Система внутреннего контроля за операционными рисками

Предотвращение операционных рисков основывается на эффективной системе внутреннего контроля в финансовой организации.

Изначально внутренний контроль (internal control) предназначался для предотвращения мошенничества, несанкционированных действий и умышленных ошибок персонала. Сейчас его сфера применения расширилась, в том числе благодаря тому, что контроль является эффективным способом предотвращения и иных видов операционного риска.

В связи с этим следует рассмотреть принципы, на основе которых должна строиться эффективная система внутреннего контроля.

Такие рекомендации были разработаны Базельским комитетом, который исследовал внутренние причины операционных потерь в финансовых организациях. Основное внимание уделялось системе внутреннего контроля и оценке ее эффективности. Было установлено, что наиболее распространенные причины операционных потерь являются следствием недостатков в системе внутреннего контроля, таких как:

• недостаточное внимание руководства при организации и поддержании системы внутреннего контроля, а также отсутствие корпоративной культуры контроля в банке;
• неверная оценка риска при осуществлении банком балансовых и забалансовых операций;
• отсутствие внутренних подразделений и процедур контроля при осуществлении бизнес-процессов, таких как разделение обязанностей, санкционирование, верификация, согласование и надзор за текущей деятельностью;
• неэффективная система передачи информации между различными уровнями управления, особенно при информировании вышестоящего руководства о возникающих трудностях;
• недостаточная или неэффективная роль аудита в оценке эффективности системы внутреннего контроля.

Систему внутреннего контроля следует рассматривать в разрезе пяти основных блоков:

• деятельность руководства и общая культура контроля;
• выявление и оценка рисков;
• процедуры контроля;
• информационные системы и коммуникации;
• мониторинг текущей деятельности.

Деятельность руководства и культура контроля

Совет директоров (правление) финансовой организации утверждает стратегию, внутренние правила и положения, методику анализа банковских рисков и устанавливает допустимый уровень риска. Кроме того, высшее руководство несет ответственность за реализацию утвержденной стратегии развития, за соответствие текущей деятельности компании разработанным и утвержденным принципам и правилам. Высшее руководство отвечает за создание в компании системы внутреннего контроля и на регулярной основе контролирует эффективность этой системы.

Правление и высшее руководство совместно отвечают за воплощение корпоративной культуры внутри организации, демонстрируя необходимость внутреннего контроля всему персоналу. В финансовых организациях необходимо стремиться к пониманию персоналом своей роли в процессе внутреннего контроля.

Выявление и оценка риска

Высшее руководство ответственно за обеспечение своевременного выявления и оценку тех факторов, которые могут неблагоприятно повлиять на достижение целей компании. Это относится ко всем видам риска, которым подвержена данная организация. Для этого разрабатываются внутренние положения, которые определяют общие принципы и методики управления рисками, устанавливают необходимые лимиты и ограничения.

Высшее руководство должно организовать постоянную оценку рисков, влияющих на достижение целей и реализацию стратегии компании.

Процедуры контроля

Основной метод управления операционными рисками состоит в создании эффективных процедур контроля, которые в совокупности составляют единую систему внутреннего контроля. Процедуры внутреннего контроля должны быть обязательным элементом при осуществлении всех бизнес-процессов, что позволит сократить вероятность и последствия реализации операционного риска.

Высшее руководство разрабатывает систему внутреннего контроля в рамках каждого бизнес-процесса, обеспечивает соответствие всех видов деятельности в организации установленным правилам и положениям и гарантирует разделение обязанностей между работниками, не допуская исполнение несовместимых (с точки зрения контроля) функций. Возникающие противоречия должны быть своевременно выявлены и изучены на предмет их оправданности.

Система внутреннего контроля основана на следующих процедурах контроля:

• подготовка итоговых отчетов за период;
• мониторинг совершаемых операций на уровне подразделений;
• ограничение физического доступа персонала к данным на электронных и бумажных носителях;
• обеспечение соответствия внутренним нормативам и положениям, а также требованиям законодательства и регулирующих органов (compliance);
• порядок подтверждения и санкционирования операций;
• процедуры проверок и сверок.

Процедуры контроля при работе на финансовых рынках делятся на внутренние и внешние. Внутренние процедуры контроля основаны на следующих требованиях:

1. Разделение функций. Работники, ответственные за совершение сделок, не должны проводить расчеты и вести бухгалтерский учет собственной деятельности.
2. Двойной ввод данных. Ввод информации должен дублироваться. Введенные данные от независимых источников автоматически сравниваются, и только при их совпадении совершается операция.
3. Сверка данных. Сверка данных должна производиться между различными информационными системами, а также на разных этапах обработки данных. Это реализуется посредством сравнения детальной информации либо итоговых сумм. Такая процедура контроля обеспечивает постоянство данных в системе.
4. Дополнительное подтверждение операций. Контрагенты по совершаемым операциям должны быть проинформированы о наиболее важных событиях, связанных с движением значительных средств и исполнением срочных контрактов. Предварительное подтверждение возможности исполнения таких операций должно быть получено до момента их фактического исполнения.
5. Контроль исправлений. Внесение любых поправок к исходной информации должно подчиняться такому же контролю, как и ввод первоначальной информации.

Внешние процедуры контроля включают в себя следующие действия:

1. Подтверждения. Для каждой торговой операции должно быть получено подтверждение от противоположной стороны по сделке. Такая мера обеспечивает независимый контроль за деятельностью финансовой организации.
2. Проверки правильности цен. Для переоценки позиции информация о стоимости финансовых инструментов должна быть получена из независимого источника. Ввод такой информации требует соблюдения требований к внутренним процедурам контроля.
3. Полномочия на исполнение операций. Контрагенты по сделкам должны иметь информацию о тех работниках, которые уполномочены вести торговлю от имени данной финансовой организации.
4. Осуществление расчетов. При осуществлении расчетов уже можно выявить некоторые ошибки, которые могли быть допущены при вводе условий сделки.
5. Внутренний/внешний аудит.  Аудиторские проверки могут предоставить некоторую информацию о недостатках исполнения операций или неэффективности принятых процедур контроля. Такой анализ осуществляется на основе независимого сравнения с «наилучшей практикой» организации бизнес-процессов и осуществления внутреннего контроля.

Информационные системы и коммуникации

Высшее руководство должно гарантировать наличие достоверной, точной, своевременной, доступной и полноценной информации для принятия решений и оценки текущей деятельности. Для этого необходимо иметь надежные каналы связи для обеспечения доступа и передачи всей необходимой информации. Кроме того, в компании должны быть разработаны схемы передачи информации ответственным сотрудникам.

Высшее руководство должно гарантировать наличие соответствующих информационных систем, которые охватывают всю деятельность банка. Данные системы должны периодически проверяться, а основное оборудование – находиться в защищенном месте.

Мониторинг текущей деятельности

Контроль за наиболее важными рисками должен осуществляться ежедневно. Эффективность системы внутреннего контроля периодически должна проверяться компетентными специалистами в рамках внутреннего аудита.

О недостатках системы внутреннего контроля следует своевременно информировать руководство соответствующего уровня. Выявленные недостатки следует устранять в кратчайшие сроки, о существенных проблемах необходимо сообщать высшему руководству организации.