Reforma regulacyjna sektora bankowego

Transkrypt

1 Reforma regulacyjna sektora bankowego Efektywny biznesowo system kontroli wewnętrznej w świetle wymagań Rekomendacji H KNF 11 grudnia 2017

2 Efektywny biznesowo system kontroli wewnętrznej a Rekomendacja H Model Trzech Linii Obrony w praktyce Matryca funkcji kontroli wymagania a praktyka rynkowa Kluczowe kwestie przy konstrukcji matrycy Jak zaangażować jednostki pierwszej linii obrony 1

3 Model trzech linii obrony Pierwsza linia obrony Druga linia obrony Trzecia linia obrony Jednostki biznesowe odpowiadają za skuteczność mechanizmów kontroli ryzyka w procesach, w tym właściciele ryzyk odpowiadają za ocenę ryzyka np. na bazie samooceny kontroli Funkcje kontroli ryzyka odpowiadają za ocenę ryzyka niezależnie od właścicieli ryzyk i ewentualnie, walidację samooceny właścicieli ryzyk na potrzeby zarządcze Audyt wewnętrzny odpowiada za niezależną weryfikację działania 1. i 2. linii obrony linia obrony linia obrony linia obrony linia obrony Bieżący Monitoring Kontroli Wbudowany w codzienne czynności Wykonywany na bieżąco Uwzględniony jako działania w ramach kluczowych procesów Samoocena Kontroli Okresowa samoocena poszczególnych elementów systemu zarządzania ryzykiem przez właścicieli kluczowych procesów Przeprowadzenie testów ex-post Częstotliwość zależna od znaczenia ryzyka Uwzględnia testowanie skuteczności Okresowa ocena I Okresowa ocena dokonywana przez II linię, przeprowadzana ex-post Monitoring działań mitygujących Doradca Okresowa ocena II Okresowa ocena przez audyt wewnętrzny Przeprowadzona ex-post Częstotliwość zależna od znaczenia ryzyka Ocena adekwatności i testowanie skuteczności 2

4 Główne przyczyny zmian w modelu trzech linii obrony Uczynienie pierwszej linii obrony odpowiedzialną za ryzyko finansowe i pozafinansowe typu end-to-end 43% 4 73% Utworzenie niezależnej funkcji drugiej linii obrony 22% 43% 44% Wprowadzenie odpowiedzialności pierwszej linii obrony za ryzyko pozafinansowe Zwiększenie roli audytu wewnętrznego 18% 18% 29% 2 43% 56% Wprowadzenie odpowiedzialności pierwszej linii obrony za ryzyko finansowe 29% 44% Uczynienie pierwszej linii obrony odpowiedzialnej za niektóre ryzyka finansowe (na przykład ryzyko conduct lub ryzyko cyber) Inne 12% 12% Ogólnie Afryka Bliski Wschód Azja Pacyfik Brak zmian w funkcjonowaniu modelu trzech linii obrony 2 Europa Ameryka Łacińska Ameryka Północna 3

5 Główne wyzwania w transformacji modelu 3 linii obrony Obawy dotyczące dublowania pierwszej i drugiej linii obrony w obecnych lub przyszłych działaniach Praktyki historyczne są trudne do zmiany Transformacja kontroli w ramach przejścia do pierwszej linii obrony (kontrola nie pasująca do celów pierwszej linii) Brak środków w drugiej linii obrony Definicje jednostek organizacyjnych i/lub zestawy ich umiejętności nie pasują do sugerowanych działań w ramach nowego docelowego modelu operacyjnego Brak jasnego zrozumienia oczekiwań regulacyjnych i najlepszych praktyk dla modelu trzeciej linii obrony Brak środków w pierwszej linii obrony Regionalne, jednostki lub klasy aktywów powodujące komplikacje w wykonywaniu docelowego modelu operacyjnego Niższy priorytet niż inne zmiany w organizacji Obawa o niezależność kontroli Obawa o osłabienie lub zakończenie kontroli w wyniku wprowadzonej zmiany Niewystarczające zasoby w trzeciej linii obrony Brak zmian w funkcjowaniu modelu trzech linii obrony 6% 8% 6% 5% 6% 15% 18% 9% 18% 9% 35% 43% 29% 41% 38% 24% 38% 30% 24% 32% 30% 24% 32% 26% 46% 51% 49% 4 35% 35% 22% Ogólnie G-SIB Non-G-SIB 4

6 Co przyczynia się do wzmocnienia odpowiedzialności pierwszej linii i jak zaangażować jednostki pierwszej linii? Kultura lub sygnały z góry o odpowiedzialności za ryzyko Umiejętności i predyspozycje do zarządzania ryzykiem w pierwszej linii obrony Jasno zdefiniowane procesy i działania Odpowiednia zachęta w miejscu pracy Apetyt na ryzyko alokowany do linii biznesowych Przeprojektowanie kontroli wspierała realizację celów pierwszej linii Przenoszenie pracowników z drugiej do pierwszej linii Inne 19% 25% 20% 15% 10% 10% 79% 73% 75% 89% 76% 7 73% 80% 71% 76% 85% 78% 76% 54% 60% 55% 48% 45% 53% 55% 78% 45% 100% 100% Ogólnie Afryka Bliski Wschód Azja Pacyfik Europa Ameryka Łacińska Ameryka Północna 10% 5

7 Jakich talentów i kompetencji potrzebujemy w Banku aby model działał skutecznie? A kogo najbardziej brakuje? Zaawansowane umiejętności analizy danych 59% 5 65% Wiedza z zakresu modeli ryzyka 44% 49% 65% Zdolności analityczne 3 39% 4 Komunikacja Wiedza odnośnie conduct risk 28% 26% 28% 24% 30% 35% Podejmowanie decyzji Umiejętność testowania 12% 20% 22% 20% 24% 19% Inne 6% Ogólnie G-SIB Brak wyżywań w zakresie zarządzania kompetencjami 6% 15% Non-G-SIB 6

8 Gdzie w banku jest umiejscowione centralne testowanie Zgodność 44% 50% 66% 64% 60% 86% Audyt wewnętrzny 52% 50% 52% 64% Ryzyko operacyjne 29% 51% 50% 56% 64% Ryzyko technologiczne 38% 36% 40% 29% 83% Wszystkie testy pierwszej linii obrony Inne 5% 12% 10% 2 2 Ogólnie Afryka Bliski Wschód Azja Pacyfik Europa Ameryka Łacińska Ameryka Północna 7

9 Automatyzacja testów i wykorzystanie różnych zasobów Automatyczne testowanie - status Rodzaj zasobów wykorzystywanych do testowania Obecna ocena, gdzie można wykorzystać takie procesy 61% 50% 64% 58% 56% Wysoko kosztowa analiza biznesowa 22% 52% 50% 4 5 Obecne pilotowanie scentralizowanych testów w danym obszarze (obszarach) 22% 21% 32% Nisko kosztowe zasoby lokalne 48% 53% 39% 52% Brak planów, aby to zrobić 19% Nisko kosztowe off-shore 19% 20% 22% 24% 10% Zaimplementowane już w wielu obszarach testowych Inne Całkowicie zaimplementowane Ogólnie Europa Afryka Bliski Wschód Ameryka Łacińska Azja Pacyfik Ameryka Północna Żadne z powyższych 5% 8

10 Model trzech linii obrony w praktyce Podsumowanie trendów Wzmocnić odpowiedzialność pierwszej linii Najlepsze są mechanizmy kontrolne ex-ante, najlepiej automatyczne Narzędzia IT, data analytics, roboty, standaryzacja w pierwszej i drugiej linii Compliance rosnąca niezależność, zapewnienie w zakresie ryzyka braku zgodności Coraz silniejszy nacisk na wymagania regulacyjne i ich bezwarunkowe przestrzeganie Out-sourcing, off-shoring, CoE dla niektórych czynności Walka o talenty, ale nie nadmierne rozbudowywanie zasobów Ściślejsza współpraca pomiędzy drugą linią a trzecią 9

11 Kluczowe kwestie przy konstrukcji matrycy kontroli 1 Opracowanie polityki i metodyki oceny mechanizmów kontrolnych Kryteria wyodrębniania procesów istotnych Identyfikacja celów szczegółowych Identyfikacja kluczowych mechanizmów kontrolnych Dostosowanie sposobów testowania Analiza wyników testów Raportowanie o efektywności mechanizmów kontrolnych 2 Wdrożenie polityki i metodyki przeprowadzenie testów mechanizmów kontrolnych Identyfikacja procesów istotnych Identyfikacja celów szczegółowych systemu kontroli w procesach Identyfikacja i ocena mechanizmów kontrolnych Testowanie kluczowych mechanizmów kontrolnych (potencjalnie również w sposób zautomatyzowany) 10

12 Kluczowe kwestie przy konstrukcji matrycy kontroli, gdy w banku funkcjonuje już analogiczny system 1 Aktualizacja polityki i metodyki oceny ryzyka i mechanizmów kontrolnych 2 Wdrożenie polityki i metodyki przeprowadzenie testów mechanizmów kontrolnych budowa nowej matrycy 1 Governance nowego systemu kto, co, kiedy 7 Co z mechanizmami kontrolnymi niekluczowymi, w tym w nieistotnych procesach 2 Czy odpowiednio identyfikujemy kluczowe mechanizmy kontrolne i mechanizmy kontroli ryzyka 8 Mechanizmy kontrolne IT 3 Czy odpowiednio dokumentujemy kluczowe mechanizmy kontrolne 9 Kontrole ex-ante vs kontrole ex-post i testowanie (ile testowania) 4 Czy odpowiednio oceniamy kluczowe mechanizmy kontrolne adekwatność i efektywność 10 Samoocena vs niezależny monitoring 5 Jak dokumentujemy i wykorzystujemy wyniki testów 11 Kto jest pierwszą i drugą linią 6 Jak raportujemy ocenę kluczowych mechanizmów kontrolnych 12 Zasoby i narzędzia 11

13 Wdrożenie rekomendacji H kluczowe kwestie System governance oparty o III linie obrony, relacje z organami Banku Bank a procesy outsourcowane Procesy banku a procesy istotne Mechanizmy kontrolne a kluczowe mechanizmy kontrole Poziom zaufania do I linii obrony, wpływ na zasoby i metody pracy II linii obrony i testowanie pionowe Ocena kluczowych mechanizmów kontroli co dalej Okresowe raportowanie do Zarządu i Rady zakresu oceny oraz realizacji planów naprawczych Narzędzia wspierające 12

14 Kontakt dr Agnieszka Bryl Associate Partner agnieszka.bryl@pl.ey.com dr Monika Jezierska Senior Menedżer monika.jezierska@pl.ey.com 13

15 Dziękujemy za uwagę 14