47
главным аудитором Банка России Экспертного совета по регулированию,
методологии внутреннего аудита, внутреннего контроля и управления рисками
в Банке России и финансовых организациях, а также Консультативного совета
по аудиторской деятельности центральных (национальных) банков государств –
участников ЕАЭС. Однако, хотя сам факт декларирования и имеет
положительный эффект, он будет нивелирован, если то, что декларируется, не
будет соответствовать практике.
Более того, появление в СМИ сведений о реализации на стороне
регулятора рисков, воспринимаемых в профессиональной среде как
недопустимый факт (утечки конфиденциальной информации, признаки
коррупции, нарушения непрерывности деятельности и др.), еще и вызовет
вопросы о доверии к регулятору в целом. Неслучайно при появлении в СМИ
подобных сообщений реакция на них регуляторов практически мгновенна – в
части опровержения или сообщения о принимаемых мерах.
Еще одним аргументом за использование регулятором системного
подхода к управлению рисками, также вытекающего из постулата о важности
авторитета регулятора, является то, что в кризисные периоды он не может
оставаться в стороне от происходящего.
Неслучайно после кризиса 2008 г. многие регуляторы стали уделять
повышенное внимание экономии расходов. И в такой ситуации потенциал
системного подхода к управлению рисками как нельзя лучше подходит и для
регуляторов.
Более того, с учетом масштабов деятельности регуляторов и
традиционно консервативного характера их деятельности данный потенциал, на
наш взгляд, даже выше, чем в коммерческих организациях.
Но все-таки главным, по нашему мнению, аргументом за использование
регулятором системного подхода к управлению операционными рисками
является вытекающая из целей его деятельности роль регулятора как риск-
менеджера для финансовой системы.
48
С учетом того что любой операционный риск – это риск недостижения
поставленных целей, в самом агрегированном виде можно обозначить всего
один риск регулятора – риск ненадлежащего выполнения функций,
возложенных законодательством, а именно – функций риск-менеджера для
финансовой системы. Таким образом, вся суть управления как операционными,
так и иными видами рисков регулятора в конечном итоге сводится к
минимизации рисков для финансовой системы.
Даже риски утраты активов будут важны в конечном итоге в той мере, в
которой они препятствуют достижению целей деятельности. В этой связи
представляется спорной нередко излагаемая в экономической литературе
позиция о наличии у регуляторов хозяйственных рисков (закупки, управление
решениями в области ИТ (информационных технологий) и т.д.), поскольку вся
деятельность регулятора в конечном итоге подчинена одной цели –
обеспечению выполнения его функций.
Правоохранители расследуют случаи мошенничества, которые связаны с
использованием названия «Агентство по страхованию вкладов» (АСВ), пишет
«Коммерсант» со ссылкой на источники.
По их словам, злоумышленники создали ООО «АСВ капитал», название
которого созвучно с аббревиатурой Агентства по страхованию вкладов, и
предлагали заинтересованным лицам купить имущество обанкротившихся
банков. После получения аванса они исчезали.
«АСВ капитал» злоумышленники позиционировали как «управляющую
компанию в ликвидационных процедурах финансовых организаций,
выступающую в защиту интересов кредиторов и лиц, пострадавших от
ликвидаций банков».
Процедурой конкурсного производства кредитных организаций
официально занимается только АСВ. «Название «АСВ капитал» ассоциируется
со структурами, занимающимися непрофильными активами у госбанков, по
аналогии с компаниями «Сбербанк Капитал», «ВТБ Капитал», – пояснил
49
источник газеты, близкий к одному из пострадавших от действий мошенников.
Сейчас организаторы «АСВ капитал» уже задержаны.
Неудивительно, что риски обеспечивающих направлений (например, в
области ИТ) нередко оказываются выше рисков основного функционала.
Данное обстоятельство нашло отражение в выступлении известного
португальского экономиста, главы Банка Португалии Карлоса Косты на
прошедшей в сентябре 2017 г. в Лиссабоне совместной конференции Банка
Португалии и ЕЦБ по вопросам риск-менеджмента: «Искусство риск-
менеджмента регулятора заключается в том, чтобы управлять рисками, не
выпуская из виду две главные цели его деятельности – финансовую и ценовую
стабильность» (Da Silva Costa, 2017). Возвращаясь к основной мысли данного
подраздела, следует отметить, что для понимания рисков регулятора можно
ограничиться одним агрегированным риском.
Но такой подход неприменим для целей практического управления
рисками – управлять можно только конкретными, осязаемыми на практике,
событиями с понятными «виновниками», причинами и последствиями. Поэтому
риски регулятора необходимо понимать как множество конкретных событий в
его процессах, а также во внешней среде, способных прямо или косвенно
повлиять на выполнение функции риск-менеджера для финансовой системы.
Только через такую призму можно понять значимость риска. Таким
образом, риски для выполнения функции риск-менеджера финансовой системы
фактически раскладываются на так называемые собственные риски регулятора
и на риски окружающей его внешней среды. И здесь как нельзя лучше
пригодится использование системного подхода к управлению рисками,
позволяющего эффективно идентифицировать риски, определять их
конкретных «владельцев», оценивать риски и реагировать на них.
50
2.3. Пути совершенствования и рекомендации по снижению операционных
рисков банка
Раскрытые в предыдущем разделе различия между регуляторами и
коммерческими организациями предопределяют отличия не только в «точках
полезности» системного подхода к управлению рисками, но и в настройках
системы и проблематике ее применения.
Данное обстоятельство, в частности, отмечал в выступлении на
упомянутой ранее конференции в Лиссабоне бывший глава Банка Финляндии
Эркки Лииканен: «Финансовые риски – это та область, где специфичная
природа регулятора проявляется в наибольшей степени, обусловливая
множество нюансов и проблем в области управления рисками в сравнении с
обычными банками». Тезис прозвучал применительно к финансовым рискам,
но очевидно, что он в равной степени применим и к операционным рискам.
Российские банки зафиксировали снижение попыток мошенничества по
отношению к клиентам, однако это, скорее всего, временная тенденция,
предупреждают они. В кредитных организациях напомнили, что мошенники
продолжают придумывать все больше способов обмана, и описали новые
схемы, которыми пользуются нарушители.
Количество попыток обмануть банковских клиентов с помощью
социальной инженерии (манипулирование поведением человека с
использованием социальных и психологических навыков) в мае этого года
снизилось, однако мошенники продолжают придумывать новые схемы. В мае
по сравнению с апрелем число попыток мошенничества по отношению к
клиентам Сбербанка уменьшилось на 6%
22
.
На текущий момент рано подводить итоги по маю, однако по
предварительным оценкам наметилась положительная динамика —
столкнувшихся с мошенничеством клиентов обращается на 17% меньше, чем в
начале года.
22
Электронное издание Газета.Ru. - https://www.gazeta.ru/business/2020/06/02/13105153.shtml
51
Такой спад носит сезонный характер и связан с майскими праздниками,
уточнили в Сбербанке. В кредитной организации не видят оснований полагать,
что долгосрочный тренд на рост мошенничества с использованием методов
социальной инженерии сменился спадом.
«Активность мошенников может несколько снизиться в летний период
отпусков, когда россияне отправятся на отдых. Но с конца августа – начала
сентября число мошеннических схем может увеличиться», — предупреждает
партнер и директор компании «Интеллектуальный Резерв» Павел Мясоедов. По
его словам, наиболее распространенные летом способы обмана все так же будут
связаны с кражей информации о банковских картах, но к ним еще добавятся
смс-рассылки со ссылками, ведущими на фейковые сайты.
Население знает, что государство оказывает гражданам финансовую
помощь, производит выплаты семьям с детьми, говорит специалист по
кибербезопасности:
«Соответственно, мошенники будут воровать (либо покупать готовые)
телефонные базы и методично звонить абонентам, представляясь сотрудниками
крупных банков или даже госорганов. Все, что нужно жертве – ввести данные
банковской карты, перейдя по ссылке в смс от «специалиста». Как только
данные становятся известны злоумышленникам, они похищают доступные
остатки средств на карте», — рассказывает «Газете.Ru» Мясоедов о
популярной схеме.
Эксперт также предупреждает о схеме, когда мошенники просят человека
оформить на себя кредит в режиме онлайн — якобы это подтвердит данные
клиента банка, а средства ему потом вернутся, но, естественно, человек
остается с огромным долгом.
«По мере того, как люди будут узнавать о способах обмана, мошенники
будут придумывать новые их виды, вводя население в заблуждение», — уверен
Мясоедов.
В Сбербанке за последние два месяца зафиксировали появление десятков
новых мошеннических схем, большинство из которых имеют прямое или
52
косвенное отношение к теме коронавируса, рассказали в пресс-службе. В числе
наиболее актуальных – схемы, связанные с сайтами объявлений и фейковыми
службами доставки.
«Например, на сайте объявлений выставляются товары по цене ниже, чем
у остальных. При обращении покупателя «продавец» сообщает, что живёт в
другом городе, и нужно оформить доставку. Для оформления покупки нужно
пройти по ссылке, которую он пересылает клиенту, — описали в Сбербанке
распространенную схему обмана. — Проходя по ссылке, человек попадает на
поддельный сайт одной из компаний по доставке, на которой ему предлагают
оплатить товар и доставку с банковской карты. Он оплачивает товар, но ничего
не получает взамен: в реальности он перевёл деньги на карту мошенника».
Даже получив деньги, злоумышленники могут убеждать, что произошла
ошибка операции и деньги будут возвращены, предупреждают в Сбербанке.
Затем они отправляют другую ссылку, с формой возврата, и ситуация
повторяется, только под другим видом. Таким образом, покупатель
обманывается дважды.
Существует еще один вариант этой схемы – «сбой на сайте». Мошенник
утверждает, что покупку нельзя оплатить на сайте площадки из-за технического
сбоя, и присылает ссылку якобы от службы поддержки.
Склонность регулятора к риску традиционно низкая. Он более
консервативен в своих решениях, и проведенный в данной статье анализ
наглядно это подтверждает – у регулятора нет задачи постоянно идти на риск,
по крайней мере в таких масштабах и качестве, как в случае с коммерческими
организациями.
Более того, принятие высоких рисков в силу ресурсов и полномочий
регулятора может привести к негативным последствиям для всей финансовой
системы. Отличия в риск-аппетите обусловливают и необходимость
осторожного внедрения регуляторами в свою деятельность новых технологий и
передачи функций на аутсорсинг.
53
Данным вопросам было уделено особое внимание на конференции
IORWG, прошедшей в мае 2019 г. в Чили. На конференции отмечалось, что,
несмотря на выгоды от внедрения передовых технологий и аутсорсинга, нельзя
упускать из внимания и риски, которые они порождают (в том числе
киберугрозы, правовые риски, риски утечки данных).
Иначе говоря, новые технологии и аутсорсинг могут создавать риски,
которые становятся не меньшей, а возможно, и большей угрозой. Например,
около 70% регуляторов в той или иной мере применяют облачные технологии,
при этом выявлено более 15 связанных с их применением новых рисков (в том
числе потеря контроля за системами, шпионаж, взломы, потеря связи,
вредоносное вмешательство и др.).
В этой связи на конференции подчеркивалась необходимость
соизмерения «аппетита» к внедрению передовых практик с задачами
обеспечения непрерывности деятельности, в том числе наличия «стратегии
выхода». У более низкого риск-аппетита регулятора есть и обратная сторона: в
отличие от коммерческой организации регулятор не может отказаться от
осуществления тех или иных видов деятельности, а значит, и от связанных с
ними рисков, снизить которые нередко не представляется возможным. В такой
ситуации ключевой задачей становится мониторинг эффективности
применяемых мер реагирования на остаточные риски.
Суть следующего заметного отличия систем управления операционными
рисками в регуляторах заключается в том, что их операционные риски нельзя
трактовать в классическом виде – как риски финансовых потерь.
Операционный риск – это всегда риск отклонения от заданных целей. В случае
же имеющего место у регуляторов качественного характера рисков возникает
логичный вопрос, как измерить риск и какие негативные события в такой
парадигме вообще считать значимыми.
Решение данной задачи обеспечивается посредством восприятия
операционного риска регулятора как негативного события, способного прямо
или косвенно повлиять на достижение целей его деятельности. На практике это
54
реализуется через анализ процессов на предмет наличия в них событий,
которые могут оказать воздействие на любой из следующих параметров:
деятельность, репутация и финансовые активы; последний из этих параметров
принимается во внимание с учетом его влияния на первые два.
При этом декомпозиция рисков для ценовой и финансовой стабильности
на операционную деятельность регулятора осуществляется до того уровня, на
котором существует потребность в детальном анализе. Любая значимая
проблема может рассматриваться как источник или мера реагирования на более
высокоуровневый риск или же выноситься на уровень отдельного риска.
Регулятор планирует вместе с банками обсуждать, какие модели ЦБ будет
валидировать, на каких условиях, какие требования к моделям будут
установлены.
И новое направление в надзоре - это надзор за моделями, который мы
тоже будем развивать. Потому что после того, как модель отвалидирована, за
ней, безусловно, нужно будет надзирать. Не за банком, не за людьми, а за
моделью, каким образом она эволюционирует, какие изменения в нее вносятся,
каким образом меняется ее предсказательная сила или каким образом меняется
качество решений, которое предлагает та или иная модель", - рассказал зампред
ЦБ. Он уточнил, что предполагается также сформировать требования к
качеству данных и процессу их передачи.
В 2019 году мировой рынок систем противодействия мошенничеству был
оценен в 13,59 млрд долларов США. По прогнозам на 2024 год, масштаб
должен достигнуть 31,15 млрд долларов США (CAGR = 16,42 %). Это связано с
повышением возможностей мошенничества из-за увеличения количества
транзакций (как денежных, так и ориентированных на информацию),
технологических достижений, а также общей цифровизации финансового
сектора.
В 2018 г. принятый Федеральный закон от 27.06.2018 № 167-ФЗ «О
внесении изменений в отдельные законодательные акты РФ в части
противодействия хищению денежных средств» вновь накалил вопрос об
55
антифрод-системах, особенно для тех представителей кредитно-финансового
сектора, для которых акты реализации транзакционного мошенничества были
невелики и по факту измерялись ниже стоимости самих антифрод-решений. По
данным Сбербанка, за 2018 год с помощью внедренной антифрод-системы
удалось сохранить более 32 млрд рублей, принадлежащих вкладчикам
Например, конкретное узкоспециализированное решение не может само
по себе закрывать требования Федерального закона от 27.06.2018 № 167-ФЗ «О
внесении изменений в отдельные законодательные акты РФ в части
противодействия хищению денежных средств» и существовать как независимая
платформа.
Исходя из этого мы разделили существующие системы противодействия
банковскому мошенничеству на 3 класса:
1 класс. Решения данного класса направлены на выявление и
идентификацию следов мошенничества и выявление аномалий.
2 класс. Решения данного классы направлены на идентификацию
инструментов мошенничества, причины или риска (например, наличие
вредоносных программ, компонентов удаленного управления, компонентов
фишинга).
3 класс. Решения данного класса решают узкоспециализированные
задачи. В частности, они могут быть предназначены для распознавания
изображений для выявления мошенничества, могут быть оснащены системой
распознавания речи.
Таким образом, вопросы управления финансовыми рисками достаточно
глубоко проработаны как в теории, так и на практике, но с операционными
рисками дело обстоит иначе. Причина – не в разной значимости двух видов
рисков (и те и другие могут иметь катастрофические последствия для
организации), а в их разной природе и в более сложных, в случае с
операционными рисками, причинно-следственных связях между источниками и
последствиями рисков.
56
Эти обстоятельства делают крайне непростой задачей не только оценку,
но и само понимание операционных рисков. И если в отношении операционных
рисков коммерческих институтов многое уже сделано в значительной мере
благодаря усилиям надзорных органов, для которых это вопрос финансовой
стабильности, то в самих надзорных органах (центральных банках и других
регуляторах, далее – регуляторы) тенденция к внедрению систем управления
операционными рисками наметилась только в последние два десятилетия.
В данной работе мы анализируем предпосылки к формированию в
международной практике системного подхода к управлению операционными
рисками и проводим сравнительный анализ целесообразности его применения
регуляторами и коммерческими институтами. Анализ подтверждает
обоснованность наметившейся тенденции и свидетельствует, что в силу
специфики регуляторов при внедрении в их деятельность систем управления
операционными рисками на первый план выходят вопросы риск-культуры и
поддержки высшего менеджмента.