37
Обсуждениe вопроса управления операционным риском ранее
поднималось Базельским комитетом по банковскому надзору в 1998 г., в
результате чего этот вид риска включили в международную нормативно-
правовую базу, разработанную в период с 2001 по 2006 гг.
Перед включением в «Базель 2» термин «операционный риск» страдал
от недостаточно однозначного и общего определения, рассматриваемого (по
сравнению с кредитным и рыночным рисками) как совокупность остаточных
рисков, как «кластер» рисков, характеризующихся неоднородностью причин
возникновения события, существенности убытков, вероятности возникновения
и типа последствия (потери, упущенная прибыль, списание активов, штрафы
надзорных органов и т.д.). Фактически в 1998 году BCBS открыто согласился,
что универсальное определение операционного риска не существует: «В
настоящее время не существует согласованного универсального определения
операционного риска.
Наряду с вышеупомянутыми определениями причин / факторов, CRR
также обеспечивает классификацию событий с точки зрения последствий, что
приводит к семи видам событий. В частности, эта классификация типов
событий включает следующие категории (статья 324):
1. Внутреннее мошенничество: убытки в результате действий,
направленных на обман, неправомерное использование собственности или
нарушение правил, законодательства или политики компании, за исключением
случаев «diversity» / дискриминации, которые имеют хотя бы одну внутреннюю
причину;
2. Внешнее мошенничество: потери в результате действий,
направленных на обман, неправомерное использование собственности или
обход закона третьим лицом;
3. Трудовое законодательство и безопасность труда: убытки,
возникающие в результате действий, несовместимых с законами или
соглашениями о трудоустройстве, охране здоровья или безопасности, а также с
38
выплатой исков о возмещении вреда здоровью или с в связи со случаями
«diversity»/ дискриминации;
4. Клиенты, продукты и бизнес-практика: убытки, возникающие из-за
непреднамеренного или небрежного невыполнения профессионального
обязательства перед конкретными клиентами (включая фидуциарные
требования и требования пригодности), или из-за характера или дизайна
продукта;
5. Ущерб материальным активам: убытки, возникающие в результате
утраты или повреждения физических активов в результате стихийного бедствия
или других событий;
6. Перерывы в работе и сбои систем: убытки, возникающие в результате
сбоев в работе или сбоев системы;
7. Управление исполнением, доставкой и процессами: убытки от
неудачной обработки транзакций или управления процессами, от отношений с
торговыми контрагентами и поставщиками.
В качестве вывода по первой главе можно сказать, что банковская сфера
является частью финансово-кредитной системы государства и представляет
собой совокупность учреждений, основой деятельности которых являются
денежно-кредитные отношения.
Проблема защищенности экономической деятельности банка связана с
постоянным появлением различных рисков и потенциально возможной утечки
конфиденциальной информации. Изменение внутренней и внешней среды,
неопределенность развития экономической системы обуславливают появление
угроз, которые влияют на деятельность банка. Одни банки выходят на рынок,
другие уходят с рынка, таким образом, происходят закономерные рыночные
процессы слияния или поглощения. Банки, имеющие незначительный капитал,
как правило, поглощаются крупными банками или же им приходится прибегать
к слиянию с этими банками, либо они вынуждены уйти с рынка в силу
невозможности соблюдения требований ЦБ РФ.
39
ГЛАВА 2. АНАЛИЗ ОПЕРАЦИОННОГО РИСКА В
БАНКОВСКОЙ СФЕРЕ РФ
2.1 Анализ мошенничества как составляющей операционного риска
российских банков
Операционный риск в случаях мошенничества определяется масштабом
убытков от хищения средств банка и клиентов. Чаще всего мошеннические
действия осуществляются в сфере безналичных платежей и увеличиваются
вместе с расширением предложений банков по удаленному обслуживанию
клиентов.
В среднем, объем ущерба в 2019 году вырос на 27,6 % по сравнению с
2018 годом. По объему потерь, которые составили 104,1 миллион евро в 2019
году, соответственно увеличились на 22,5 миллиона по сравнению с 2018
годом, Россия находится на четвертом месте среди 19 европейских стран.
17
Рассмотрим динамику количества банковских карт, эмитированных
кредитными организациями на основе данных, приведенных в табл. 4.
Таблица 4
Количество банковских карт, эмитированных кредитными
организациями, по типам карт(млн. ед.)
18
Год
Всего
банковских
карт
В том числе:
Расчетные
карты
Кредитные
карты
Предоплаченные
На
01.01.13
126,0
115,4
8,6
2,0
На
01.01.17
144,4
127,8
10,0
6,6
На
01.01.18
200,2
147,9
15,0
37,3
На
01.01.19
239,5
169,0
22,5
48,0
На
01.01.20
277,5
188,3
29,2
60,0
17
Ильин И.В. Криминологическая характеристика экономического мошенничества, совершаемого в
банковской сфере // Банк. право. - 2016. - № 6. - с. 22. https://yandex.ru/search/?text
18
Ковалев П.П. Банковский риск-менеджмент: Учебное пособие / П.П. Ковалев. – М.: Инфра-М, 2017.
– 320 с.
40
Из табл. 3 видно, что количество платежных карт каждый год растёт.
Это может быть обусловлено тем, что банки стали интенсивнее реализовывать
зарплатные проекты.
Для того, чтобы сделать более подробные выводы, рассчитаем
показатели динамики (табл. 5).
Таблица 5
Динамика количества банковских карт в РФ
19
Показатели
2015
2016
2017
2018
2019
Всего банковских карт, млн. ед.
126,0
144,4
200,2
239,5
277,5
Абсолютный цепной прирост банковских карт,
млн.ед.
–
18,4
55,8
39,3
38,0
Абсолютный базисный прирост банковских карт,
млн. ед.
–
18,4
74,2
113,5
151,5
Базисный темп роста количества банковских
карт, %
–
114,6
158,9
190,1
220,2
Базисный темп прироста количества банковских
карт, %
–
14,6
58,9
90,1
120,2
Цепной темп роста количества банковских карт,
%
–
114,6
138,6
119,7
115,9
Цепной темп прироста количества банковских
карт, %
–
14,6
38,6
19,7
15,9
Из анализа динамики количества банковских карт, видно, что данный
сегмент активно развивается.
И причин этому всего две. Первая заключается в том, что банки не хотят
афишировать свои потери от мошенников, тем самым подрывая свою
репутацию, а вторая – в том, что сами граждане не всегда спешат обращаться в
полицию для того, чтобы зафиксировать факт происшествия: либо сумма от
ущерба не такая большая, либо очень мала надежда на результат.
19
Пименов Н.А. Управление финансовыми рисками в системе экономической безопасности.
Учебник и практикум. – М.: Юрайт, 2016. – с.133
41
Таблица 6
Статистика ущерба от случаев мошенничества с банковскими
картами
20
Год
2015
2016
2017
2018
2019
Ущерб
(руб.)
Официальные данные
МВД
77,2
млн.
38,6
млн.
32,2
млн.
140
млн.
150
млн.
Неофициальные данные
банков
1,25
млрд.
1,46
млрд.
2,7
млрд.
3,6
млрд.
4,6
млрд.
При оплате приобретенных в Интернете программ, книг, музыки, товаров
часто требуется ввести номер карты. Перехват данных может осуществляться
при помощи программ, установленных на сайте продавца, и далее деньги будут
списаны с карты. Избежать этого риска клиенты банков могут, если, оплачивая
товары через Интернет, они будут:
держать деньги на специальной банковской карте, на которую не
переводится больше средств, чем необходимо для совершения одной покупки;
применять виртуальные банковские карты;
не пользоваться непроверенными сайтами;
установить услугу Secure Code.
За полгода специалисты ЦБ обнаружили 13 тыс. объявлений о покупке и
продаже персональных данных. Чтобы украсть деньги, мошенникам в
большинстве случаев не нужны конфиденциальные данные — достаточно ФИО
и номера телефона человека
Специалисты ЦБ в 2019 году обнаружили 13 тыс. объявлений о продаже
и покупке баз персональных данных, говорится в ежегодном докладе
ФинЦЕРТа (Центр мониторинга и реагирования на компьютерные атаки в
кредитно-финансовой сфере Банка России). Только 1,5 тыс. из них (12%) — это
базы кредитно-финансовых организаций. В предыдущих докладах подобную
статистику ЦБ не раскрывал.
20
Марамыгин М.С. Организация деятельности коммерческого банка / М.С. Марамыгин, Е.Г.
Шатковская. – М.: Форум, Инфра-М, 2018. – с.156
42
«Социальная инженерия перестает быть прерогативой отдельных
любителей и становится полноценным детально подготовленным,
профессиональным и хорошо финансируемым нелегальным бизнесом», —
считает коммерческий директор компании «Инфосекьюрити» Александр
Дворянский. Сейчас методы злоумышленников становятся все более
персонифицированными, поэтому пользователю становится гораздо сложнее
распознать мошенника, объясняет эксперт.
Последний год особенно ярко показал, что человек — самое слабое звено
кибербезопасности, поэтому злоумышленникам проще сосредоточиться на
социальной инженерии, не требующей глубоких технических знаний, отмечает
ведущий антивирусный эксперт «Лаборатории Касперского» Сергей Голованов.
ФинЦЕРТ пока не раскрыл, какой ущерб причинили подобные звонки
клиентам банков. В 2018 году вектор атак сместился с клиентов-юрлиц на
граждан. Тогда киберпреступники похитили со счетов юрлиц 1,46 млрд руб., а
со счетов граждан — 1,38 млрд руб., но ущерб последним вырос на 44%. По
оценкам Сбербанка, 80% атак на банковских клиентов совершаются именно
таким образом
21
.
2.2. Управление операционным риском в российских банках в целях
противодействия мошенничеству
Планы ЦБ по регулированию банковского рынка всегда находятся под
пристальным вниманием руководителей и собственников банков. Без этих
знаний трудно эффективно развивать бизнес, своевременно вносить
необходимые коррективы и получать доход.
Ввиду этого на фоне продолжения внедрения международных
стандартов регулирования банковских рисков, установленных Базельским
комитетом по банковскому надзору (БКБН), основными трендами банковского
регулирования в 2019 году стали стимулирующее и пропорциональное
регулирование. Масштабные изменения затронули практически все
21
Официальный сайт Банка России https://cbr.ru/information_security/fincert
43
регулятивные требования: от порядка оценки кредитного риска до раскрытия
информации и страхования вкладов.
В 2019 году Банком России подготовлен проект нового нормативного
акта, устанавливающего требования к управлению операционным риском,
риском информационной безопасности и риском информационных систем,
включая требования к ведению баз данных по потерям от реализации этих
рисков, и требования к внутренней отчетности кредитных организаций по
операционному риску.
В 2020 году планируется установить требования к системам управления
рисками и капиталом кредитной организации и банковской группы в части
организации управления операционным риском и риском вынужденной
поддержки (step-in risk), а также детализировать требования к процедурам
проведения кредитными организациями стресс-тестирования. Так же в текущем
году планируется разработать формы сбора информации по операционному
риску, а также начать работу по созданию методики надзорной оценки
управления операционным риском
10
в кредитных организациях.
Следующим важным шагом в развитии регулирования операционного
риска станет реализация для российских банков нового базельского подхода
11
к
расчету достаточности капитала на покрытие операционного риска,
основанного на стандартизированных оценках (SMA). В частности, будут
установлены требования к расчету размера операционного риска и его
компонентов, учету потерь от операционного риска при расчете размера
операционного риска, документированию результатов расчета, а также надзору
за порядком расчета размера операционного риска.
Процесс внедрения регуляторами централизованной методологии
управления операционными рисками сопровождался созданием глобальных
форумов для обмена профессиональными знаниями и мнениями в данной
сфере.
Ключевой такой площадкой можно назвать Международную рабочую
группу регуляторов по операционным рискам (International Operational Risk
44
Working Group, IORWG), созданную в 2005 г. Банком Испании и Федеральным
резервным банком Филадельфии и объединившую 17 регуляторов. В 2016 г.
членом IORWG стал и Банк России, руководством которого была поставлена
задача по внедрению системного подхода к управлению операционными
рисками. В целом за годы существования группы количество ее участников
увеличилось до 101; в их числе – регуляторы из 96 стран мира (некоторые
страны представлены двумя регулирующими органами) и ряд наднациональных
организаций, таких как Международный валютный фонд (МВФ), Банк
международных расчетов (БМР) и Европейский центральный банк (ЕЦБ).
Международные организации в последние два десятилетия уделяют
пристальное внимание вопросам управления операционными рисками со
стороны регуляторов.
В частности, вопросам организации управления операционными
рисками со стороны регуляторов посвящено исследование БМР (Bank for
International Settlements, 2009). Вопросы организации управления рисками
являются одним из предметов проводимой МВФ оценки регуляторов стран –
потенциальных заемщиков средств фонда.
При проведении оценки учитываются профиль рисков, риск-культура и
обеспеченность ресурсами1 . Khan (2016), приводя обзор практик управления
операционными рисками, применяемых регуляторами, заключает, что они не
уделяют достаточного внимания этому вопросу, и дает рекомендации по
полноценной интеграции системы управления операционными рисками во все
направления деятельности регулятора.
В то же время возникает вопрос о релевантности внедрения практик,
изначально выработанных для коммерческих организаций, в деятельность
принципиально иных по своей природе институтов.
Данный вопрос не получил комплексного освещения ни в
экономической литературе, ни в исследованиях авторитетных организаций. Как
показывает проведенный в настоящей статье анализ, именно в специфике
45
регуляторов и кроется главная причина всей сложности задачи по внедрению в
их деятельность системного подхода к управлению операционными рисками.
Если в коммерческих организациях к этому подталкивают финансовая
целесообразность (либо требования регуляторов), то для персонала самого
регулятора необходимость внедрения этих практик в их повседневную работу
неочевидна. Как следствие, внедрение возможно только при поддержке со
стороны топ-менеджмента, понимающего ценность системы для организации в
целом, и наличии квалифицированных специалистов подразделения риск-
менеджмента, способных грамотно внедрить систему с учетом всех нюансов
деятельности регулятора.
Внедрение регуляторами системного подхода к управлению
операционными рисками активно началось, как уже отмечалось, c 1990-х гг.
Анализ практики внедрения показывает, что причины вряд ли находятся в
теоретической плоскости.
Теория рисков как самостоятельное научное направление,
представляющее собой целостную систему понятий и подходов, к настоящему
времени еще не сформировалась. Она дает лишь общее представление о рисках,
их природе и методах управления ими безотносительно конкретных условий
внутренней и внешней среды и необходимых системных настроек.
Наиболее известные исследования рисков носили главным образом
специализированный характер, находясь в плоскости других научных течений
(математика, физика, экономика, кибернетика и др.). В частности, одними из
первых вопросы риск-менеджмента стали прорабатывать известные математики
и физики, такие как Христиан Гюйгенс, Якоб Бернулли, Блез Паскаль, Пьер
Ферма, в рамках теории вероятностей.
При этом, как правило, соответствующие исследования были
обусловлены конкретными практическими потребностями.
В такой ситуации нельзя не согласиться с теми экономистами и
практиками, которые утверждают, что управление рисками, тем более
операционными, в конкретной организации – это скорее практическая
46
дисциплина, чем наука. Соответственно, вопрос управления рисками, в том
числе формирования системного подхода к управлению ими, требует познания
с позиции конкретных обстоятельств внутренней и внешней среды, связанных с
решением функциональных задач конкретных организаций.
Поэтому для выявления предпосылок внедрения регуляторами
системного подхода к управлению операционными рисками мы обратимся к
анализу практики, который показывает, что данную тенденцию было бы
неверно рассматривать отдельно от тех событий, которые имели место в
мировой экономике в целом, и в первую очередь – от событий в коммерческом
секторе.
Очевидно, что выпадение регулятора из общей тенденции как минимум
ведет к дискомфорту на уровне рабочего взаимодействия с другими
регуляторами; это вопрос общения на одном языке и авторитета. А если
имеющий место тренд верный, то оставаться в стороне еще и неэффективно,
поскольку наверстать упущенное с каждым годом будет все сложнее. Но, как
показывает анализ, у имеющейся тенденции есть и глубинные предпосылки,
которые находятся все в той же плоскости – в специфике регуляторов как
общественно значимых институтов. Важным условием достижения целей
деятельности регулятора является восприимчивость экономики к его сигналам,
и здесь немалую роль играет его авторитет.
Декларирование того, что регулятор, предъявляя к поднадзорным
организациям те или иные передовые требования, сам следует передовым
практикам (где это релевантно), безусловно, вносит свой вклад в правильное и
серьезное восприятие его намерений. Неслучайно многие регуляторы
целенаправленно декларируют следование лучшим практикам и на своих
сайтах в интернете, и в годовых отчетах.
Не является исключением и Банк России, на интернет-сайте которого
опубликована «Политика управления рисками». Краткая информация о работе
по развитию системы управления рисками приводится и в его годовом отчете.
Данная работа также популяризируется в рамках деятельности возглавляемого