17 Okvir upravljanja rizicima

U sklopu sveobuhvatnog okvira unutarnje kontrole institucije trebaju imati holistički okvir upravljanja rizicima na razini institucije koji se primjenjuje u svim poslovnim linijama i unutarnjim jedinicama, uključujući kontrolne funkcije, i kojim se u potpunosti prepoznaje gospodarska priroda njezine cjelokupne izloženosti rizicima. Okvirom upravljanja rizicima treba se omogućiti insti tuciji da donosi odluke o preuzimanju rizika na temelju potpune informiranosti. Okvirom upravljanja rizicima trebaju se obuhvatiti bilančni i izvanbilančni rizici te stvarni rizici i budući rizici kojima bi institucija mogla biti izložena. Rizike treba pro cjenjivati odozdo prema gore i odozgo prema dolje unutar poslovnih linija i među njima uporabom dosljedne terminologije i kompatibilnih metodologija u cijeloj instituciji i na konsolidiranoj ili potkonsolidiranoj razini. Okvirom upravljanja rizicima trebaj u biti obuhvaćeni svi bitni rizici uz odgovarajuće razmatranje financijskih i nefinancijskih rizika, uključujući kreditni, tržišni, likvidnosni, koncentracijski i operativni rizik, rizik informacijske tehnologije, reputacijski i pravni rizik, rizik povezan s ponašanjem i obvezom usklađenosti u području sprječavanja pranja novca i financiranja terorizma te drugih financijskih kaznenih djela, ekološke, socijalne i upravljačke rizike te strateški rizik.

Okvir upravljanja rizicima institucije treba uključivati politike, postupke, ograničenja rizika i kontrole rizika kojima se osigurava prikladno, pravodobno i neprekidno utvrđivanje, mjerenje ili procjena, praćenje i smanjenje rizika te upravljanje i izvješćivanje o njima na razini poslovne linije i institucije te na konsolidiranoj ili potkonsolidiranoj razini.

U okviru upravljanja rizicima institucije trebaju se pružiti posebne smjernice o provedbi njezinih strategija. Tim se smjernicama, kad je to prikladno, trebaju utvrditi i održavati unutarnja ograničenja dos ljedna sklonosti institucije preuzimanju rizika i razmjerna njezinu dobrom radu, financijskoj snazi, kapitalnoj osnovi i strateškim ciljevima. Profil rizičnosti institucije treba se održavati unutar tih utvrđenih ograničenja. Okvirom upravljanja rizicima t reba osigurati da postoji definirani postupak za upozoravanje na prekoračenja ograničenja rizika i njihovo rješavanje odgovarajućim postupkom daljnjeg praćenja.

Okvir upravljanja rizicima treba podvrgavati neovisnoj unutarnjoj provjeri, koju će provesti np r. funkcija unutarnje revizije, i redovitoj ponovnoj ocjeni njegove usklađenosti sa sklonošću institucije preuzimanju rizika, uzimajući pritom u obzir informacije dobivene od funkcije upravljanja rizicima i, ako je osnovan, odbora za rizike. Čimbenici koji bi se trebali razmotriti obuhvaćaju unutarnja i vanjska kretanja, uključujući promjene u bilanci i prihodima, povećanje složenosti poslovanja, profila rizičnosti ili operativne strukture institucije, geografsko širenje, spajanja i pripajanja te uvođenje n ovih proizvoda ili poslovnih linija.

Pri utvrđivanju i mjerenju ili procjeni rizikâ institucija treba razviti odgovarajuće metodologije, uključujući alate koji se odnose na budućnost i one koji se odnose na prošlost. Metodologijama treba omogućiti agregiranje izloženosti rizicima na razini svih poslovnih linija i pružanje potpore u utvrđivanju koncentracija rizika. Alati trebaju uključivati procjenu stvarnog profila rizičnosti u odnosu na sklonost institucije preuzimanju rizika te utvrđivanje i procjenu pot encijalnih i stresnih izloženosti rizicima u odnosu na sposobnost institucije za podnošenje rizika u različitim pretpostavljenim nepovoljnim okolnostima. Alatima se trebaju pružiti informacije o svim prilagodbama profila rizičnosti koje bi mogle biti potre bne. Pri sastavljanju stresnih scenarija institucije trebaju primijeniti dovoljno konzervativne pretpostavke.

Institucije trebaju uzeti u obzir to da rezultati kvantitativnih metodologija procjene, uključujući testiranje otpornosti na stres, uvelike ovise o ograničenjima i pretpostavkama modelâ (uključujući težinu i trajanje šoka i osnovne rizike). Na primjer, modeli kojima se utvrde vrlo visoki povrati od ekonomskog kapitala možda proizlaze iz slabosti u modelima (npr. isključivanje određenih relevantnih r izika) umjesto iz izvanredne strategije ili izvrsne provedbe strategije institucije. Utvrđivanje razine preuzetog rizika stoga se ne treba temeljiti samo na kvantitativnim informacijama ili ishodima modela nego treba uključivati i kvalitativni pristup (ukl jučujući stručnu prosudbu i kritičku analizu). Relevantna kretanja u makroekonomskom okruženju i s tim povezani podatci trebaju se izričito razmotriti kako bi se utvrdio njihov učinak na izloženost i portfelje.

Krajnju odgovornost za procjenu rizika snosi isključivo institucija, koja stoga treba kritički procijeniti rizike i suzdržati se od oslanjanja isključivo na vanjske procjene. Na primjer, institucija treba provjeriti valjanost kupljenog modela rizika i prilagoditi ga vlastitim okolnostima kako bi osig urala da se modelom precizno i sveobuhvatno bilježi i analizira rizik.

Institucije trebaju biti potpuno svjesne ograničenja modela i metrike te upotrebljavati ne samo kvantitativne nego i kvalitativne alate za procjenu rizika (uključujući stručnu prosudbu i kritičku analizu).

Osim vlastitih procjena institucije mogu upotrebljavati i vanjske procjene rizika (uključujući vanjski kreditni rejting ili modele rizika kupljene izvan institucije). Institucije trebaju biti potpuno svjesne točnog opsega tih procjena i njihovih ograničenja.

Trebaju se uspostaviti redoviti i transparentni mehanizmi izvješćivanja kako bi se upravljačkom tijelu, njegovu odboru za rizike, ako je osnovan, i svim relevantnim jedinicama u instituciji pravodobno dostavljala precizna, sažeta, razumljiva i smislena izvješća te kako bi prethodno navedena tijela mogla razmjenjivati relevantne informacije o utvrđivanju, mjerenju ili procjeni i praćenju rizika te upravljanju njima. Okvir izvješćivanja treba dobro utvrditi i dokumentirati.

Učinkovita komunikacija i svijest o rizicima te strategija upravljanja rizicima ključne su za cjelokupan postupak upravljanja rizicima, uključujući postupke preispitivanja i odlučivanja, i pomažu u sprječavanju donošenja odluka koje bi nesvjesno mogle povećati rizik. Učinkovito izvješćivanje o rizicima uključuje dobro unutarnje razmatranje strategije upravljanja rizicima i relevantnih podataka o riziku (npr. izloženosti i ključnih pokazatelja rizika) te obavješćivanje o njima po horizontalnoj liniji unutar institucije i vertikalnoj liniji u upravljačkoj hijerarhiji.