ЦБ обяжет банки подсчитать ущерб от краж, кибератак и харассмента

ЦБ обяжет банки по-новому оценивать операционные риски и подсчитывать ущерб в случае их реализации. Речь идет о потерях от самых разных событий — от краж до исков о харассменте. Банкам теперь придется изменить риск-системы

Банк России опубликовал проект положения «О требованиях к системе управления операционным риском в кредитной организации и банковской группе». Документ разработан по следам декабрьского решения Базельского комитета по банковскому надзору, который в конце 2017 года уточнил подход к оценке операционного риска для расчета норматива достаточности капитала в рамках стандарта Basel III, говорится в пояснительной записке к проекту.

Новый базельский подход будет внедрен с 2022 года, но для соответствия ему банки должны будут собрать информацию о потерях от «событий операционного риска» минимум за последние пять лет.

Ошибки и недостатки

Разработанное ЦБ положение содержит требования к системе учета операционных рисков и классификацию событий, ущерб от которых банки должны будут подсчитывать в рамках управления операционными рисками, — от ошибок менеджмента и действий регулятора до судебных издержек из-за харассмента и дискриминации по национальному признаку.

В документе приводится категоризация операционных рисков по причинам возникновения, типам событий, направлениям деятельности и видам потерь. По причинам операционные риски делятся на четыре категории: ошибки и недостатки процессов (неэффективная организация управления банком, несоответствие процедур управления «масштабам деятельности кредитной организации» и требованиям законодательства); риски, связанные с действиями персонала; сбои информационных и технологических систем банков; действия внешних причин (речь, в частности, идет о действиях госорганов, регулятора и правоохранителей).

Самая подробная классификация установлена для типов событий — это семь видов событий первого уровня, каждый из которых содержит несколько типов событий второго уровня. Кроме того, у банков есть право ввести еще более детальный учет событий операционного риска, вводя в классификацию события третьего уровня.

Классификация событий операционного риска

1. Внутреннее мошенничество (преднамеренное превышение сотрудниками банков своих полномочий; кражи и мошенничество с их стороны в целях получения личной выгоды).

2. Внешнее мошенничество (кражи и мошенничество со стороны третьих лиц, кибератаки на инфраструктуру банка и хищение средств клиентов).

3. Нарушения кадровой политики и безопасности труда (выплаты компенсаций сотрудникам из-за нарушений трудового законодательства; нанесение ущерба здоровью работников из-за несоблюдения норм безопасности, штрафы надзорным органам, нарушения прав граждан, связанные с дискриминацией — половой, расовой, национальной и др.).

4. Нарушения прав клиентов и нанесение им ущерба (раскрытие конфиденциальной информации, нарушение условий договоров, навязывание дополнительных услуг, несоблюдение законодательства в сфере противодействия отмывания доходов, нанесение ущерба контрагентам).

5. Ущерб материальным активам из-за стихийных событий и форс-мажоров (природные, техногенные, социальные, медико-биологические катастрофы и т.д.).

6. Нарушения функционирования и сбои систем (сбои в работе программного обеспечения; сбои водо- и энергоснабжения).

7. Нарушения при организации, исполнении и управлении процессами (ошибки при подготовке и проведении банковских операций, ведении бухучета, документооборота, расчетов с клиентами, недостатки в работе контрагентов).

При учете потерь ЦБ предлагает делить их на прямые и непрямые, а последние — на качественные и косвенные. Прямые потери — это снижение стоимости активов, их досрочное списание, денежные выплаты клиентам и служащим в порядке компенсации во внесудебном порядке, судебные издержки и т.д. Качественные потери — отток клиентов, снижение качества предоставления услуг, приостановка деятельности в результате неблагоприятного события и др. Косвенные потери — недополученные запланированные доходы, расходы на оплату услуг привлеченных по отдельным договорам специалистов (например, оценщиков и консультантов), повышение стоимости заимствований в результате события операционного риска. Все потери от операционных рисков должны фиксироваться банками в специальной базе событий.

Банки должны будут привести свои системы в соответствие с новым положением к концу 2019 года, а с 2020 года ЦБ начнет оценивать, насколько их системы управления операционным риском соответствуют новым стандартам. Если система не соответствует стандартам, а кредитная организация это несоответствие не устраняет, ЦБ сможет воспользоваться мерами из ст. 74 закона «О ЦБ» (предполагает широкий набор — от штрафа до ввода временной администрации).

Издержки на классификацию

Приведение систем управления операционным риском в соответствие с новыми регулятивными требованиями до 2022 года, безусловно, повлечет дополнительные издержки со стороны банков, считает ведущий методолог «Эксперт РА» Юрий Беликов. Проект документа, основанный на уточненных подходах Базеля III, регламентирует процесс управления операционным риском намного более детально, чем действующие нормативные акты регулятора, отмечает он. Одно из основных требований — ведение подробной базы данных о потерях по операционному риску, говорит эксперт: такие базы давно ведутся всеми банками, но теперь все занесенные в них события должны быть четко классифицированы и дополнены причинно-следственными связями (в том числе связями с другими видами рисков).

Для адаптации баз данных и алгоритмов их ведения к новым стандартам потребуется их реструктуризация и внесение существенных изменений в управленческий учет, прогнозирует Беликов. Как минимум это дополнительные трудозатраты, которые могут потребовать расширения штата технических специалистов. Кроме того, внедряя в российскую практику базельские подходы, Банк России продолжает курс на усиление контроля кибербезопасности в банках, добавляет эксперт. Впрочем, изменив систему управления операционным риском, банки смогут уменьшить его давление на достаточность капитала, что немного «разгрузит» капитал и позволит разместить больший объем собственных и привлеченных средств в доходные активы под риском, заключает Юрий Беликов.

Проект ЦБ предполагает значительную перегруппировку риска, которым подвержены банки, расширяя понятие операционных рисков, подтверждает член правления ВТБ Максим Кондратенко. Так, к операционному риску отнесены модельный и стратегический риски, указывает он. Первый связан с ошибками при разработке методик и моделей оценки активов и рисков, второй — это риск возникновения убытков из-за ошибок при принятии решений по стратегии и развитию банка. Раньше эти риски выделялись как отдельные, говорит Кондратенко. При обсуждении предложенного ЦБ проекта необходимо исключить дублирование контрольных процедур и оценки рисков. При этом все виды риска, перечисленные в проекте ЦБ, ВТБ оценивает и сейчас.

Промсвязьбанк также сообщил, что оценивает все указанные риски. Предложенная ЦБ структура оценки «не стала для банка неожиданностью», отметил директор дирекции рисков Промсвязьбанка Евгений Гришин. «Развитие управления рисками, и в частности операционными рисками, всегда требует вложений ресурсов, как человеческих, так и материальных, в особенности в крупных финансовых организациях. В настоящее время наше развитие в этом направлении прежде всего связано с новым статусом банка как опорной кредитной организации по сопровождению гособоронзаказа, где вопросам информационной и кибербезопасности уделяется особое внимание», — подчеркнул Гришин.

В пресс-службе Россельхозбанка отметили, что предложенные ЦБ новые требования «в высокой степени соответствуют» той системе управления операционным риском, которая существует в банке сейчас. При этом банку все же потребуется провести «дополнительные мероприятия по адаптации некоторых элементов» управления операционным риском к новым требованиям регулятора.

Большая часть банков из топ-10 по объему активов не ответила на запросы РБК, в Сбербанке отказались от комментариев.​