Зарегистрировано в Министерстве юстиции Кыргызской Республики

18 января 2006 года. Регистрационный номер 7-06

ПОЛОЖЕНИЕ о минимальных требованиях по управлению операционным риском в коммерческих банках Кыргызской Республики

(В редакции постановлений Правления Нацбанка КР от 16 ноября 2012 года N 43/1, 23 декабря 2015 года № 78/22, 15 июня 2017 года № 2017-П-12/25-7, 17 октября 2018 года № 2018-П-12/43-2)

I. Общие положения

1.1. Настоящее Положение устанавливает обязательные для соблюдения коммерческими банками и Государственным банком развития Кыргызской Республики (далее - банки) минимальные требования к организации управления операционным риском.

(В редакции постановления Правления Нацбанка КР от 15 июня 2017 года № 2017-П-12/25-7)

1.2. Положение является дополнительным руководством для коммерческих банков, Государственного банка развития Кыргызской Республики (далее - банки) в отношении минимальных требований к политикам, процедурам и внутреннему контролю с целью соблюдения стандартов управления операционным риском, установленных Положением "О минимальных требованиях по управлению рисками в банках Кыргызской Республики".

Коммерческие банки, осуществляющие операции в соответствии с исламскими принципами банковского дела и финансирования, руководствуются настоящим Положением с целью соблюдения стандартов управления операционным риском, установленных Положением "О минимальных требованиях по управлению рисками в банках, осуществляющих операции в соответствии с исламскими принципами банковского дела и финансирования", утвержденным постановлением Правления Национального банка от 28 декабря 2009 года № 51/5.

(В редакции постановлений Правления Нацбанка КР от 16 ноября 2012 года N 43/1, 23 декабря 2015 года № 78/22)

1.3. В Положении используются термины в соответствии с Положением "О минимальных требованиях по управлению рисками в банках Кыргызской Республики".

II. Основные требования к организации управления операционным риском

2.1. В банке должна быть разработана и утверждена Советом директоров банка политика по управлению операционным риском, соответствующая масштабу, профилю риска, системной значимости и размеру капитала банка.

Политика по управлению операционным риском может быть представлена в виде отдельного документа либо может быть частью единой политики по управлению рисками и как минимум должна включать:

- цели и задачи управления операционным риском;

- основные принципы управления операционным риском;

- основные виды операционных рисков с учетом всех направлений деятельности банка и причины их возникновения;

- распределение полномочий и ответственности по всем уровням управления и мониторинга операционным риском;

- методы выявления, оценки, мониторинга, контроля и минимизации операционного риска;

- порядок предоставления отчетности и обмена информацией по управлению операционным риском.

(В редакции постановления Правления Нацбанка КР от 23 декабря 2015 года № 78/22)

2.2. Основные принципы управления операционным риском предполагают, что во внутренних документах банка должны найти отражение:

- порядок, правила и процедуры совершения банковских операций и других сделок;

- функционирование информационных и других систем;

- процедура, регламентирующая в случаях наступления форс-мажорных обстоятельств (таких как, стихийные бедствия (наводнения, землетрясения, бури, пожары и иные природные либо техногенные катастрофы), технические катастрофы, эпидемии, введение чрезвычайного положения, массовые беспорядки, мародерство, военные действия и т.п.) порядок перевода работы на резервный центр (при наличии), и взаимодействие персонала системы;

- организация внутренних процессов, разделение полномочий, функциональных обязанностей;

- порядок взаимодействия подразделений и сотрудников банка;

- порядок представления отчетности и обмена информацией;

- определение конфликта интересов и возможность их предотвратить в случае, если сделки касаются тех, кто принимает решения.

(В редакции постановления Правления Нацбанка КР от 15 июня 2017 года № 2017-П-12/25-7)

2.3. В целях ограничения операционного риска банк должен иметь следующие документы:

- по проведению всех типов операций, осуществляемых банком;

- по физической безопасности, включающие требования к помещениям, в которых располагаются филиалы, хранилища, сейфы, документы и архивы, а также меры физической защиты технологий;

- по приему, хранению и перевозке денежных средств и иных ценностей;

- по обеспечению технологиями, которые должны быть протестированы, документально оформлены до их введения и которые могут быть обновлены в случае необходимости;

- - по аутсорсингу. Под аутсорсингом понимается привлечение банком внешних поставщиков услуг для выполнения на непрерывной основе отдельных видов работ и услуг, которые в обычных условиях осуществлялись бы самим банком. Банк не может использовать аутсорсинг для проведения операций, связанных с кредитованием, привлечением депозитов либо другой банковской операции, для которой требуется лицензия;

- планы по обеспечению непрерывности бизнеса, включающие, наличие резервных помещений, внешние хранилища для резервных данных, процессы восстановления и планы на случай непредвиденных обстоятельств для реагирования на разрушение или непригодность ключевых систем.

(В редакции постановления Правления Нацбанка КР от 23 декабря 2015 года № 78/22)

2.4. Политика по управлению операционным риском должна пересматриваться периодически, не менее одного раза в год, а процедуры и другие внутренние документы банка по управлению операционным риском должны пересматриваться по мере необходимости, но не менее одного раза в два года с учетом достигнутого уровня управления операционным риском в банке и международного опыта, полностью интегрироваться в общий процесс управления рисками банка, а также своевременно доводиться до сведения всех сотрудников банка.

(В редакции постановления Правления Нацбанка КР от 23 декабря 2015 года № 78/22)

2.5. Совет директоров несет основную ответственность за управление операционным риском и определяет подходы, которые наиболее соответствуют деятельности банка, а также осуществляет контроль за эффективной реализацией Правлением банка политики и процедур по управлению операционным риском

(В редакции постановления Правления Нацбанка КР от 23 декабря 2015 года № 78/22)

2.6. Оценка управления операционным риском должна производиться как в целом по банку, так и в разрезе направлений его деятельности, внутренних процессов, информационно-технологических систем и банковских продуктов, составляющих эти направления деятельности. Минимально, оценка управления операционным риском должна включать систематический анализ подверженности каждому виду операционного риска по каждому направлению деятельности банка.

2.7. Для унификации подходов и сопоставимости данных банк может использовать следующую классификацию направлений деятельности:

- открытие счетов, расчетно-кассовое обслуживание физических и юридических лиц;

- проведение платежей;

- кредитование;

- управление активами, включая ценные бумаги;

- оказание агентских услуг;

- оказание брокерских услуг;

- оказание консультационных услуг;

- другие направления деятельности.

2.8. Совет директоров банка совместно с Правлением банка должен обеспечить создание организационной структуры с установлением прав и обязанностей по всем уровням управления и мониторинг операционного риска в соответствии с основными принципами управления операционным риском.

2.9. В целях управления операционными рисками, все банки должны обеспечить комплекс мер для восстановления и возобновления функционирования своих внутренних информационных систем согласно требованиям нормативных правовых актов Национального банка.

(В редакции постановления Правления Нацбанка КР от 15 июня 2017 года № 2017-П-12/25-7)

III. Основы управления операционным риском

3.1. Операционные убытки могут возникать вследствие событий и процессов, несущих в себе операционный риск, которые классифицируются по следующим типам:

(В редакции постановления Правления Нацбанка КР от 23 декабря 2015 года № 78/22)

3.1.1. Внутреннее мошенничество, то есть злоупотребления или неправомерные действия сотрудников банка (например, злоупотребление служебным положением, хищения, преднамеренное сокрытие фактов совершения операций, несанкционированное использование информационных систем и ресурсов, преднамеренное нарушение внутренних документов банка, неправомочное использование информации, полученное сотрудником в ходе выполнения служебных обязанностей с выгодой для себя).

Основной подход в управлении риском при возникновении данных событий заключается в наличии надежной системы внутреннего контроля, которая включает разделение обязанностей, организацию двойного контроля и четкое определение делегированных лимитов одобрения. Необходимо, чтобы соответствующая служба внутреннего аудита, осуществляющая проверку соблюдения установленных политик и процедур, поддержала данную систему внутреннего контроля.

3.1.2. Внешнее мошенничество, то есть неправомерные действия посторонних по отношению к банку лиц (например, ограбление, несанкционированное проникновение в информационные и другие системы банка, подлог и/или подделка платежных и других документов).

В дополнение к общей системе внутреннего контроля, банки должны разработать конкретные меры, обеспечивающие физическую безопасность и безопасности информационных технологий, согласно утвержденной политике. Основы управления операционным риском предписывают, что данные политики четко определяют каким образом можно снизить риски воровства и мошенничества с указанием возможных убытков из-за ограбления филиалов или воровства денежных средств, находящихся в пути, и неадекватности безопасности информационных технологий.

3.1.3. Практика приема на работу, нарушения банковского, трудового и иного законодательства, условий безопасности труда и охраны здоровья сотрудников.

Данные виды событий, несущие в себе операционный риск, определяются в большей степени внутренними нормативными актами банка о трудовых ресурсах с учетом возможности страхования в соответствии с законодательством.

3.1.4. Нарушение банком обязательств по договорам перед клиентами банка и третьими лицами, злоупотребление информацией о клиентах банка, некачественное осуществление операций или предоставление услуг, несоблюдение обычаев делового оборота, нарушение антимонопольного законодательства, несоблюдение требований по изучению клиентов.

Меры по обеспечению надлежащего обучения и надзора за сотрудниками, соблюдению положений о поведении на рынке и защите прав потребителей являются основными мерами снижения данных видов операционных рисков.

3.1.5. Причинение ущерба материальным активам банка (например, вследствие пожара, стихийных бедствий, актов терроризма, вандализма и т.д.).

Обеспечение физической безопасности, включая защиту помещений и иных активов, а также планирование непрерывности бизнеса, в том числе наличие средств резервного копирования в случае разрушения или отказа в доступе к ключевым помещениям представляют собой основные подходы в управлении данными рисками. Страхование остановки бизнеса может также играть роль в уменьшении финансовых затрат.

3.1.6. Сбои в функционировании или выход из строя информационных и других систем, оборудования, коммуникаций банка.

Планирование и обеспечение непрерывности бизнеса, что включает в себя процесс резервного копирования и восстановления, резервные механизмы реагирования на непригодность или на разрушение наиболее важной информации или технологии, являются основными средствами снижения данных операционных рисков. В дополнение, строгое тестирование новых или усовершенствованных систем, в том числе на способность восстанавливать информацию в случае сбоев в функционировании или выхода из строя, представляет собой необходимый компонент политики по управлению технологиями.

3.1.7. Ненадлежащая организация внутренних процессов и информационных потоков, в том числе порядка доступа к конфиденциальной информации, как например, к счетам клиентов, к информационным системам, ненадлежащее исполнение операций и установленных процедур, нарушение обязательств перед банком поставщиками работ или услуг, ошибки при вводе данных по операциям и сделкам, бухгалтерские ошибки, ошибки в расчетах, неправильное или неполное составление отчетности или правовой документации, утеря или уничтожение документов, недостатки и нарушения по управлению залогами и т.д.

Операционный риск в результате указанных факторов в значительной степени контролируется соответствующими системами внутреннего контроля. Если при проведении отдельных видов работ и услуг банк использует услуги подрядчиков, то у него должны быть соответствующие внутренние нормативные документы, предусматривающие обстоятельства, при которых можно использовать аутсорсинг, подбирать квалифицированных и надежных поставщиков услуг, устанавливать стандарты качества, в том числе стандарты соответствия, безопасности и своевременности, проводить мониторинг рисков, разрабатывать планы на случай непредвиденных обстоятельств для ключевых поставщиков услуг на случай срывов.

3.1.7-1. До использования аутсорсинга банку необходимо разработать процедуру принятия решений о привлечении поставщиков услуг, а также подготовить договоры аутсорсинга. Договор аутсорсинга является важным инструментом снижения рисков, связанных с его неисполнением или возникновением разногласий сторон. К ключевым положениям договора аутсорсинга должны быть отнесены следующие:

- четкое определение видов работ и услуг, передающихся на исполнение третьей стороне;

- возможность доступа банка к финансовой отчетности поставщика услуг, в том числе в случаях, когда финансовое состояние поставщика услуг может повлиять на исполнение им обязательств по договору аутсорсинга и иной информации, имеющей отношение к объекту аутсорсинга. При этом по запросу Национального банка и внешних аудиторов банк обязан предоставить указанную информацию, имеющую отношение к объекту аутсорсинга;

- непрерывное осуществление банком мониторинга и оценки деятельности поставщика услуг с целью своевременного принятия корректирующих мер;

- условия и минимальные сроки прекращения действия договора в случае возникновения необходимости, а также обязательства, остающиеся в силе, после прекращения действия договора;

- порядок урегулирования существенных вопросов, присущих только договору об аутсорсинге (например, если поставщик услуг находится за рубежом, положение о законодательстве стран сторон заключения договора, во избежание коллизии нормативных правовых актов);

- условия передачи на субдоговор всей или части аутсорсинговой деятельности в случае возникновения необходимости (для обеспечения возможности сохранения аналогичного режима управления рисками в случае изменения поставщика услуг);

- вопросы обеспечения поставщиком услуг конфиденциальности информации, касающейся банка, и защиты от намеренного или случайного ее раскрытия посторонним лицам.

Процедура принятия решений о привлечении поставщиков услуг должна включать в себя критерии, позволяющие осуществлять предварительную оценку возможности и способности поставщика услуг эффективно, надежно и на высоком уровне осуществлять аутсорсинговую деятельность, а также оценивать факторы возникающих рисков, связанных с привлечением определенного поставщика услуг.

При разработке критериев банку следует учитывать, что поставщик услуг должен:

- обладать необходимыми ресурсами и иметь работников соответствующей квалификации для выполнения работ и услуг, передаваемых банком на аутсорсинг;

- понимать цели и задачи банка в данной области деятельности и действовать в соответствии с ними;

- быть финансово состоятельным с тем, чтобы своевременно и в полном объеме выполнять свои обязательства.

(В редакции постановлений Правления Нацбанка КР от 23 декабря 2015 года № 78/22, 17 октября 2018 года № 2018-П-12/43-2)

3.2. Для выявления влияния внешних факторов на уровень операционного риска необходимо провести анализ следующих условий деятельности банка:

- анализ внешней финансовой среды, влияющей на деятельность банка;

- анализ подверженности операционному риску всех направлений деятельности банка, в том числе и освоение новых направлений деятельности;

- анализ отдельных операций банка;

- анализ внутренних политик и процедур, включая порядок составления отчетности и обмен информацией.

3.3. Для обеспечения эффективного выявления операционного риска банк должен вести аналитическую базу данных обо всех событиях, связанных с возникновением операционного риска, включающую сведения о понесенных операционных убытках, их видах, размерах, причинах, времени и обстоятельствах возникновения и выявления и повторного проявления. Примерная форма учета событий, вызывающих возникновение операционных убытков, приводится в Приложении N 1.

3.4. Для выявления и оценки операционного риска банки могут самостоятельно разработать методы оценки операционного риска или использовать методы, применяемые в международной банковской практике, которые должны быть отражены во внутренних документах банка. При этом метод оценки операционного риска должен соответствовать характеру и масштабам деятельности банка.

3.5. В целях своевременного обнаружения и устранения недостатков управления операционным риском банк должен регулярно проводить мониторинг операционного риска. В процессе мониторинга банк может использовать систему показателей, сигнализирующих о вероятности наступления событий, в результате которых могут возникнуть операционные убытки (например, быстрый рост объема проводимых операций, количество несостоявшихся и незавершенных операций, текучесть кадров, количество и частота допускаемых ошибок, частота и продолжительность сбоев информационных и других систем банка и т.д.).

IV. Контроль за эффективностью управления операционным риском

4.1. Правление банка должно установить соответствие процессов определения, оценки, контроля и мониторинга операционных рисков потребностям банка, оценивать их последовательное использование в течение определенного времени.

4.2. Совет директоров банка должен систематически проводить оценку эффективности управления операционным риском.

4.3. На основе анализа внешних и внутренних факторов, влияющих на деятельность банка, необходимо периодически, но не менее одного раза в два года, пересматривать внутренние процессы и процедуры с целью выявления операционных рисков. Особое внимание необходимо уделить качеству средств контроля за документацией и практике осуществления операций.

(В редакции постановления Правления Нацбанка КР от 23 декабря 2015 года № 78/22)

4.4. Во внутренних документах банка необходимо установить порядок и периодичность рассмотрения фактов операционных убытков, выявления причин их возникновения, и порядок применения мер по их устранению.

4.5. Контроль за соблюдением политик и процедур по операционному риску осуществляется в рамках системы внутреннего контроля. Контроль за операционным риском предполагает, как минимум, контроль:

- за соблюдением установленных лимитов при осуществлении операций и предоставлении услуг;

- за соблюдением принципа разграничения полномочий, порядка утверждения и подотчетности по осуществляемым операциям и предоставляемым услугам;

- за соблюдением установленного порядка доступа к информации и материальным активам банка;

- за обучением и повышением квалификации персонала банка.

4.6. Совет директоров банка должен рассмотреть возможность страхования убытков по конкретным категориям операционных рисков в соответствии с законодательством.

4.7. Кроме того, должна производиться оценка достаточности имеющегося страхового возмещения и способности банка к самострахованию от потерь, связанных с событиями, несущими в себе операционный риск.

V. Раскрытие информации по управлению операционным риском

5.1. Банк должен в достаточной степени раскрывать информацию по обеспечению мер, снижающих операционный риск для вкладчиков и других клиентов, кредиторов, акционеров (участников) банка, внешних аудиторов, других организаций, учреждений и населения в составе годового отчета.

Примечание:

(*) Заключение договора на выполнение работ с внешними организациями.

Примерная форма учета событий, способствующих возникновению операционного риска

(1) Укажите, соблюдались ли существующие политики и процедуры, указывает ли событие, при котором был понесен убыток на необходимость более полного выполнения требований существующих политик и процедур, внесения изменений, или необходимость разработки новых политик или процедур.