Инициативы Центрального Банка Российской Федерации (ЦБ РФ) по регулированию операционных рисков и предстоящее вступление в силу нового Базельского соглашения по капиталу подталкивают российские банки к проведению оценки своих операционных рисков. При этом возникает проблема выбора методики оценки. В статье рассматриваются перспективы применения так называемых усовершенствованных подходов к оценке, представленных Базельским комитетом по банковскому надзору, и предлагается один из вариантов их реализации.
Как известно, к концу 2006 г. должно вступить в силу новое соглашение по капиталу Базельского комитета по банковскому надзору, так называемый «Базель II» [1,2]. Ожидается, что ЦБ РФ также будет вводить стандарты Базеля, начиная с 2008 г., но уже сейчас идет обсуждение нового документа в банковском сообществе. Помимо прочего, новое соглашение содержит требования к капиталу для покрытия операционных рисков. Многие российские банки уже начали оценивать свои операционные риски и считать норматив минимально достаточного уровня капитала для покрытия данного вида риска. Один из ключевых вопросов, по которому нужно определиться и банкам, и регулятору, заключается в выборе методики оценки операционных рисков.
Базельский комитет по банковскому надзору предлагает три подхода к расчету норматива капитала под операционный риск. Первые два — подход на основе базового индикатора и стандартизированный подход — в общем, прозрачны и просты в применении. Они основаны на выборе некоего базового индикатора подверженности риску (exposure indicators) и расчете риска путем нормирования выбранного индикатора. В качестве такого индикатора подверженности риску Базель рекомендует валовую прибыль (gross income). Можно ожидать, что именно эти подходы будут взяты за основу ЦБ РФ при определении требований к величине капитала на покрытие потерь по операционным рискам.
Трудностей с использованием первых двух подходов Базеля у российских банков не должно возникнуть. Использование данных финансовой отчетности банков, составленной в соответствии с международными стандартами, облегчает задачу и позволяет однозначно трактовать рекомендации Базеля.
Вместе с тем эти подходы имеют много допущения и оговорок. По существу они дают лишь некий ориентир, но которому можно определить степень подверженности банка риску, но не позволяют оценить, сколько реально может потерять банк в результате наступления операционных рисков. Норматив капитала под операционный риск, рассчитанный таким образом, базируется лишь на опенке масштабов деятельности банка и не учитывает эффективности контроля и управления рисками в банке. Поэтому использование первых двух подходов Базеля будет оправданным только в регулятивных целях. С точки зрения эффективности управления операционными рисками более приоритетными представляются так называемые усовершенствованные подходы к оценке (Advanced Measurement Approach, AMA). Эти подходы основаны на применении банками собственных внутренних методик и моделей оценки операционного риска.
Подход AMA
Усовершенствованные подходы к оценке учитывают специфику деятельности конкретного банка и характер его операционных рисков. Помимо этого они учитывают меры по контролю и минимизации рисков, поэтому банк может уменьшить требования к нормативу капитала под операционный риск благодаря эффективной работе системы риск-менеджмента и внутреннего контроля. Кроме того, построение эффективной системы операционного риск-менеджмента и внедрение передовых методик оценки рисков будет служить улучшению деловой репутации банка, укрепит доверие со стороны клиентов и партнеров, особенно на международном уровне.
Использование подхода АМА также позволит крупным и эффективным банкам избежать чрезмерных требований к капиталу. Как известно, собственный капитал является самым дорогим источником финансирования, поэтому завышенные требования к этой величине могут стать серьезным препятствием для быстрого и эффективного развития кредитных организаций. С другой стороны, снижение требований к капиталу за счет использования внутренних моделей и эффективного управления рисками позволит кредитным организациям повысить эффективность своих операций и будет способствовать росту бизнеса. При этом устойчивость и надежность финансовых институтов и банковского сектора в целом не ухудшится.
Базельский комитет предъявляет достаточно жесткие требования к банкам, желающим использовать усовершенствованный подход к опенкам для расчета норматива минимально достаточного уровня капитала, необходимого для покрытия операционного риска. Эти требования затрагивают организационную структуру управления рисками, систему сбора и анализа данных по операционным потерям, систему отчетности по операционным рискам, документирование и контроль управления рисками. Например, для того чтобы получить разрешение на использование метода АМА, банк должен удовлетворять следующим качественным критериям:
■ иметь в своей структуре независимое подразделение, отвечающее за разработку и внедрение системы управления операционными рисками;
■ система оценки операционного риска должна быть тесно интегрирована в текущие процессы управления рисками в банке;
■ информация об операционных рисках и убытках должна регулярно доводиться до сведения руководителей подразделений, высшего руководства и совета директоров банка;
■ система управления операционными рисками должна быть хорошо документирована;
■ система управления и оценки операционных рисков должна на регулярной основе подвергаться внутреннему и внешнему аудиту.
Кроме того, для применения собственных моделей, основанных на внутренних данных, банк должен удовлетворять целому ряду количественных критериев — в частности, иметь статистику пооперационным потерям как минимум за три предыдущих года.
Если российские банки приступят к внедрению подхода АМА уже сейчас, они будут иметь, достаточно времени для подготовки к введению новых требований к капиталу и смогут обеспечить соответствие указанным критериям. В то же время, переход к оценке операционного риска на основе собственных моделей банка — процесс трудоемкий и затратный, а пользоваться его преимуществами в полной мере банки смогут лишь по прошествии длительного времени. Поэтому целесообразность выбора данного подхода может быть подвергнута сомнению. Более того, пока не ясна позиция российского регулятора в отношении данного подхода. Если ЦБ РФ не примет усовершенствованные подходы к оценке рисков, у банков останется еще меньше стимулов для развития внутренних моделей и методик.
Тем не менее было бы неверно предполагать, что на эффект от внедрения подходов на основе внутренних моделей банки смогут рассчитывать лишь и долгосрочной перспективе. Можно показать, что банки, влившие курс на внедрение внутренних моделей и методик оценки операционных рисков, получат ощутимые результаты уже на первых лапах работы. Это достигается, прежде всего, путем поэтапного построения системы операционного риск-менеджмента и комбинирования различных методик измерения риска.
Реализация подхода АМА
Согласно предлагаемому подходу оценка операционного риска с точки зрения расчета норматива капитала представляет собой цикличный интегрированный процесс, который включает в себя несколько этапов:
■ идентификацию рисков;
■ измерение рисков и разработку мероприятий по минимизации рисков и их контролю;
■ мониторинг рисков.
Каждый из этих этапов представляет самостоятельную ценность безотносительно к конечной цели оценки норматива капитала под операционный риск.
Идентификация рисков
На первом этапе идентифицируются объекты риска, события, которые могут привести к операционным потерям, а также виды операционных потерь. В качестве объектов риска выступают банковские продукты, активы, процессы и системы, сгруппированные по направлениям деятельности и видам банковских операций в соответствии с классификацией Базеля [2]. По каждому направлению деятельности идентифицируются ключевые бизнес-процессы и дается их формализованное описание (например, в виде диаграмм IDEF0). При этом определяются порядок и схема выполнения операций, документооборот и информационные потоки, материальные, технологические и кадровые ресурсы, порядок регламентирования и разграничения полномочий. Анализ бизнес-процессов позволяет выделить наиболее критичные процессы и ресурсы банка, нарушение работы которых приведет к серьезным последствиям.
На основе полученного формализованного представления о бизнес-процессах и упорядоченного набора объектов риска идентифицируются возможные операционные события (т. е. события, приводящие к операционным потерям) и определяется характер потенциальных потерь. Такой анализ осуществляется путем самооценки рисков, тестирования существующих процедур контроля, опросов и скоринговых карт (scoring cards), а также выявления недостатков и «узких мест» бизнес-процессов.
На этапе выявления рисков большая роль отводится анализу бизнес-процессов. Метод анализа бизнес-процессов состоит в формализованном описании процессов и операций банка с целью выявления недостатков и «узких мест», которые могут быть источником возникновения операционных рисков. В качестве наиболее предпочтительных стандартов моделирования бизнес-процессов рассматриваются семейства стандартов функционального моделирования, такие как IDEF и ARIS. Основной принцип функционального моделирования состоит в постепенной декомпозиции сложных процессов и систем, вплоть до отдельных элементарных операций и действий. Преимущество методологии заключается в том, что она проста для восприятия и не требует каких-либо специфических знаний. Это позволяет привлечь к процессу моделирования не только аналитиков, но и непосредственных исполнителей, тех, кто занимается проведением изучаемых операций. Как показывает опыт, такое формализованное описание помогает усилить контроль и повысить эффективность операций.
При анализе бизнес-процессов используется следующая схема:
■ построение текущей модели бизнес-процессов («как есть»);
■ выявление «узких мест» в организации бизнес-процессов, которые могут быть источником операционных рисков, и идентификация операционных рисков на каждом этапе бизнес-процессов;
■ построение нормативной модели бизнес-процессов («как должно быть»);
■ разработка рекомендаций по реорганизации процессов, контролю и снижению выявленных операционных рисков.
Результатом идентификации рисков является полное описание операционных рисков и визуальное представление профиля рисков банка. Систематизированное описание рисков в разрезе направлений деятельности банка и видов операционных потерь создает основу для построения системы сбора данных по операционным событиям и измерения рисков. А визуальное представление профиля риска, например, в виде карт рисков или матрицы рисков, позволяет получить картину рисков по отдельным направлениям банковской деятельности или по банку в целом. Пример карты рисков для одной из видов банковской деятельности представлен на рисунке. Такое представление может использоваться при формировании отчетности, но операционным рискам, а также при планировании первоочередных мер по управлению рисками и их контролю.
Измерение рисков
Следующий этап предполагает непосредственное измерение операционного риска. Основная цель на этом этапе — оценка потенциальных потерь, для покрытия которых банк должен иметь достаточный размер собственного капитала. Различают ожидаемые, непредвиденныеи катастрофическиепотери.
Ожидаемые потери — средний операционный убыток, который банк ожидает понести в течение некоторого периода. Обычно ожидаемые потери выражаются математическим ожиданием (средним) суммарной величины потерь. Как правило, ожидаемые потери относятся к часто происходящим событиям, имеющим НС Очень существенные последствия для банка (мошенничество но кредитным картам, ошибки персонала и т. п.). Такие потери, как правило, списываются на текущие расходы, закладываются в стоимость предоставляемых банковских продуктов либо иод них создаются резервы.
Непредвиденные потери — максимально возможное превышение суммарных операционных убытков над ожидаемыми потерями; другими словами, такая величина, которую суммарные операционные потери не превысят при заданном уровне доверия. Такие потери могут быть результатом редких событий, имеющих серьезные последствия. Для покрытия непредвиденных потерь банк должен обладать достаточным размером капитала.
Катастрофические потери — это потери, величина которых превышает величину непредвиденных потерь; другими словами, те несколько процентов наихудших потерь, которые не учитываются при расчете потерь непредвиденных. Катастрофические потери происходят крайне редко, однако могут иметь разрушительные последствия для банка. Некоторые катастрофические потери могут быть компенсированы за счет страхования.
Требования к капиталу для покрытия операционных рисков, устанавливаемые Базельским комитетом, определяются как сумма ожидаемых и непредвиденных операционных убытков, рассчитываемых с помощью внутренней модели банка. Если же банк может продемонстрировать, что способен учитывать ожидаемые убытки в числе прочих издержек, требования к капиталу будут определяться только размером непредвиденных убытков. Например, банк может добавить некоторую маржу к иене предоставляемых банковских продуктов либо создать специальные резервы под ожидаемые потери. По некоторым видам банковской деятельности оценить ожидаемые потери несложно. Так, кредитные организации, специализирующиеся на розничном банковском обслуживании, могут с высокой степенью надежности оценить среднюю долю потерь от мошенничества с пластиковыми картами в общем объеме этих операций.
Методика Value—at—Risk
Наиболее эффективной мерой непредвиденных потерь является показатель Operational Value—at—Risk (OpVar). Показатель OpVar— максимальная величина, которую суммарные операционные потери не превысят с заданным уровнем доверия в течение рассматриваемого периода.
Непредвиденные потери могут оцениваться как по банку в целом, так и по отдельным направлениям банковской деятельности и вилам операций. Базельский комитет рекомендует оценивать OpVaR на временном горизонте в один год с уровнем доверия 99,9%. Для внутренних управленческих целей банк может устанавливать другой уровень доверия для расчета OpVaR, например 95% или 99%, в соответствии с собственной склонностью к риску. Устанавливая определенный уровень доверия для расчета капитала под операционный риск, банк гарантирует соответствующий уровень надежное™, при котором потенциальные операционные потери будут покрыты собственным капиталом.
Использование методики Value-at-Risk для измерения операционных рисков позволяет интегрировать полученные оценки с оценками других рисков (прежде всего рыночных и кредитных) и рассчитывать совокупный риск банка с учетом вклада операционного риска. Кроме того, полученная мера риска может использоваться при оценке эффективности с учетом риска как по банку в целом, так и по отдельным операциям и видам банковской деятельности. Например, показатель OpVaR может учитываться при расчете таких мер, как EVA и RAROC.
При опенке потенциальных потерь используют так называемый актуарный метод. Согласно актуарному метолу операционные потери рассчитываются при помощи комбинации двух отдельных переменных — частоты потерь и серьезности потерь. Под частотой потерь понимают количество событий, приводящих к потерям в течение фиксированного промежутка времени. Серьезность потерь — это величина потерь в случае их наступления.
Подход LDA
Измерение операционных рисков основано на статистическом анализе распределения потерь (Loss Distribution Approach — LDA). Наиболее очевидной представляется опенка непредвиденных потерь на основе прошлых данных о понесенных потерях. При этом банк может использовать как внутренние данные о собственных потерях, так и внешние данные о потерях других банков.
Внутренние данные являются наиболее репрезентативными с точки зрения прогнозирования потенциальных потерь, т. к. отражают особенности операций и бизнес-процессов данного конкретного банка, специфику его операционных рисков и практику внутреннего контроля.
Проблема в том, что необходимый объем статистики для получения адекватных оценок имеют лишь единицы банков. Напомним, что Базельский комитет рекомендует проводить оценки на основе статистики потерь как минимум за пять лет (начальные требования для использования подхода на основе внутренних моделей — три года). Многие банки пока даже не ведут сбор и анализ данных о собственных потерях.
Использование внешних данных не представляется лучшим выходом из ситуации. Российские банки не готовы пока делиться данными о своих потерях с другими участниками рынка. В то же время данные по зарубежным банкам малоинформативны, и их использование требует необходимой корректировки и адаптации к внутренним условиям. Внешние данные целесообразно использовать лишь в качестве дополнения к внутренним данным в тех областях, тле банк не облачает богатым опытом и статистикой. Например, внешние данные могут оказаться полезными при опенке редких, но серьезных по их последствиям событий. Таким образом, для того чтобы банк мог использовать внутренние данные для оценки своих операционных рисков, необходимо проделать огромный объем работы по формированию базы данных операционных потерь, налаживанию коммуникаций с подразделениями, непосредственно осуществляющими банковские операции, и сбору данных по операционным рискам.
Экспертные оценки и сценарные методы
В то же время совсем необязательно ждать, пока банк накопит достаточное количество статистики для измерения своих рисков. В арсенале банков остаются такие инструменты, как экспертные оценки и сценарные методы. Реализация лих методов не требует больших усилий и затрат, но в то же время позволяет в сжатые сроки получить ощутимые результаты.
Недостаток метода экспертных оценок состоит в том, что он не исключает субъективного подхода. Тем не менее, при грамотной организации экспертных опросов с привлечением широкого круга специалистов из разных независимых подразделений банка, а также при последующей обработке для повышения согласованности оценок результаты могут быть весьма полезными.
Сценарные методы включают сценарный анализ и имитационное моделирование Монте-Карло, сущность которых заключается в построении вероятностного распределения суммарных потерь на основе первоначальных предположений относительно частоты и последствий операционных событий. Оценки ожидаемых и непредвиденных потерь рассчитываются на основе статистического анализа итогового вероятностного распределения суммарных потерь. Недостаток этого метода состоит в том, что корректность оценок зависит от качества моделей и корректности начальных предположений.
Сценарный метод может быть полезен для оценки последствий редких, но серьезных по своим результатам событий, по которым отсутствует статистика. Данный метод может использоваться как в качестве дополнения к другим методикам оценки, так и самостоятельно. В последнем случае рассматриваются несколько возможных сценариев развитии событий, для каждого из которых оцениваются возможные последствии и вероятность наступлении. Затем путем простого перебора всех возможных значений величины потерь и количества случаев потерь за рассматриваемый период строится схема вероятностного распределении итоговых Потерь. На основе этого распределении рассчитываются ожидаемые и непредвиденные потери.
С помощью метола имитационного моделирования Монте—Карло задаются вероятностные распределении для частоты потерь и масштаба потерь, и после их значении генерируются с помощью датчика случайных чисел. Для каждого имитационного эксперимента вычисляется значение суммарной величины потерь. Зачем результаты всех имитационных экспериментов объединяются в выборку, с помощью которой строится эмпирическое частотное распределение. И уже на основе полученного частотного распределении вычисляется величина OpVaR как квантиль уровня, соответствующего выбранному уровню доверия. Вероятностные распределения, используемые для моделирования частоты и величины потерь, известны и хорошо изучены. Например, для моделирования частоты операционных потерь чаще всего применяются пуассоновское, геометрическое или отрицательное биномиальное распределения. Величина операционных потерь может моделироваться посредством экспоненциальных, Вейбула и бета-распределений.
Каждая из методик оценки имеет как преимущества, так и недостатки (см. таблицу). Условия применимости этих методик также существенно разнятся.
При измерении рисков в условиях недостатка статистики рекомендуется комбинировать различные методики оценки. Итоговая оценка операционных потерь рассчитывается как взвешенное значение всех оценок, рассчитанных различными методами. Весовые коэффициенты могут быть подобраны с учетом надежности и уровня доверия к используемым методикам. Например, на начальных этапах управления рисками больший вес должны иметь экспертные оценки и сценарный анализ. По мере накопления статистики вклад оттенок, сделанных на основе внутренних данных, будет возрастать.
Заключительным этапом в процессе оценки операционных рисков является планирование мероприятий по их контролю и минимизации. Планирование этих мероприятий, оценка их эффективности и выбор оптимальных решений основываются на количественных оценках риска, рассчитанных на предыдущих этапах. Выгоды от применения управленческих мероприятий и контрольных процедур необходимо соотносить с издержками по их внедрению.
В то же время существует и обратная связь. Внедренные процедуры контроля и мероприятия по минимизации риска должны быть учтены при последующем измерении риска, что, в частности, позволит уменьшить норматив достаточности капитала под операционный риск. Например, Базельский комитет разрешает уменьшать оценки операционного риска и основанные на них требования к капиталу при использовании страхования, но не более чем на 20% от совокупного норматива капитала под операционный риск.
Мониторинг операционных рисков
Еще одной важной процедурой по управлению операционным риском является мониторинг рисков. Мониторинг операционных рисков проводится с целью выявить события, приводящие к увеличению операционного риска, а также обеспечить оперативное реагирование на них. Своевременное реагирование на увеличение операционного риска может значительно сократить количество случаев наступления операционных потерь со всеми вытекающими последствиями.
Мониторинг операционных рисков основан на регулярном расчете количественных характеристик, включающих индикаторы подверженности риску и ключевые индикаторы риска. Для каждого выбранного индикатора устанавливается лимит (пороговое значение), превышение которого свидетельствует о наличии повышенного уровня риска.
Индикаторы подверженности риску (Exposure Indicators — EI) дают представление о степени вероятности подверженности банка операционным рискам и о возможных масштабах операционных потерь в случае их возникновения. Эти показатели отражают масштабы деятельности банка. Система EI по каждому направлению деятельности / виду операций должна включать в себя такие показатели, как количество операций, совокупный объем операций, сумма активов под управлением (размер открытой позиции), валовой доход по данному виду операций, количество сотрудников, занятых в обслуживании операций, и др.
Ключевые индикаторы риска (Key Risk Indicators — KRI) обеспечивают раннее предупреждение о возможных потерях. Такие индикаторы должны быть упреждающими и отражать потенциальные источники операционных рисков. Примерами ключевых индикаторов риска могут быть текучесть кадров, количество отозванных сделок, время неработоспособности систем, число нарушений лимитов, число претензий со стороны клиентов и т. п. По каждому направлению бизнеса / виду операций и операционных рисков система ключевых индикаторов риска подбирается индивидуально на основе анализа бизнес-процессов и риск-аудита.
Выводы
Ввиду предстоящего обсуждения применимости стандарта «Базель II» в российских условиях один из ключевых вопросов следующий: разрешит ли ЦБ РФ использование внутренних моделей оценки для расчета норматива капитала под операционный риск? Включение методик, разработанных на основе внутренних моделей, в число разрешенных подходов к оценке норматива капитала станет важным стимулом для эффективного контроля и снижения операционных рисков российскими банками. В то же время применение этих подходов вне контекста регулирования банковского капитала также обеспечит кредитным организациям ряд существенных преимуществ, в том числе повышение эффективности контроля рисков, формирование системы отчетности по рискам, повышение доверия со стороны клиентов и партнеров банка. Приведенный в статье подход на основе поэтапного построения системы операционного риск-менеджмента и комбинирования различных методик оценки позволит получить ощутимый эффект в относительно короткие сроки, при этом внедрение рассматриваемых подходов не требует существенных затрат и усилий.
Автор: Золоторев В.М.
к.т.н. Исполняющий обязанности начальника отдела операционных рисков и контроля Управления рисков ОАО «Банк Зенит»
Статья из журнала «Управление финансовыми рисками» №3 2005
Литература
1. Basel Committee on Banking Supervision, International Convergence of Capital Measurement and Capital Standards: A Revised Framework, Bank for International Settlements, June 2004. — http://www.bis.orsi’ publ/bchsI07.pdf.
2. Рабочий вариант перевода на русский язык документа Базельского комитета по банковском)’ надзору — Международная конвергенция измерения капитала и стандартов капитала: новые подходы (Базель II). http://www.cbr.ru/analytics/bank_system/print .asp’.’file=Ba sel.htm.
3. Basel Committee on Banking Supervision, Sound Practice for the Management and Supervision of Operational Risk, Bank for International Settlements, February 2003. — http://www.bis.org/publ/bcbs96.pdf.
4. Центральный Банк Российской Федерации, Письмо от 24 мая 2005 г. №76-Т «Об организации управления операционным риском в кредитных организациях».
5. Бух тин М.А. Методология управления операционными рисками. — ВДЦ-Пресс // Оперативное управление и стратегический менеджмент в коммерческом банке. — 2003. — №3. — С. 86-94; №4. — С. 83-99.
6. Натурина М., ГроменкоО. Управление операционными рисками: анализ данных по операционным потерям, БДЦ-Пресс // Оперативное управление и стратегический менеджмент в коммерческом банке. — 2004. — №6.