Wymogi jakościowe dotyczące rozwiązań w zakresie metody AMA

Transkrypt

1 Wymogi jakościowe dotyczące rozwiązań w zakresie metody AMA Mateusz Górnisiewicz Departament Inspekcji Bankowych i Instytucji Płatniczych Urząd Komisji Nadzoru Finansowego 14 czerwca 2012 r.

2 Uwagi wstępne Niniejsza prezentacja porusza wybrane aspekty tematyki związanej z zaawansowaną metodą pomiaru ryzyka operacyjnego (AMA) i nie wyczerpuje wszystkich tematów związanych z omawianym zagadnieniem. Prezentowane rozwiązania stanowią zbiór dobrych praktyk rynkowych w analizowanych tematach i wyznaczają pożądany z punktu widzenia stopnia zgodności z wymogami regulacyjnymi kierunek rozwoju omawianych elementów systemu zarządzania i pomiaru ryzyka operacyjnego. 2

3 Agenda System zarządzania ryzykiem operacyjnym Narzędzia zarządzania ryzykiem operacyjnym Systemy informatyczne wykorzystywane w ramach metody AMA Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Wykorzystanie metody AMA w zarządzaniu bankiem (ang. use-test ) Redukcja ryzyka operacyjnego Zakres stosowania metody AMA 3

4 Elastyczność rozwiązań Wprowadzenie Metody pomiaru Ryzyko operacyjne możliwość wystąpienia straty wynikającej z niedostosowania lub zawodności procesów wewnętrznych, ludzi i systemów lub ze zewnętrznych, obejmujące również ryzyko prawne. Zaawansowana metoda pomiaru Metoda podstawowego wskaźnika Metoda standardowa Wrażliwość na ryzyko 4

6 System zarządzania ryzykiem operacyjnym System zarządzania ryzykiem operacyjnym całościowy program wytyczania i osiągania celów instytucji w zakresie ryzyka operacyjnego Organizacja Procesy, narzędzia i techniki Dokumentacja 6

7 System zarządzania ryzykiem operacyjnym Rola zarządu i rady nadzorczej Organizacja Procesy, narzędzia i techniki Dokumentacja Zarząd banku odpowiada za: Opracowanie i wdrożenie pisemnej strategii zarządzania ryzykiem operacyjnym Opracowanie systemu zarządzania ryzykiem operacyjnym, spójnego ze strategią zarządzania ryzykiem operacyjnym Właściwe funkcjonowanie systemu w organizacji Utrzymanie poziomu ryzyka operacyjnego w ramach ustalonej tolerancji/apetytu na to ryzyko Rada nadzorcza banku: Akceptuje strategię zarządzania ryzykiem operacyjnym oraz w razie konieczności zleca poddanie jej rewizji Musi być świadoma profilu ryzyka operacyjnego banku 7

8 System zarządzania ryzykiem operacyjnym Rola jednostki zarządzania ryzykiem operacyjnym Organizacja Procesy, narzędzia i techniki Dokumentacja Jednostka zarządzania ryzykiem operacyjnym odpowiada za: Zapewnienie wsparcia pozostałym jednostkom organizacyjnym w zakresie zarządzania ryzykiem operacyjnym Bieżący nadzór nad poprawnością systemu zarządzania ryzykiem operacyjnym Rozwój systemu zarządzania ryzykiem operacyjnym Przekazywanie władzom banku raportów w zakresie ryzyka operacyjnego Jednostka zarządzania ryzykiem operacyjnym powinna: Dysponować zasobami wystarczającymi do efektywnej realizacji powierzonych zadań Ściśle współpracować z: Osobami odpowiedzialnymi za zarządzanie innymi rodzajami ryzyka Przedstawicielami jednostek odpowiedzialnych za bezpieczeństwo i audyt wewnętrzny Właścicielami procesów Osobami zajmującymi się zlecaniem czynności na zewnątrz 8

9 System zarządzania ryzykiem operacyjnym Rola audytu wewnętrznego Organizacja Procesy, narzędzia i techniki Dokumentacja Audyt wewnętrzny odpowiada za: Dokonywanie regularnych przeglądów systemu zarządzania ryzykiem operacyjnym, w tym weryfikację jego efektywności i adekwatności do profilu ryzyka operacyjnego banku Weryfikację adekwatności i skuteczności mechanizmów kontrolnych w zakresie ryzyka operacyjnego Weryfikację poprawności procesu walidacji wewnętrznej w zakresie metody AMA Dostarczanie jednostce zarządzania ryzykiem operacyjnym informacji dotyczących obszarów banku szczególnie zagrożonych ryzykiem operacyjnym, umożliwiających właściwą priorytetyzację działań tej jednostki Audyt wewnętrzny powinien być niezależny od rozwoju, wdrażania i funkcjonowania systemu zarządzania ryzykiem operacyjnym 9

10 System zarządzania ryzykiem operacyjnym Pozostałe role i odpowiedzialności Organizacja Procesy, narzędzia i techniki Dokumentacja Jednostka walidacyjna odpowiada za weryfikację adekwatności i poprawności funkcjonowania metody AMA w banku, zarówno pod kątem aspektów ilościowych, jak i jakościowych Wszystkie jednostki organizacyjne banku odpowiadają za Identyfikację ryzyka operacyjnego w ramach prowadzonej działalności Przekazywanie odpowiednich informacji jednostce zarządzania ryzykiem operacyjnym Wykorzystywanie wprowadzonych mechanizmów kontrolnych w zakresie ryzyka operacyjnego 10

11 System zarządzania ryzykiem operacyjnym Procesy, narzędzia i techniki Organizacja Procesy, narzędzia i techniki Dokumentacja W ramach systemu zarządzania ryzykiem operacyjnym należy zapewnić poprawne funkcjonowanie procesów: Identyfikacji ryzyka Pomiaru ryzyka Kontroli i przeciwdziałania ryzyku Monitorowania i raportowania ryzyka Każdy z powyższych procesów powinien być wspierany przez narzędzia i techniki odpowiednie dla charakterystyki działalności banku i jego profilu ryzyka 11

12 System zarządzania ryzykiem operacyjnym Dokumentacja Organizacja Procesy, narzędzia i techniki Dokumentacja System zarządzania ryzykiem operacyjnym banku powinien być dobrze udokumentowany Dokumentacja powinna w szczególności uwzględniać: Strategię zarządzania ryzykiem operacyjnym Polityki, procedury i inne regulacje wewnętrzne w zakresie zarządzania ryzykiem operacyjnym związanym z: Zasobami ludzkimi Procesami Systemami Zdarzeniami zewnętrznymi Bank powinien posiadać sposoby zapewnienia zgodności funkcjonowania tego systemu z dokumentacją Dokumentacja powinna być przejrzysta i dostępna dla właściwych jednostek 12

14 Narzędzia zarządzania ryzykiem operacyjnym Wewnętrzne bazy Zewnętrzne bazy Analizy scenariuszowe Czynniki otoczenia gospodarczego i kontroli wewnętrznej System informacji zarządczej 14

15 Narzędzia zarządzania ryzykiem operacyjnym Wewnętrzne bazy Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Bank powinien rejestrować informacje dotyczące Proces rejestracji powinien: Być zaprojektowany w taki sposób, aby zapewnić możliwie wysoką rzetelność wprowadzanych informacji, a jednocześnie odpowiednią szybkość rejestracji Uwzględniać zasady bieżącej i okresowej aktualizacji informacji o zdarzeniach Bank powinien określić progi minimalnych strat do celów rejestracji, które: Powinny zapewniać, że istotne zdarzenia nie są pomijane Mogą być inne (niższe), niż progi przyjęte dla modelowania Mogą być różne dla poszczególnych rodzajów 15

16 Narzędzia zarządzania ryzykiem operacyjnym Wewnętrzne bazy Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Zakres gromadzonych informacji o zdarzeniach powinien obejmować co najmniej: Skutki finansowe zdarzenia (potencjalne i rzeczywiste) Odzyskane kwoty (w tym z tytułu mechanizmów transferu ryzyka) Rodzaj zdarzenia i linię biznesową Datę wystąpienia zdarzenia, datę identyfikacji zdarzenia, daty skutków finansowych,... Opis zdarzenia Czynniki ryzyka / przyczyny zajścia zdarzenia Skuteczność mechanizmów kontrolnych Powiązania z innymi rodzajami ryzyka 16

17 Narzędzia zarządzania ryzykiem operacyjnym Wewnętrzne bazy Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Do możliwych skutków należą m.in.: Straty odzwierciedlone w rachunku zysków i strat oraz odpisy Zewnętrzne koszty poniesione w związku ze zdarzeniem Rezerwy utworzone w związku ze zdarzeniem Straty oczekujące (ang. pending losses ) Straty czasowe (ang. timing losses ) Zdarzenia typu near-miss Zyski z tytułu zdarzenia operacyjnego Koszty utraconych korzyści 17

18 Narzędzia zarządzania ryzykiem operacyjnym Wewnętrzne bazy Wewnętrzne bazy Zewnętrzne bazy Rodzaje : Linie biznesowe: Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Oszustwa wewnętrzne Oszustwa zewnętrzne Zasady dotyczące zatrudnienia oraz bezpieczeństwo w miejscu pracy Klienci, produkty i praktyki operacyjne Szkody związane z aktywami rzeczowymi Zakłócenia działalności banku i awarie systemów Wykonanie transakcji, dostawa i zarządzanie procesami operacyjnymi Bankowość inwestycyjna Działalność dealerska Detaliczna działalność brokerska Bankowość komercyjna Bankowość detaliczna Płatności i rozliczenia Usługi pośrednictwa (agencyjne) Zarządzanie aktywami Działalność ogólnobankowa 18

19 Narzędzia zarządzania ryzykiem operacyjnym Wewnętrzne bazy Wewnętrzne bazy Analizy scenariuszowe Zewnętrzne bazy Czynniki otoczenia gospodarczego i kontroli wewnętrznej Zdarzenia z tytułu ryzyka operacyjnego mogą być powiązane w szczególności z następującymi rodzajami ryzyka: Ryzykiem rynkowym Ryzykiem kredytowym Ryzykiem strategicznym Ryzykiem reputacji System informacji zarządczej 19

20 Narzędzia zarządzania ryzykiem operacyjnym Zewnętrzne bazy Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Zewnętrzne dane dotyczące powinny być wykorzystywane w szczególności w zakresie rzadkich o wysokiej dotkliwości Stosując zewnętrzne dane o zdarzeniach, bank powinien: Określić, z jakich baz korzysta: Bazy lokalne / bazy globalne Bazy konsorcjalne / bazy komercyjne Określić sytuacje, w których wykorzystywane są poszczególne bazy Uwzględniać niepewność związaną z jakością danych w tych bazach Uwzględnić możliwość skalowania danych Dokonywać niezależnych przeglądów zasad stosowania danych zewnętrznych 20

21 Narzędzia zarządzania ryzykiem operacyjnym Analizy scenariuszowe Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Bank powinien przeprowadzać analizy scenariuszowe w zakresie ryzyka operacyjnego, z uwzględnieniem konieczności: Jasnego i precyzyjnego określenia procesu przeprowadzania analiz scenariuszowych Uwzględnienia w scenariuszach m.in. zewnętrznych danych o zdarzeniach Zapewnienia odpowiednich kwalifikacji osób uczestniczących w procesie Zapewnienia odpowiedniego dokumentowania procesu Dokonywania niezależnej weryfikacji wyników procesu z faktycznie poniesionymi stratami Uwzględnienia własnej specyfiki i profilu ryzyka 21

22 Narzędzia zarządzania ryzykiem operacyjnym Analizy scenariuszowe Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Proces przeprowadzania analiz scenariuszowych powinien uwzględniać możliwe obciążenia (ang. bias ), w szczególności związane z: Niedoszacowaniami związanymi z małą liczbą lub dotkliwością występujących (ang. overconfidence bias ) Motywacją uczestników procesu (ang. motivational bias ) Przeszacowaniami związanymi z doświadczeniami uczestników procesu (ang. availability bias ) Zakresem informacji przekazanych uczestnikom procesu (ang. anchoring bias ) 22

23 Narzędzia zarządzania ryzykiem operacyjnym Czynniki otoczenia gospodarczego i kontroli Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej Elementem systemu zarządzania ryzykiem operacyjnym banku powinny być czynniki otoczenia gospodarczego i kontroli, pozwalające na obserwację profilu ryzyka operacyjnego banku (w tym również przyszłych zagrożeń) Do typowych czynników należą KRI / KPI Wyniki audytów wewnętrznych Wyniki procesu samooceny ryzyka operacyjnego Proces modyfikacji wykorzystywanych czynników oraz aktualizacji ich wartości powinien być sformalizowany Czynniki powinny być regularnie monitorowane, z zapewnieniem istnienia zasad postępowania w przypadku przekroczenia ustalonych progów 23

24 Narzędzia zarządzania ryzykiem operacyjnym System informacji zarządczej Wewnętrzne bazy Zewnętrzne bazy Czynniki otoczenia Analizy gospodarczego scenariuszowe i kontroli wewnętrznej System informacji zarządczej W banku powinien funkcjonować system informacji zarządczej w zakresie ryzyka operacyjnego, uwzględniający co najmniej: Informacje na temat poziomu ekspozycji na ryzyko operacyjne oraz wielkości poniesionych strat Przekroczenia założonych tolerancji/apetytu na ryzyko operacyjne danego rodzaju Szczegółową charakterystykę ostatnich znaczących wewnętrznych z wewnętrznej bazy i strat z nimi związanych, wraz z opisem skuteczności mechanizmów kontrolnych i podjętych/planowanych do podjęcia działań korygujących Informacje dotyczące istotnych zewnętrznych oraz prawdopodobieństwa zajścia takich w banku i ich potencjalnego wpływu m.in. na wynik finansowy i wymóg kapitałowy z tytułu ryzyka operacyjnego Informacje pochodzące z innych wykorzystywanych w banku narzędzi zarządzania ryzykiem operacyjnym Raporty powinny być przekazywane na odpowiednie poziomy zarządzania oraz do linii biznesowych banku, których te dane dotyczą lub mogą wspomagać procesy w nich zachodzące 24

26 Systemy informatyczne wykorzystywane w ramach metody AMA Systemy informatyczne wykorzystywane w ramach metody AMA powinny: Automatyzować wykorzystywane narzędzia zarządzania ryzykiem operacyjnym, w tym wspierać: Rejestrację Komunikację z zewnętrznymi bazami Przeprowadzanie analiz scenariuszowych Wykorzystanie czynników otoczenia gospodarczego i kontroli wewnętrznej Tworzenie i dystrybucję informacji zarządczej w zakresie ryzyka operacyjnego Umożliwiać szybkie pozyskiwanie informacji, z zapewnieniem śledzenia zmian dokonanych w danych Automatyzować proces kalkulacji wymogu kapitałowego z tytułu ryzyka operacyjnego 26

27 Systemy informatyczne wykorzystywane w ramach metody AMA W ramach walidacji nadzorczej, systemy informatyczne wykorzystywane w ramach metody AMA analizowane będą pod kątem poprawności: Administracji systemami Zarządzania zmianami Zarządzania infrastrukturą Zarządzania użytkownikami i dostępem Dokumentacji systemów Zasad w zakresie wykorzystywania oprogramowania użytkownika końcowego (ang. End-User Computing ) 27

29 Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Jakość danych odpowiedniość danych do celu ich użycia Jakość danych wykorzystywanych na potrzeby metody AMA jest kluczowa z perspektywy zarządzania ryzykiem operacyjnym oraz dostarczania przez model AMA poprawnej i wiarygodnej informacji Podstawowe kryteria jakości danych: Dokładność kryterium odnoszące się do wiarygodności danych. Na to kryterium składają się m.in. zgodność danych ze stanem faktycznym, ich aktualność i spójność Kompletność kryterium odnoszące się do ograniczenia wystąpień braków w danych Odpowiedniość kryterium odnoszące się do braku w danych obciążeń Monitoring Ocena Usprawnienie Czyszczenie 29

30 Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Ocena Monitoring Ocena Usprawnienie Czyszczenie Identyfikacja błędów w danych i pomiar ich wpływu na zarządzanie ryzykiem oraz jego pomiar Ocena jakości danych powinna opierać się na dwóch elementach: Okresowej weryfikacji jakości danych przeprowadzanej przez audyt wewnętrzny Okresowej walidacji jakości danych, z uwzględnieniem m.in.: Porównania z innymi źródłami danych, takimi jak rejestr skarg i reklamacji, rejestr incydentów bezpieczeństwa, wyniki audytów, wyniki rekoncyliacji z księgami finansowymi Weryfikacji oznaczonych jako powiązane z ryzykiem kredytowym 30

31 Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Czyszczenie Ocena Hurtowa zamiana niepoprawnych danych w dane wiarygodne, które można bezpiecznie wykorzystać do zarządzania ryzykiem, poprzez: Ręczne korekty Automatyczne korekty oparte o reguły Monitoring Czyszczenie Usprawnienie 31

32 Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Usprawnienie Monitoring Ocena Usprawnienie Czyszczenie Wdrażanie i usprawnianie mechanizmów kontrolnych w oparciu o doświadczenia poprzednich kroków, w tym: Modyfikacja procedur zbierania danych Usprawnianie automatycznej weryfikacja danych wprowadzanych do systemów z użyciem reguł walidacyjnych Modyfikacja innych procedur związanych z przetwarzaniem danych (np. modyfikacja procedur rekoncyliacji danych, wprowadzenie przeglądu kompletności danych wsadowych w ramach procesu kalkulacji wymogu kapitałowego) Modyfikacja zakresów i zasad przeprowadzania okresowych audytów i walidacji oraz monitoringu jakości danych 32

33 Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Monitoring Bieżące monitorowanie jakości danych, w tym: Ocena Identyfikacja przekroczeń wartości progowych ustalonych dla poszczególnych atrybutów jakości danych Monitoring Usprawnienie Czyszczenie Monitorowanie opóźnień rejestracji w stosunku do czasu ich zajścia Należy również wprowadzić zasady raportowania w zakresie jakości danych, w ramach których odpowiednie szczeble hierarchii organizacyjnej informowane powinny być o: Wynikach oceny jakości danych Wynikach monitoringu jakości danych 33

35 Wykorzystanie metody AMA w zarządzaniu bankiem (ang. use-test ) Metoda AMA musi stanowić integralną część jego procedur zarządzania W tym celu, bank powinien zapewnić, że: Cel wdrożenia i stosowanie metody AMA nie ogranicza się do celów regulacyjnych Metoda AMA jest rozwijana w miarę jak bank nabiera doświadczeń w zakresie technik i rozwiązań stosowanych w obszarze ryzyka operacyjnego Metoda AMA wspiera i usprawnia zarządzanie ryzykiem operacyjnym w banku Stosowanie metody AMA zapewnia bankowi korzyści z perspektywy zarządzania i kontroli ryzyka operacyjnego 35

37 Redukcja ryzyka operacyjnego Kalkulując wymóg kapitałowy z tytułu ryzyka operacyjnego, bank korzystający z technik transferu tego ryzyka może obniżyć ten wymóg o co najwyżej 20%, z zapewnieniem spełnienia wymagań dotyczących: Dostawcy ochrony ubezpieczeniowej Okresu ważności polisy i okresu jej wypowiedzenia Wyłączeń i ograniczeń wynikających z polisy Zasad uwzględnienia ubezpieczenia w obliczeniach wymogu kapitałowego Korekt kwot uznanych ubezpieczeń Dodatkowo, w przypadku korzystania z tzw. innych mechanizmów transferu ryzyka, bank: Powinien uzasadnić, że osiąga widoczny efekt redukcji ryzyka Nie powinien wykorzystywać tych mechanizmów w celach handlowych Powinien dysponować doświadczeniem w zakresie korzystania z tych mechanizmów 37

39 Zakres stosowania metody AMA Bank może łączyć stosowanie metody AMA z metodą BIA lub TSA, przy czym w takim przypadku: Bank powinien przedstawić argumentację stojącą za tą decyzją Bank powinien wykazać, że uwzględnia wszystkie czynniki ryzyka operacyjnego oraz różne rodzaje działalności, lokalizacji geograficznych, struktur prawnych lub organizacyjnych W zakresie metody TSA spełnione są odpowiednie kryteria kwalifikujące Metoda AMA obejmuje znaczącą część ryzyka operacyjnego banku, a bank zobowiązuje się stopniowo wdrożyć zaawansowaną metodę pomiaru względem istotnej części swoich operacji 39

40 Podsumowanie System zarządzania ryzykiem operacyjnym Narzędzia zarządzania ryzykiem operacyjnym Systemy informatyczne wykorzystywane w ramach metody AMA Zarządzanie jakością danych wykorzystywanych w ramach metody AMA Wykorzystanie metody AMA w zarządzaniu bankiem (ang. use-test ) Redukcja ryzyka operacyjnego Zakres stosowania metody AMA 40