FNST

Zasady zarządzania ryzykiem operacyjnym w bankach: Rekomendacja M Komisji Nadzoru Bankowego

Rekomendacja 1

Członkowie organów banku rady nadzorczej i zarządu banku powinni być świadomi ważnych aspektów ryzyka operacyjnego w banku, jako od­rębnego i podlegającego zarządzaniu rodzaju ryzyka i powinni znać profil ryzyka wynikającego z działalności banku.

Rekomendacja 2

Rada nadzorcza w ramach wypełniania swoich funkcji zatwierdza (akceptu­je) opracowane przez zarząd założenia strategii prowadzenia działalności. Założenia te powinny uwzględniać występowanie ryzyka operacyjnego wy­nikającego z działalności banku, a w szczególności określać ogólne zasady zarządzania tym ryzykiem. Rada nadzorcza powinna dokonywać okresowej oceny realizacji przez zarząd założeń strategii (w szczególności w odniesie­niu do zasad zarządzania ryzykiem operacyjnym banku). W tym celu zarząd banku powinien okresowo przedkładać radzie nadzorczej syntetyczną infor­mację na temat skali i rodzajów ryzyka operacyjnego, na które narażony jest bank, prawdopodobieństwa jego występowania, jego skutków i metod za­rządzania ryzykiem operacyjnym.

Rekomendacja 3

Zarząd banku odpowiada za opracowanie i wdrożenie strategii zarządzania ryzykiem, w tym za zorganizowanie i funkcjonowanie procesu zarządzania ryzykiem operacyjnym oraz jeśli to konieczne wprowadzanie niezbędnych korekt w celu usprawnienia tego procesu. Zasady i procedury zarządzania ryzykiem operacyjnym powinny obejmować pełen zakres działalności banku.

Rekomendacja 4

Kontrola i ocena systemu zarządzania ryzykiem operacyjnym oraz jego re­gularne przeglądy powinny być dokonywane przez komórkę audytu we­wnętrznego, niezależną pod względem operacyjnym i zatrudniającą kom­petentny, odpowiednio wyszkolony personel. Rada nadzorcza sprawuje nad­zór nad kontrolą systemu zarządzania ryzykiem operacyjnym oraz ocenia jej adekwatność i skuteczność.

Rekomendacja 5

W banku powinny w jasny sposób zostać określone kompetencje oraz sche­maty podległości służbowej w obszarze zarządzania ryzykiem operacyjnym na różnych szczeblach organizacyjnych.

Rekomendacja 6

W banku powinien istnieć udokumentowany proces identyfikacji i oce­ny zagrożeń związanych z ryzykiem operacyjnym dla wszystkich istot­nych obszarów działalności banku oraz wszelkich nowych produktów, procesów i systemów. Identyfikacja i ocena ryzyka operacyjnego wyni­kającego z nowych produktów, zachodzących procesów i wykorzysty­wanych systemów powinny nastąpić przed ich wprowadzeniem w życie i zastosowaniem. Bank powinien posiadać udokumentowany proces: oceny wrażliwości banku na zidentyfikowane zagrożenia, badania ich możliwego wpływu na wynik z działalności oraz określenia możliwych zabezpieczeń.

Rekomendacja 7

Wdrożony w banku system regularnego monitorowania zdarzeń operacyj­nych powinien umożliwiać obserwację profilu ryzyka operacyjnego oraz re­gularne przekazywanie zarządowi informacji w tym zakresie.

Rekomendacja 8

Bank powinien dokonywać okresowej weryfikacji skuteczności funkcjonowa­nia wdrożonego systemu zarządzania ryzykiem operacyjnym oraz jego ade­kwatności do aktualnego profilu ryzyka banku.

Rekomendacja 9

Bank powinien posiadać plany utrzymania ciągłości działania (w tym plany awaryjne), zapewniające nieprzerwane działanie banku na określonym po­ziomie, uwzględniające kategorie i czynniki ryzyka operacyjnego.

Rekomendacja 10

Bank powinien ujawniać otoczeniu rynkowemu informacje umożliwiające dokonanie oceny podejścia banku do zarządzania ryzykiem operacyjnym.

Wymieniono czynniki ryzyka opera­cyjnego, przedstawiając zagrożenia moż­liwe ze strony ludzi, procesów i syste­mów (w tym teleinformatycznych, zwią­zanych z dokumentacją i bezpieczeń­stwem informacyjnym oraz lokalizacją) oraz przewidywalnych i nieprzewidywalnych zdarzeń zewnętrznych. Podkreślono również możliwość zwiększenia narażenia banku na ryzyko operacyjne w wyniku zlecania czynności na ze­wnątrz (outsourcing). W kolejnej części Rekomendacji przedstawiono rolę orga­nów banku, rady nadzorczej i zarządu w procesie zarządzania ryzykiem opera­cyjnym oraz zwrócono uwagę na jego kulturę organizacyjną i rolę komórki kontroli wewnętrznej. Omówiono proces zarządzania ryzykiem operacyjnym oraz znaczenie kontroli i działań zabezpie­czających (planów awaryjnych, ubezpie­czeń, outsourcingu). Wspomniano rów­nież o konieczności publicznego ujaw­niania przez bank informacji na temat zarządzania ryzykiem operacyjnym. W odniesieniu do powyższych treści sformułowano dziesięć rekomendacji, które zostaną przedstawione w następnym poście.

Autorka jest pracownikiem naukowym katedry ra­chunkowości finansowej Akademii Ekonomicznej w Krakowie.

W dokumencie przedstawiono rów­nież klasyfikację ryzyka operacyjnego zgodną z zaproponowaną w Nowej Umo­wie i uwzględnioną we wspomnianym już załączniku nr X dyrektywy 2006/48/WE oraz scharakteryzowano krótko najbar­dziej popularne metody jego pomiaru.

Dla zarządzania ryzykiem operacyj­nym istotne znaczenie ma również Re­komendacja M, przyjęta przez Komisję

Nadzoru Bankowego w 2004 roku. Za­pisy Rekomendacji zostały oparte na opracowanych przez Bazylejski Ko­mitet Nadzoru Bankowego „Zasadach dobrych praktyk w zakresie zarządzania i nadzoru nad ryzykiem operacyjnym”. Jednym z głównych jej celów było usta­lenie zasad zintegrowanego systemu za­rządzania ryzykiem operacyjnym, w kontekście przygotowania banków do spełnienia założeń Nowej Bazylejskiej Umowy Kapitałowej przy wylicza­niu wymogu kapitałowego z jego tytułu. W Rekomendacji zdefiniowano ryzyko operacyjne i przeprowadzono jego kla­syfikację zgodnie z ustaleniami Komite­tu.

Drugi dokument skierowano do ban­ków, które zamierzają stosować zaawan­sowane metody pomiaru ryzyka kredyto­wego i operacyjnego dla celów obliczania wymogów kapitałowych. Jego celem było przedstawienie procedur zatwierdzania zaawansowanych metod pomiaru i zarzą­dzania ryzykiem kredytowym i operacyj­nym wraz z konstrukcją wniosku, jaki musi sporządzić bank w tej sprawie, oraz prezentacja podstawowych informacji temat mechanizmów działania tych metod. Zaznaczono, że przy opracowy­waniu propozycji w zakresie zaawanso­wanych metod pomiaru nadzór bankowy miał na uwadze obciążenia administra­cyjne banków, wynikające z konieczności wprowadzenia nowych regulacji oraz za­chowanie konkurencyjności polskiego sektora bankowego. Informacje, które bank musi przedstawić we wniosku o za­twierdzenie zaawansowanych metod po­miaru wymogu kapitałowego z tytułu ry­zyka operacyjnego podzielono na dwana­ście części.

wytyczne w polsce

Trzeci poziom regulacji odnosi się do rozwiązań przyjętych na szczeblu kra­jowym przez polskie organy nadzoru ban­kowego: Komisję Nadzoru Bankowego i jej organ wykonawczy Generalny In­spektorat Nadzoru Bankowego, wydzielo­ny organizacyjnie w strukturze Narodo­wego Banku Polskiego.

5 lipca 2006 roku Komisja Nadzoru Bankowego upoważniła przewodniczące­go KNB do przekazania ministrowi fi­nansów propozycji zmian przepisów ustawy Prawo bankowe, transponujących do polskiego porządku prawnego posta­nowienia dyrektywy 2006/48/WE oraz dyrektywy 2006/49/WE. Opracowane projekty uchwał KNB dotyczą m.in:

szczegółowych zasad funkcjonowania systemu zarządzania ryzykiem i syste­mu kontroli wewnętrznej oraz szczegó­łowych warunków szacowania przez banki kapitału wewnętrznego i doko­nywania przeglądów procesu szacowa­nia i utrzymywania kapitału wewnętrznego, zakresu i szczegółowych zasad wyzna­czania wymogów kapitałowych z tytu­łu poszczególnych rodzajów ryzyka, szczegółowych zasad i sposobu ujaw­niania przez banki informacji o cha­rakterze jakościowym i ilościowym do­tyczących adekwatności kapitałowej oraz zakresu informacji podlegających ujawnianiu.