ных преимуществ и т. д. Приведенный перечень областей возникнове­ния рисков, как правило, не входит в компетенцию непосредственно риск-менеджера. Кроме того, определение, построенное от противного, приводит к неполным знаниям о предмете исследования, затрудняет классификацию и оценку рисков.

Другой взгляд на определение операционного риска увязан с областью его возникновения и, прежде всего, с осуществлением финансовых операций. Его источником могут быть ошибки, допущен­ные при обработке данных, сбои информационных систем, технологи­ческие неполадки оборудования, некорректное исполнение операций.

В данном случае в определении основное внимание фокусиру­ется на процедуре исполнения операций по всем стадиям их обработки, но не учитываются, например, риски, связанные с мошенничеством внутри организации, несанкционированным совершением операций, неправильным использованием моделей при оценке финансовых инструментов.

Третий подход акцентирует внимание на осуществлении конт­роля со стороны организации за операционными рисками. Под опера­ционным риском понимаются те риски (исключая бизнес-риск), кото­рые возникают в результате неэффективного функционирования системы внутреннего контроля в организации. При такой трактовке операционных рисков из поля зрения выпадают, например, внешнее мошенничество, природные катастрофы, взлом системы безопасности и др.

Наконец, четвертая точка зрения трактует операционный риск как риск прямых или косвенных убытков в результате неверного постро­ения бизнес-процессов, неэффективности процедур внутреннего кон­троля, технологических сбоев, несанкционированных действий персо­нала или внешнего воздействия.

Данное определение, на наш взгляд, в отличие от приведенных выше, более полно и точно характеризует специфику, источники воз­никновения и последствия влияния операционного риска на деятель­ность кредитной организации. Однако в 2001 г., с выходом нового поло­жения Базельского комитета всеобщее признание получило данное в этом документе определение операционного риска.

Согласно последней редакции нового Базельского соглашения по капиталу (Базель-2), «операционный риск определяется как риск возникновения убытков в результате недостатков или ошибок в ходе осуществления внутренних процессов, допущенных со стороны сотруд­ников, функционирования информационных систем и технологий, а также вследствие внешних событий». При этом в материалах Базель­ского комитета особо подчеркивается, что операционный риск вклю­чает также юридический (правовой) риск.

Нам представляется, что определение, приведенное в материа­лах нового документа Базельского комитета, достаточно полно раскры­вает операционный риск и носит универсальный характер.

Трактовку понятия «операционный риск» приводит и Банк Рос­сии. Под операционным риском понимается риск возникновения убыт­ков в результате несоответствия характеру и масштабам деятельности кредитной организации и (или) требованиям действующего законода­тельства внутренних порядков и процедур проведения банковских опе­раций и других сделок, их нарушения служащими кредитной органи­зации и (или) иными лицами (вследствие непреднамеренных или умышленных действий или бездействия), несоразмерности (недоста­точности) функциональных возможностей (характеристик) применя­емых кредитной организацией информационных, технологических и других систем и (или) их отказов (нарушений функционирования), а также в результате воздействия внешних событий»^[36].

Определение операционного риска, сформулированное в документе Банка России, достаточно развернутое, что одновременно делает его громоздким и затрудняет восприятие. В нем четко обозначены причи­ны и области возникновения операционных рисков, что, с одной стороны, утяжеляет сущностные черты, а с другой — создает основу для проведения классификации, позволяет кредитным организациям разрабатывать способы предупреждения и методы управления опера­ционными рисками.

Нам представляется, что из приведенного перечня определений операционного риска наиболее полной и одновременно лаконичной является трактовка, помещенная в материалах Базельского комитета, которой мы и будем придерживаться при изложении данной темы.

Традиционно считается, что риск представляет собой возмож­ность негативного результата, каких-либо нежелательных последствий для функционирующей организации. Обычно риски анализируются с трех различных позиций: во-первых, риск — это неопределенность; во-вторых, риск несет в себе новые возможности, которые позволяют организации достичь конкурентных преимуществ; в-третьих, риск может оказывать разрушительное воздействие на деятельность компа­нии (банка).

риск риск Рис. 7.1. Соотношение операционного риска и других сфер риска

Кредитным организациям присущи все названные виды, однако, следует отметить, что основное внимание в современной практике российских и зарубежных банков уделяется финансовым рискам, поскольку их природа вытекает из сущности банковского бизнеса и обусловлена колебаниями рыночной конъюнктуры, характером про­водимых ими операций на различных рынках, потребностью в поддер­жании ликвидности. Одновременно заметим, что недостаточно внима­ния сегодня уделяется стратегическим и операционным рискам, последствия и проявление которых могут быть сравнительно неболь­шими, а вероятность возникновения достаточно высока. В этой связи разработка проблем, связанных с классификацией, уточнением сфер и источников возникновения операционных рисков, методов их объек­тивной оценки и разработки системы управления операционными рис­ками на методологическом уровне позволит предотвратить негативные последствия, которые сопутствуют текущей деятельности кредитной организации.

Классификацию рисков, в том числе операционных, проводят на основе выделенных критериев. Ими могут выступать: источники их возникновения, сфера рисков, вид деятельности кредитной органи­зации.

Схематично классификацию операционных рисков в зависи­мости от источников их возникновения можно представить следующим образом (рис. 7.2).

Как показано на схеме, по источникам возникновения опера­ционные риски можно разделить на обусловленные неудовлетвори­тельным качеством управления, недостатками в функционировании систем, действиями персонала, организацией процессов, а также форс-мажорными обстоятельствами.

Из представленной классификации следует, что большая часть операционных рисков связана с деятельностью человека. Например, прямые и косвенные потери (убытки) возникают из-за ошибок персо­нала в части соблюдения внутренних регламентов и процедур, ошибок в принятии управленческих решений, хищений, злоупотреблений, недо­статочной компетентности кадров и низкого уровня их квалификации. Более того, даже в случаях, когда убытки вызваны сбоями в работе теле­коммуникаций, вычислительной техники и информационных систем, в основе их в большинстве случаев лежат ошибки людей. Неслучайно на приведенной схеме четыре из пяти источников так или иначе свя­заны с деятельностью персонала: качество управления, риски систем, человеческий фактор, процессы. Исключение составляют лишь форс- мажорные обстоятельства.

Менеджеры не должны забывать, что персонал — это главный актив компании, что подтверждается высокими расходами на его содер­жание. Можно выделить ряд конкретных источников, характеризующих риски, связанные с персоналом. Это прежде всего человеческая ошибка, последствия которой могут быть весьма плачевными.

В особой мере это касается ошибок, возникающих в сфере управ­ления и связанных с качеством принимаемых решений. Очевидно, что конкретными источниками здесь, прежде всего, являются низкий уро­вень квалификации кадров, использование при принятии решений огра­ниченного круга данных, игнорирование предупредительных сигналов о первых признаках проблем и некоторые другие.

Другая группа источников обусловлена нарушением бизнес-про­цессов. Например, последствием перевода средств в случае неверного указания банка-контрагента может стать так называемая непреднаме­ренная поставка денежных средств.

Примером других проявлений операционного риска, связанного с внутренними бизнес-процессами банка, являются нарушения в сис­теме управления и недостаточности или низкого качества внутреннего контроля в кредитной организации. Необнаруженные своевременно превышения лимитов, не разрешенные руководством операции отдель­ных трейдеров, злоупотребления в учете операций — факторы, вызвав­шие крах целого ряда известных финансовых учреждений, в частно­сти, банка Barings. Поэтому, разбив деятельность банка на множество простых процессов, можно представить его деятельность в деталях, а также быстро провести диагностику и оперативное реагирование в случае возникновения проблем.

Еще одна группа источников возникновения операционного риска, связанного с персоналом, — это злоупотребление и мошенниче­ство, которое происходит вследствие нечестности сотрудника и недо­статочного качества разработанных процедур и действий, исключающих возможность злоупотреблений. Для того чтобы состоялось мошенни­чество, необходимо, чтобы для этого существовала возможность. Нали­чие такой возможности — это результат внутренних проблем и оши­бок. Примером мошенничества может служить вовлечение кредитной организации в коммерческие взаимоотношения с теневой или крими­нальной экономикой, преднамеренное проведение сделок и сокрытие их результатов, наносящие ущерб банку.

Другим проявлением риска может стать концентрация знаний и опыта на одном человеке. Зависимость от ограниченного числа сотрудников — одна из ключевых проблем банков. Достаточно часто встречается ситуация, когда программист становится «незаменимым», в его отсутствие может остановиться технологический процесс: немало банков несло потери, когда такой специалист неожиданно увольнялся по той или иной причине.

Кроме того, зачастую клиенты привыкают к работе с тем или иным менеджером, естественно, что ряд клиентов «приводится» в банк тем или иным менеджером. Очевидно, что в случае ухода клиентского менеджера из банка существует риск ухода некоторых клиентов. Эта проблема может быть частично решена за счет выработки формальных договоренностей между руководством банка и менеджером, приведшим клиентуру. Но может возникнуть также и другая проблема: нередко банковский менеджер, обладающий своей клиентурой, дает своего рода личные гарантии клиенту, что тот приходит в стабильный банк. Как вести себя менеджеру, если у банка начинаются проблемы? Исходя из принципа банковской корпоративности, ему не следует давать реко­мендации клиентам уводить средства из банка, с другой стороны, банк рискует своей репутацией, если приведенный им клиент потеряет деньги: в этом проявляется риск работы со «своей» клиентурой.

Зависимость банка от ограниченного числа сотрудников прояв­ляется и тогда, когда в кредитной организации работает известный на рынке специалист или группа специалистов. Хотя уход таких спе­циалистов из банка может в краткосрочной перспективе и не привести к прямым финансовым потерям, не исключены негативные послед­ствия, которые проявятся со временем (влияние на рейтинги, на оценку бизнеса со стороны деловых партнеров). К сожалению, стандартных методов работы здесь нет, хотя многое определяется условиями заклю­ченного со специалистом контракта и корпоративной культурой орга­низации.

Значительные убытки приносит банкирам и некачественная юри­дическая документация. Конечно, установленный в банках порядок обязательного визирования юристом договоров и процедур снижают этот риск. Проблемы могут возникать либо по причине недостаточной квалификации работников юридической службы, либо по причине их невнимательности. Кроме того, много усилий приходится прилагать для того чтобы своевременно вносить изменения в документацию в усло­виях часто меняющегося законодательства. В этом случае проблема может быть решена с помощью установления мониторинга норматив­ной базы, а также концентрации внимания юристов прежде всего на опе­рациях, несущих значительный риск потери денежных средств, кото­рый определяется для каждого банка индивидуально, и установление индивидуального порядка рассмотрения для всех договоров, отличных от стандартных.

Особо выделим такой источник, как возможные сбои в работе информационных систем или их некорректную работу, в том числе из-за ошибок, возникающих в компьютерных программах. Использование информационных технологий помогает повысить эффективность про­цессов в банке. Однако они также являются источником операцион­ного риска, причинами возникновения которого могут быть и недоступ­ность систем в нужное время из-за сбоев, связанных с техническими неполадками, недостаточным уровнем обеспечения безопасности под­верженности атакам хакеров, неавторизованным доступом и вирусами, перебоями электропитания и др.

Отсутствие плана работы в случае сбоя информационных сис­тем или низкое качество подобных планов также может привести к существенным убыткам и задержкам при принятии управленческих решений. У аналитиков любого банка должен быть расчет, во сколько банку обойдется каждый день простоя, учитывая также угрозу потери деловой репутации, возможный риск ухода важных клиентов, которые с трудом поддаются количественной оценке.

Снизить такие риски позволяет жесткая система тестирования программ до их ввода в эксплуатацию, наличие адекватной технической документации и четкое фиксирование ответственности разработчика в соответствующих договорах.

Условия окружающей среды, в которой функционирует банк, усиливают влияние, оказываемое вышеописанными событиями (мошен­ничество, кадровая политика, технологические и технические сбои, внутренние бизнес-процессы банка). Это может происходить из-за использования новых технологий и повышения уровня автоматизации процессов в соответствии с уровнем развития экономики, изменения требований рынка труда и ожиданий работников, роста сложности и количества проводимых операций.

Так, например, риск потерь, возникающих из-за сложности финансовых инструментов, появляется в том случае, когда информа­ционная система банка не способна адекватно учитывать сделку в бух­галтерском учете и аналитической базе данных. Например, в середине 90-х годов, когда российские банки начали операции с производными финансовыми инструментами, в некоторых из них не были должным образом подготовлены информационные системы. В результате воз­росло количество ошибок в бухгалтерском учете, но, что более непри­ятно, банковские аналитики далеко не всегда могли иметь реальную картину валютных и процентных рисков, кроме того, возросли сроки подготовки аналитической информации для руководства. Следова­тельно, нельзя начинать работу с новым для банка финансовым инст­рументом, не убедившись в том, что информационные системы будут корректно его отражать. Поэтому одним из полезных инструментов, снижающих этот риск, является отработанная процедура утверждения порядка работы с новыми финансовыми инструментами.

Кроме этого, не стоит забывать, что операционный риск может возникнуть и в результате событий, которые случаются редко, но могут стать причиной очень крупного материального убытка. Это — природ­ные катастрофы, теракты, закрытие финансовых рынков и др.

Классификацию операционных рисков можно провести и на основе других критериев, например, в зависимости от содержания бан­ковской деятельности или сферы возникновения рисков.

При классификации операционных рисков в зависимости от содержания банковской деятельности разделим всю деятельность условно на управленческую и производственную. Если управленческая деятельность направлена на достижение поставленных целей и задач банком, то производственная — это формализованные процессы по осу­ществлению персоналом банка операций или иных действий, форми­рующих различные виды активов и пассивов, использующих первич­ные и производные финансовые инструменты для обслуживания клиентов и хеджирования рисков, обеспечивающих внутрибанковскую и хозяйственную деятельность, создающих информационные и другие технологии. Эти виды деятельности можно представить как процессы, включающие определенные блоки.

В сфере управленческой деятельности к таким блокам относятся планирование, организация, мотивация и контроль. Сбои в организа­ции процессов данных блоков отражаются на качестве принятия управ­ленческих решений и могут быть вызваны, например, ошибками пер­сонала, в том числе из-за недостатка привлеченных данных, вследствие игнорирования либо недоучета предупредительных сигналов, низкой квалификации.

Процессы в сфере производственной деятельности включают следующие блоки:

■ операции, связанные с видами деятельности (кредитованием хозяйствующих субъектов и физических лиц, привлечением средств клиентов и банков), операции на валютном и межбанковском рынке, поддержание ликвидной позиции, торговые операции с ценными бума­гами, забалансовые операции и др.;

■ технологии банковских операций и учета, например, опера­ционные обслуживание и предоставление услуг, процессинг пластико­вых карт, инкассация, ведение бухгалтерского и управленческого учета, составление финансовой отчетности и другие виды административ­но-хозяйственной деятельности и пр.;

■ информационная база, информационные системы и про­граммы;

■ субъекты производственной деятельности.

В соответствии с таким описанием деятельности банка можно выделить две группы объектов операционного риска:

■ процессы, связанные с видами деятельности банка;

■ активы, пассивы, инструменты банковского рынка и банков­ские технологии.

С первой группой объектов риска связаны следующие факторы операционного риска:

■ неправильный выбор стратегии банка;

■ несовершенство процессов управления;

■ отсутствие или некачественная разработка внутренних поло­жений;

■ внешние события.

Со второй группой объектов, соответственно, связаны иные факторы риска, такие как:

■ ошибки персонала;

■ сбои информационных систем;

■ технологические ошибки;

■ недостаточный уровень контрольных процедур.

Эти факторы лежат в основе классификации операционных рис­ков, предложенной Базельским комитетом. В частности, в определе­нии операционного риска, которое было предложено Базельским коми­тетом и принято всеми участниками рынка в качестве стандартного, четко выделяются источники операционного риска, по которым его можно классифицировать следующим образом:

■ ошибки персонала;

■ сбои информационных систем;

■ технологические ошибки;

■ внешние события.

В то же время, как уже отмечалось, предлагаются и другие кри­терии для классификации.

Ряд крупных зарубежных институтов используют классифика­цию операционных рисков, предложенную Bankers Trust, в основе кото­рой лежит такой критерий, как сфера риска: внутренние и внешние операционные риски (рис. 7.3).

Рис. 7.3. Классификация операционных рисков

Внутренние риски:

■ риск персонала — все риски, которые связаны с сотрудниками компании, в частности их несанкционированные действия, недостаточ­ная компетентность, зависимость от отдельных специалистов и т.д.;

■ технологический риск — риск, вызванный сбоями и отказами информационных систем, программ или баз данных, систем передачи информации и прочего оборудования, необходимого для деятельности компании;

■ риск физического ущерба — риск, наступающий в результате природных катастроф или трудностей при взаимодействии с клиентами;

■ недостаточность внутреннего контроля.

Внешний риск — риск, наступающий в результате злоумышлен­ных действий сторонних организаций, физических лиц, а также в результате изменения государственной политики, законодательства и требований регулирующих органов.

Более детальная классификация операционных рисков в зави­симости от такого критерия, как сфера их возникновения, предпола­гает, что внутренние риски следует подразделить на риски, связанные с производственной деятельностью, процессами и управленческой дея­тельностью (рис. 7.4).

Рис. 7.4. Классификация операционных рисков в зависимости от сферы их возникновения

Кроме того, можно предложить и иной критерий классификации, а именно, выбрав в качестве такового область возникновения возмож­ных убытков и их последствий, вследствие операционных рисков (табл. 7.1).

Таблица 7.1

Классификация операционных рисков в зависимости от области возникновения убытка и их последствий

Каждая из вышеприведенных классификаций указывает, с одной стороны на многогранность операционных рисков, с другой — демон­стрирует их связь с другими видами банковских рисков.

Банковские риски тесно взаимосвязаны между собой, их взаим­ное влияние может существенно отразиться на риске банковского порт­феля в целом. Это обусловливает потребность в выяснении связей, оценки и управления операционными рисками (табл. 7.2).

Помимо причинно-следственной связи между операционным, рыночным и кредитным рисками имеет место эффект «кумулятивного» наращивания негативного воздействия. Ввод неверной информации приводит к ошибкам при управлении рыночным риском, что, в свою очередь, ведет к еще большему ущербу. Существует немало примеров того, как ошибки в отчетах, некорректные действия персонала или вре­менный сбой информационной системы многократно увеличивали пер­воначальный ущерб в результате рыночного или кредитного риска. Например, одна из американских финансовых компаний понесла существенные убытки из-за того, что дилер перепутал количество акций и их стоимость при совершении операций в торговой системе. Несмотря на то, что эта ошибка была практически сразу замечена и исправлена, было заключено уже значительное количество сделок на чрезвычайно невыгодных условиях. Другой пример взаимосвязи рисков состоит в том, что, благодаря несоответствию прав доступа к информационным ресурсам, дилеры и трейдеры могут открывать новые счета для торго­вых операций, самостоятельно осуществлять авторизацию сделок и т.д. С учетом сказанного отметим, что деятельность кредитной организа­ции должна базироваться на достоверной, точной и своевременной информации, необходимой для анализа и контроля за совершаемыми операциями, действиями персонала.