Положение 716-П от ЦБ РФ дает новое определение безопасности финансовых организаций

Управление рисками очень важно для финансовых учреждений, но этот вопрос, кажется, получает все меньше и меньше внимания в последнее время. Для банковских учреждений в России эта необходимость значительно усилилась с введением в действие Постановления ЦБ РФ № 716-П от 08.04.2020 года, озаглавленного. Это Положение, зарегистрированное 03.06.2020 года, ознаменовало поворотный момент в финансовом секторе страны. До сих пор его требования остаются актуальны и должны выполняться, поэтому самое время вспомнить их до проверки со стороны регулятора.

Цели и требования Положения 716-П от ЦБ РФ​

Положение вступило в силу 1.10.2020 года. Однако, чтобы его реализацию успели завершить, крайний срок обеспечения требований был назначен на начало 2022 года. Это означало, что к началу 2022 года все кредитные организации должны были выполнить требования и привести свои системы в соответствие Положению.

Правила 716-П предусматривают широкий охват организаций, подпадающих под требования, но в этом списке есть два исключения:

• Центральный контрагент — это организация, обычно управляемая финансовой биржей, которая выступает в качестве посредника между покупателями и продавцами на финансовых рынках.
• Центральный депозитарий — это организация или учреждение, которое хранит ценные бумаги (такие как акции, облигации и другие финансовые инструменты) в электронной форме, упрощая процесс торговли и передачи права собственности.

Чтобы понять цели Положения 716-П, необходимо углубиться в терминологию, которую оно вводит. Двумя ключевыми терминами в этом контексте являются «база событий» и «операционный риск». Операционный риск относится к риску потерь в результате неадекватных или сбойных внутренних процессов, систем, людей или внешних событий. Это термин, который охватывает различные аспекты деятельности банковского учреждения, что делает обязательным для организаций тщательную оценку и снижение этих рисков.

Что такое операционный риск и база событий согласно Положению 716-П от Центрального Банка?​

В мире банковского дела каждое действие сопряжено с определенным уровнем риска. Операционный риск является одним из таких критических аспектов, который, проще говоря, относится к возможности того, что банк столкнется с финансовыми потерями из-за проблем внутреннего управления, системных сбоев или неожиданных внешних событий.

Представьте себе: сбой компьютерной системы банка, приводящий к временной потере важных данных о клиентах. Или же сотрудник допускает ошибку при обработке транзакций, что приводит к значительным финансовым потерям. Эти сценарии являются примерами операционных рисков, к которым банкам необходимо подготовиться.

Чтобы эффективно управлять этими рисками, банки используют так называемую базу данных событий или убытков. Эта база данных как регистратор, содержащий информацию о различных типах потерь, с которыми может столкнуться банк, о том, сколько денег было потеряно, когда эти потери произошли, а также о событиях или обстоятельствах, которые привели к этим потерям. По сути, это исчерпывающий отчет о том, что пошло не так и почему.

Например, если банк понесет финансовые потери из-за кибератаки, база данных событий будет документировать не только сумму потерянных денег, но и дату атаки, как произошло нарушение, и любые другие важные детали, связанные с инцидентом. Эта документация помогает банкам выявлять закономерности, извлекать уроки из прошлых ошибок и укреплять свои системы для предотвращения подобных потерь в будущем.

Понимая эти риски и эффективно управляя ими, банки могут обеспечить более безопасную среду для всех участников, от клиентов до сотрудников.

Что должна содержать система управления операционным риском согласно Положению 716-П?​

Итак, рассмотрим основную структуру:

• Процедуры управления операционными рисками — это протоколы, разработанные для того, чтобы гарантировать эффективное решение любых непредвиденных проблем. Например, если возникает внезапный технический сбой, нарушающий работу служб, в этих процедурах описываются точные шаги по диагностике, смягчению последствий и оперативному устранению проблемы.
• Классификатор событий операционного риска — это специализированный словарь банка. В сфере операционных рисков могут возникать многочисленные проблемы — от угроз кибербезопасности до внутренних ошибок. Классификатор помогает систематизировать эти проблемы.
• База данных событий — в ней фиксируется каждая проблема, с которой сталкивается организация, подробно описывается, что произошло, когда это произошло и почему это произошло. Эти записи позволяют выявлять закономерности. Анализируя прошлые события, можно заблаговременно принять меры по предотвращению подобных происшествий в будущем.
• Контрольные показатели операционного риска — это показатели и сигналы, которые указывают на то, что организация приближается к рискованной ситуации. Например, внезапный всплеск ошибок транзакций может быть тревожным сигналом. Эти показатели позволяют выявлять потенциальные проблемы до их обострения, что дает возможность принимать превентивные меры и поддерживать стабильность.
• Подразделение, ответственное за управление операционными рисками — эта команда является основой в области управления операционными рисками. Они представляют собой группу специалистов в рамках более крупной службы управления рисками. Их основная ответственность заключается в надзоре за внедрением процедур управления операционными рисками, управлении базой данных событий, интерпретации индикаторов риска и обеспечении того, чтобы учреждение работало в рамках определенных параметров риска.

Типы операционных рисков согласно Положению 716-П от Банка России​

Операционные риски, определенные в пункте 1.4 положения об управлении операционными рисками, охватывают широкий спектр потенциальных проблем. Они могут варьироваться от технических сбоев и внутренних ошибок до внешних угроз и непредвиденных событий. Специализированным подразделениям поручено глубоко разобраться в этих категориях рисков и соответствующим образом адаптировать свои стратегии.

Вот упрощенная разбивка типов операционных рисков из текста Положения:

• Риск информационной безопасности: включает в себя угрозы, возникающие из-за недостатков в процессах информационной безопасности и программном обеспечении, потенциально ставящих под угрозу конфиденциальные данные.
• Риск информационных систем: риск связан со сбоями или перебоями в работе информационных систем кредитной организации, влияющими на ее функциональность.
• Юридический риск: риск связан с потенциальными юридическими проблемами.
• Ошибки в управлении проектами: касается проблем в организации проектов, направленных на изменение систем учреждения и поддержание эффективности.
• Ошибки процесса управления: проблемы во внутренних процессах и принятии решений, связанных с банковскими операциями.
• Ошибки внутреннего контроля: связаны с недостатками в системе внутреннего контроля.
• Модельный риск: относится к проблемам с математическими моделями, используемыми для различных оценок.
• Риск потери средств клиентов, контрагентов и сотрудников: риск связан с финансовыми потерями из-за нарушений учреждением этических норм или рыночной практики.
• Ошибки в управлении персоналом: относится к проблемам в управлении сотрудниками, включая наем, безопасность.
• Операционный риск платежных систем: риск связан с потенциальными проблемами в функционировании платежной системы.

Идентификация риска финансовых учреждений согласно Положению 716-П​

Тщательно анализируя прошлые события и их глубинные причины, финансовые учреждения могут получить глубокое представление о потенциальных будущих рисках. Этот метод включает в себя изучение базы данных событий, хранилища прошлых событий операционного риска, для выявления закономерностей и тенденций. Кредитные организации создают и ведут реестр операционных рисков. Это организованное хранилище классифицирует риски на основе конкретных элементов, облегчая систематическое отслеживание и управление. Четкая классификация гарантирует понимание рисков, что облегчает применение целенаправленных стратегий снижения рисков. Учреждения должны анализировать внешние источники, включая аудиторские отчеты, юридические решения и информацию от регулирующих органов, таких как Банк России.

Подразделения кредитной организации ежегодно проводят (по крайней мере должны проводить) самооценку уровней операционного риска. С помощью формализованных анкет команды оценивают свою собственную деятельность, выявляя потенциальные слабые места и предлагая меры контроля.

Количественные показатели, известные как ключевые индикаторы риска, дают информацию об уровнях операционного риска в режиме реального времени. Отслеживая конкретные количественные показатели, учреждения могут оценить свою подверженность риску в любой момент. Этот метод обеспечивает динамичный, основанный на данных подход к оценке рисков.