17 Rizikos valdymo sistema

Bendroje vidaus kontrolės sistemoje įstaigos turėtų įdiegti visą įstaigą apimančią rizikos valdymo sistemą, kuri būtų taikoma visoms verslo linijoms ir vidaus padaliniams, įskaitant vidaus kontrolės funkcijų vykdytojus, visiškai atsižvelgiant į visų jos rizikos pozicijų ekonominę esmę. Rizikos valdymo sistema turėtų sudaryti galimybę įstaigai priimti visiškai pagrįstus sprendimus dėl rizikos prisiėmimo. Rizikos valdymo sistemoje turėtų būti atsižvelgta į balansinę ir nebalansinę riziką, faktinę riziką ir būsimą riziką, kuri galėtų kilti įstaigai. Rizika turėtų būti vertinama taikant aukštynkryptį ir žemynkryptį požiūrius, verslo linijose ir tarp jų, visoje įstaigoje ir konsoliduotu ar iš dalies konsoliduotu lygmeniu nuosekliai vartojant terminus ir taikant suderintą metodiką. Į rizikos valdymo sistemą turėtų būti įtraukta visa svarbi rizika – tinkamai atsižvelgiant į finansinę ir nefinansinę riziką, įskaitant riziką, susijusią su kreditais, rinka, likvidumu, koncentracija, veikla, IT, reputacija, teisės aspektais, elgesiu, atitiktimi reikalavimams, susijusiems su kova su pinigų plovimu ir teroristų finansavimu bei kitais nusikaltimais, ASV kriterijais ir strateginiais aspektais.

Į įstaigos rizikos valdymo sistemą turėtų būti įtraukta politika, procedūros, rizikos ribos ir rizikos kontrolės priemonės, užtikrinant tinkamą ir nuoseklų rizikos nustatymą, matavimą ar vertinimą, stebėseną, valdymą, mažinimą ir pranešimą apie ją laiku verslo linijoje, įstaigoje ir konsoliduotu arba iš dalies konsoliduotu lygmeniu.

Įstaigos rizikos valdymo sistemoje turėtų būti nustatytos konkrečios gairės dėl jos strategijų įgyvendinimo. Tam tikrais atvejais šiose gairėse turėtų būti nustatytos ir palaikomos vidaus ribos, atitinkančios įstaigos rizikos apetitą ir suderinamos su jos patikima veikla, finansine galia, kapitalo baze ir strateginiais tikslais. Įstaigos rizikos profilis turėtų atitikti šias nustatytas ribas. Rizikos valdymo sistema turėtų būti užtikrinama, kad, pažeidus rizikos ribas, būtų taikomas nustatytas klausimo perdavimo spręsti aukštesniu lygmeniu procesas pagal atitinkamą paskesnių veiksmų procedūrą.

Turėtų būti atliekama nepriklausoma rizikos valdymo sistemos vidaus peržiūra, pvz., kurią atlieka vidaus audito funkcijos vykdytojai, ir ji turėtų būti reguliariai vertinama iš naujo atsižvelgiant į įstaigos rizikos apetitą bei rizikos valdymo funkcijos vykdytojų ir rizikos komiteto (jei jis įsteigtas) pateiktą informaciją. Veiksniai, į kuriuos reikėtų atsižvelgti, apima vidaus ir išorės pokyčius, įskaitant balanso ir įplaukų pokyčius, padidėjusį įstaigos veiklos, rizikos profilio ar veiklos struktūros sudėtingumą, geografinę plėtrą, susijungimą ir įsigijimą bei naujų produktų ar verslo linijų atsiradimą.

Nustatydama ir matuodama ar vertindama riziką, įstaiga turėtų parengti tinkamą metodiką, kurią sudarytų ir perspektyvios, ir retrospektyvios priemonės. Taikant metodiką turėtų būti įmanoma sujungti verslo linijų rizikos pozicijas, ji turėtų padėti nustatyti rizikos koncentracijas. Į šias priemones turėtų būti įtrauktas faktinės rizikos profilio vertinimas atsižvelgiant į įstaigos rizikos apetitą, nustatytos ir vertinamos galimos ir nepalankiausiomis sąlygomis kylančios rizikos pozicijos įvairiomis numanomomis neigiamomis aplinkybėmis, palyginti su įstaigos pajėgumu prisiimti riziką. Taikant priemones turėtų būti įmanoma gauti informaciją apie bet kokį būtiną rizikos profilio koregavimą. Kurdamos nepalankiausių sąlygų scenarijus, įstaigos turėtų daryti pakankamai konservatyvias prielaidas.

Įstaigos turėtų atsižvelgti į tai, kad kiekybinio vertinimo metodikų, įskaitant bandymus nepalankiausiomis sąlygomis, rezultatai labai priklauso nuo modelių apribojimų ir prielaidų (įskaitant sukrėtimo sunkumą ir trukmę ir pagrindines rizikos rūšis). Pavyzdžiui, modelių, susijusių su labai didele ekonominio kapitalo grąža, atsiradimą gali lemti modelių trūkumai (pvz., jei neįtraukta tam tikra svarbi rizika), o ne puiki įstaigos strategija arba pavyzdinis jos įgyvendinimas įstaigoje. Taigi nustatant prisiimamos rizikos lygį turėtų būti remiamasi ne tik kiekybine informacija ar modelio rezultatais, bet ir kokybiniu požiūriu (įskaitant ekspertų vertinimą ir kritinę analizę). Reikėtų aiškiai atsižvelgti į svarbias makroekonominės aplinkos tendencijas ir duomenis, siekiant nustatyti jų galimą poveikį pozicijoms ir portfeliams.

Pagrindinė atsakomybė už rizikos vertinimą tenka tik įstaigai – atitinkamai ji turėtų kritiškai vertinti savo riziką ir neturėtų vadovautis vien išorės vertinimais. Pavyzdžiui, įstaiga turėtų patvirtinti įsigytą rizikos modelį ir pritaikyti jį savo individualioms aplinkybėms siekdama užtikrinti, kad modelis padėtų tiksliai ir išsamiai nustatyti ir analizuoti riziką.

Įstaigos turėtų puikiai išmanyti modelių apribojimus ir rodiklius, naudoti ne tik kiekybinio, bet ir kokybinio rizikos vertinimo priemones (įskaitant ekspertų nuomones ir kritinę analizę).

Be pačių atliekamo vertinimo, įstaigos gali atlikti išorės rizikos vertinimus (įskaitant dėl išorės kredito reitingų arba įsigytų išorės rizikos modelių). Įstaigos turėtų visiškai suvokti tikslią tokių vertinimų taikymo sritį ir apribojimus.

Reikėtų sukurti skaidrius reguliarių ataskaitų teikimo mechanizmus, kad valdymo organas, jo rizikos komitetas (jei jis įsteigtas) ir visi svarbūs įstaigos padaliniai laiku gautų tikslias, glaustas, suprantamas ir prasmingas ataskaitas, taip pat galėtų dalytis svarbia informacija apie rizikos nustatymą, matavimą ar vertinimą, stebėseną ir valdymą. Ataskaitų teikimo sistema turėtų būti aiškiai apibrėžta ir įforminta dokumentais.

Visam rizikos valdymo procesui, įskaitant peržiūros ir sprendimų priėmimo procesus, itin svarbus veiksmingas bendravimas ir rizikos bei rizikos strategijos suvokimas – tai padeda išvengti sprendimų, dėl kurių gali netyčia padidėti rizika. Kad ataskaitos apie riziką būtų teikiamos veiksmingai, būtina nuodugniai vidaus lygmeniu apsvarstyti rizikos strategiją ir svarbius duomenis apie riziką (pvz., pozicijos ir pagrindinius rizikos rodiklius) bei jais dalintis horizontaliai visoje įstaigoje ir vertikaliai valdymo grandinėje.