17 Рамка за управление на риска

Функциите за вътрешен контрол следва редовно да представят на ръководния орган писмени доклади относно основните установени нередности. Тези доклади следва да включват, за всяка нова установена съществена нередност, съответните рискове, оценка на въздействието, препоръки и коригиращи мерки, които да бъдат предприети. Ръководният орган следва да предприеме последващи действия във връзка с констатациите от функциите за вътрешен контрол своевременно и по ефективен начин и да изисква подходящи коригиращи действия. Следва да бъде въведена формална процедура за последващи действия по констатациите и предприетите коригиращи мерки.

Като част от общата рамка за вътрешен контрол институцията следва да има цялостна рамка за управление на риска, която обхваща всички нейни бизнес линии и вътрешни звена, включително функциите за вътрешен контрол и като признава изцяло икономическата същност на всичките си рискови експозиции. Рамката за управление на риска следва да позволява на институцията да взема напълно информирани решения относно поемането на рискове. Рамката за управление на риска следва да включва балансови и задбалансови рискове, както и настоящите рискове и бъдещите рисковете, на които институцията може да е изложена. Рисковете следва да се оценяват отдолу нагоре и отгоре надолу, в рамките на бизнес линиите и между тях, като се използва съгласувана терминология и съвместими методологии в цялата институция и на консолидирано или подконсолидирано ниво. Всички относими рискове следва да бъдат включени в рамката за управление на риска, като се отделя подходящо внимание както на финансовите, така и на нефинансовите рискове, включително кредитния, пазарния, ликвидния, риска от концентрация, операционния, ИТ, репутационния, правния, поведенческия и риска от неспазване на изискванията относно борбата с изпирането на пари/финансирането на тероризма и други финансови престъпления, ЕСУ и стратегическите рискове.

Рамката за управление на риска на дадена институция следва да включва политики, процедури, рискови лимити и механизми за контрол на риска, които осигуряват подходящо, своевременно и непрекъснато установяване, измерване или оценка, наблюдение, управление, редуциране и докладване на рисковете на ниво бизнес линия, на ниво институция и на консолидирано или подконсолидирано ниво.

Рамката за управление на риска на институцията следва да предоставя конкретни насоки относно прилагането на нейните стратегии. Тези насоки следва, ако е подходящо, да създават и поддържат вътрешни лимити, които съответстват на рисковия апетит на институцията и са съизмерими с нейното надеждно функциониране, финансово състояние, капиталова база и стратегически цели. Рисковият профил на институцията следва да се поддържа в рамките на тези установени лимити. Рамката за управление на риска следва да гарантира, че когато възникнат нарушения на рисковите лимити, съществува определен процес за тяхното съобщаване и за справянето с тях, придружен от подходяща процедура за проследяване.

Рамката за управление на риска следва да подлежи на независим вътрешен преглед, например извършен от функцията за вътрешен одит, и на редовно преразглеждане съобразно рисковия апетит на институцията, като се взема предвид информацията от функцията за управление на риска и от комитета по риска, ако е създаден такъв. Факторите, които следва да бъдат взети под внимание, включват вътрешни и външни промени, включително промени в баланса и приходите; евентуално усложняване на дейността на институцията, нейния рисков профил или оперативна структура; географска експанзия; сливания и придобивания; и въвеждане на нови продукти или бизнес линии.

При установяването и измерването или оценяването на рисковете, институцията следва да разработи подходящи методологии, включващи както прогнозни, така и инструменти, основани на исторически данни. Методологиите следва да позволяват обобщеното разглеждане на рисковите експозиции от бизнес линии и да улесняват определянето на рисковите концентрации. Инструментите следва да включват оценката на настоящия рисков профил съобразно рисковия апетит на институцията, както и установяването и оценката на потенциалните и стресираните рискови експозиции в резултат на редица неблагоприятни обстоятелства спрямо капацитета на институцията за поемане на риск. Инструментите следва да предоставят информация относно корекциите на рисковия профил, които могат да бъдат необходими. Институциите следва да правят достатъчно консервативни допускания при изготвянето на неблагоприятни сценарии.

Институциите следва да отчитат факта, че резултатите от методологиите за количествена оценка, включително стрес тестовете, са силно зависими от ограниченията и допусканията на моделите (вкл. степента и продължителността на шока и свързаните с него рискове). Например модели, които показват много висока възвращаемост на икономическия капитал, може да са следствие от слаби места в моделите (напр. изключване на някои значими рискове), а не от по - добра стратегия или отлично изпълнение на стратегия от страна на институцията. Следователно определянето на нивото на поетия риск не трябва да се основава единствено на количествена информация или изходни данни от модела; то трябва да се състои и от качествен подход (вкл. експертна оценка и критичен анализ). На съответните отнасящи се до околната среда макроикономически тенденции следва да се обърне изрично внимание, за да се установи тяхното потенциално въздействие върху експозициите и портфейлите.

Крайната отговорност за оценката на риска принадлежи единствено на институцията, която съответно следва да оцени критично рисковете си и да не разчита единствено на външни оценки. Например дадена институция следва да валидира закупен модел за оценка на риска и да го адаптира според индивидуалните си нужди, за да гарантира че моделът обхваща и анализира риска точно и изчерпателно.

Институциите следва да бъдат напълно наясно с ограниченията на моделите и показателите и да използват не само количествени, но и качествени инструменти за оценка на риска (вкл. експертна оценка и критичен анализ).

В допълнение към собствените оценки на институциите, те могат да използват външни оценки на риска (вкл. външни кредитни рейтинги или рискови модели, закупени от външни доставчици). Институциите следва да бъдат напълно запознати с точния обхват на тези оценки и техните ограничения.

Редовните и прозрачните механизми за докладване следва да бъдат определени така, че ръководният орган, неговият комитет по риска, ако е създаден такъв, и всички относими звена в институцията да могат да получават своевременно доклади, които са изготвени в точна, кратка, разбираема и съдържателна форма, и да могат да съобщят съответната информация за установяване, измерване или оценка, наблюдение и управление на рисковете. Рамката за докладване следва да бъде добре определена и документирана.