17 Kockázatkezelési keretrendszer

Az átfogó belsőkontroll - keretrendszer részeként az intézményeknek holisztikus és az egész intézményre kiterjedő kockázatkezelési keretrendszert kell kidolgozniuk, amely valamennyi üzletágat és belső szervezeti egységet magában foglal, a belsőkontroll - részleget is beleértve, teljes mértékben elismerve az összes kockázati kitettségének gazdasági tartalmát. A kockázatkezelési keretrendszer lehetővé teszi az intézmény számára, hogy a kockázatvállalással kapcsolatban teljes mértékben megalapozott döntéseket hozzon. A kockázatkezelési keretrendszer a mérlegen belüli és kívüli kockázatokra, valamint az intézményt esetleg érintő jelenlegi és jövőbeli kockázatokra egyaránt kiterjed. A kockázatokat alulról felfelé és felülről lefelé egyaránt értékelni kell, az üzletágakon belül és azok között, az egész intézményben, valamint konszolidált vagy szubkonszolidált szinten következetes terminológiát és összeegyeztethető módszertant alkalmazva. A kockázatkezelési keretrendszernek a pénzügyi és nem pénzügyi kockázatok kellő figyelembevételével valamennyi releváns kockázatra ki kell terjednie, beleértve a hitelezési, piaci, likviditási, koncentrációs, működési, informatikai, reputációs, jogi, magatartásbeli, a pénzmosás és terrorizmusfinanszírozás vagy más pénzügyi bűncselekmények elleni megfeleléssel kapcsolatos és stratégiai kockázatokat is.

Az intézmény kockázatkezelési keretrendszerének tartalmaznia kell olyan politikákat, eljárásokat, kockázati határértékeket és kockázatellenőrzéseket, amelyek biztosítják a kockázatok üzletági, intézményi és konszolidált vagy szubkonszolidált szinten, időben történő és folyamatos azonosítását, mérését vagy értékelését, nyomon követését, kezelését, csökkentését és bejelentését.

Az intézmény kockázatkezelési keretrendszere a stratégiái végrehajtásával kapcsolatban konkrét útmutatást is tartalmaz. Ezen útmutatás adott esetben megállapítja és fenntartja az intézmény kockázatvállalási hajlandóságának megfelelő és az intézmény megbízható működésével, pénzügyi erejével, tőkealapjával és stratégiai céljaival arányos belső limiteket. Az intézmény kockázati profilját e limiteken belül kell tartani. A kockázatkezelési keretrendszer biztosítja, hogy a kockázati limitek megsértése esetén legyen egy előre meghatározott eljárás ahhoz, hogy ezt a jogsértést jelezni és megfelelő nyomon követési eljárással kezelni lehessen.

A kockázatkezelési keretrendszert független, pl. a belső ellenőrzési feladatkör által végzett belső felülvizsgálatnak kell alávetni, majd az intézmény kockázatvállalási hajlandósága alapján rendszeresen újra kell értékelni, figyelembe véve a kockázatkezelési részlegtől és adott esetben a kockázatkezelési bizottságtól származó információkat. Többek között a következő tényezőket kell figyelembe venni: belső és külső fejlemények, például a mérleg és a bevétel változásai; az intézmény üzleti tevékenysége, kockázati profilja vagy működési struktúrája összetettségének fokozódása; földrajzi terjeszkedés; fúziók és felvásárlások; valamint új termékek vagy üzletágak bevezetése.

A kockázatok azonosítása és mérése vagy értékelése során az intézménynek megfelelő módszereket kell kidolgoznia, a jövőre vonatkozó és visszamenőleges eszközöket is beleértve. E módszerek lehetővé teszik az üzletágak szerinti kockázati kitettségek összesítését, és támogatják a kockázatok koncentrációjának azonosítását. Az eszközök közé tartoznak a következők: a tényleges kockázati profilnak az intézmény kockázatvállalási hajlandósága alapján történő értékelése, valamint különböző hátrányos körülmények fennállása esetén a potenciális és stresszhelyzeti kockázati kitettségnek az intézmény kockázatkezelési kapacitása alapján történő azonosítása és értékelése. Az eszközök információkat nyújtanak a kockázati profil esetlegesen szükséges kiigazításáról. Az intézményeknek a stresszhelyzeti forgatókönyvek kidolgozása során kellően konzervatív feltételezésekkel kell élniük.

Az intézményeknek figyelembe kell venniük, hogy a mennyiségi értékelési módszerek, például a stressztesztek eredményei rendkívüli mértékben függenek a modellek korlátaitól és feltételezéseitől (beleértve a sokkhatás súlyosságát és időtartamát, valamint a mögöttes kockázatokat). Például, ha egy modell a gazdasági tőke esetében nagyon magas hozamot jelez, az jelentheti a modell gyengeségét is (pl. releváns kockázatok figyelmen kívül hagyását), nem pedig azt, hogy az intézmény stratégiája kiváló, vagy hogy az intézmény nagyszerűen hajtja végre a stratégiát. A vállalt kockázat szintjének megállapítása ezért nem alapulhat kizárólag mennyiségi információkon vagy modellezési eredményeken; annak minőségi megközelítést is tartalmaznia kell (beleértve a szakértői értékelést és a kritikus elemzést). A releváns makrogazdasági környezeti trendekkel és adatokkal külön kell foglalkozni ahhoz, hogy a kitettségekre és portfóliókra gyakorolt potenciális hatásukat értékelni lehessen.

A végső kockázatértékelési felelősség kizárólag az intézményt terheli, amelynek ez alapján kritikusan kell értékelnie a kockázatokat, és nem szabad kizárólag külső értékelésekre támaszkodnia. Az intézménynek például validálnia kell a megvásárolt kockázati modellt, és azt saját egyéni körülményei alapján kell kalibrálnia annak biztosítása érdekében, hogy a modell pontosan és mindenre kiterjedően mérje és elemezze a kockázatot.

Az intézményeknek tisztában kell lenniük a modellek és metrikák korlátaival, és nem csupán mennyiségi, hanem minőségi kockázatelemzési eszközöket is használniuk kell (a szakértői értékelést és a kritikai elemzést is beleértve).

Az intézmények saját értékeléseiken felül külső kockázatértékelést is alkalmazhatnak (a külső hitelminősítéseket vagy külső féltől vásárolt kockázati modelleket is beleértve). Az intézményeknek tisztában kell lenniük az ilyen értékelések pontos alkalmazási körével és korlátaival.

Rendszeres és átlátható jelentéstételi mechanizmusokat kell kialakítani, hogy a vezető testület, annak kockázatkezelési bizottsága (ha van ilyen) és az intézmény valamennyi érintett szervezeti egysége gyors, pontos, tömör, érthető és értelmes jelentéseket kapjon, és megoszthassa a kockázatok azonosítására, mérésére vagy értékelésére, nyomon követésére és kezelésére vonatkozó releváns információkat. A jelentéstételi keretrendszert pontosan meg kell határozni és dokumentálni kell.

A kockázatokkal és a kockázatkezelési stratégiával kapcsolatos hatékony kommunikáció és tudatosság kulcsfontosságú a teljes kockázatkezelési folyamat szempontjából, a felülvizsgálati és döntéshozatali folyamatokat is beleértve, és segít megakadályozni azokat a döntéseket, amelyek nem tudatosan növelhetik a kockázatot. A kockázatok hatékony jelentése a kockázatkezelési stratégia és a releváns kockázati adatok megbízható belső mérlegelését és az intézményen belüli horizontális, valamint a vezetőségi láncon belül felfelé és lefelé történő kommunikációját is magában foglalja.