17 Riska pārvaldības sistēm a

Vispārējās iekšējās kontroles sistēmas ietvaros iestādēm būtu jāizveido visaptveroša iestādes līmeņa riska pārvaldības sistēma, kas aptver visas darbības jomas un iekšējās vienības, tostarp iekšējās kontroles funkciju struktūras, pilnībā atzīstot visu risku iedarbības ekonomisko nozīmi. Riska pārvaldības sistēmai būtu jānodrošina iestādei iespēja pieņemt pilnībā informētus lēmumus par riska uzņemšanos. Riska pārvaldības sistēmai būtu jāaptver gan riski, kas saistīti ar bilances pozīcijām, gan tie, kas attiecas uz ārpusbilances pozīcijām, kā arī pašreizējie riski un nākotnes riski, kuri var ietekmēt iestādi. Riski būtu jāizvērtē no apakšas uz augšu un no augšas uz apakšu darbības jomās un starp tām, izmantojot konsekventu terminoloģiju un salīdzināmu metodiku visā iestādē, kā arī konsolidētā vai daļēji konsolidētā līmenī. Visi būtiskie riski būtu jāiekļauj riska pārvaldības sistēmā, pienācīgi ņemot vērā gan finanšu, gan nefinanšu riskus, tostarp kredīta, tirgus, likviditātes, koncentrēšanas, operacionālos, IT, reputācijas, juridiskos, rīcības, atbilstību nelikumīgi iegūtu līdzekļu legalizācijas / teroristu finansēšanas risku un citu finansēšu noziegumu novēršanas prasībām un stratēģiskos riskus.

Iestādes riska pārvaldības sistēmā būtu jāiekļauj politikas, procedūras, riska ierobežojumi un riska kontroles pasākumi, kas nodrošina atbilstošu, savlaicīgu un pastāvīgu risku apzināšanu, izmērīšanu vai novērtēšanu, uzraudzību, pārvaldību, mazināšanu un paziņošanu darbības jomās, iestādē un konsolidētā vai daļēji konsolidētā līmenī.

Iestādes riska pārvaldības sistēmai būtu jānodrošina konkrēti norādījumi par tās stratēģiju īstenošanu. Attiecīgā gadījumā šiem norādījumiem būtu jānosaka un jāuztur iekšējie ierobežojumi, kas atbilst iestādes vēlmei uzņemties riskus un ir samērojami ar tās pareizu darbību, finansiālo spēku, kapitāla bāzi un stratēģiskajiem mērķiem. Iestādes riska profils būtu jāsaglabā šo noteikto ierobežojumu robežās. Riska pārvaldības sistēmai būtu jānodrošina, ka, rodoties riska ierobežojumu pārkāpumiem, var izmantot definētu procesu šo pārkāpumu paziņošanai tālāk un risināšanai ar piemērotu turpmākās rīcības procedūru.

Riska pārvaldības sistēmai būtu jāveic neatkarīga iekšējā pārskatīšana, kuru, piemēram, īsteno iekšējās revīzijas struktūra un kura tiek regulāri novērtēta, salīdzinot ar iestādes vēlmi uzņemties risku un ņemot vērā informāciju no riska pārvaldības funkcijas struktūras un riska komitejas, ja tāda ir izveidota. Būtu jāņem vērā arī tādi apstākļi kā iekšējās un ārējās izmaiņas, tostarp bilances un ieņēmumu izmaiņas, jebkurš iestādes darbības, riska profila vai darbības struktūras sarežģītības palielinājums, ģeogrāfiskā ekspansija, apvienošanās un iegādes, kā arī jaunu produktu vai darbības jomu izveide.

Apzinot un izmērot vai novērtējot riskus, iestādei būtu jāizstrādā atbilstošas metodikas, tostarp rīki, ar ko analizē nākotnes izredzes un pagātnē paveikto. Šādai metodikai būtu jānodrošina riska iedarbības apkopošana pa darbības jomām un jāsekmē riska koncentrācijas jomu apzināšana. Rīkiem būtu jāietver pašreizējā riska profila novērtējums, salīdzinot ar iestādes vēlmi uzņemties risku, kā arī potenciālās un pastiprinātās riska iedarbības apzināšana un novērtējums dažādos pieņemtos nelabvēlīgos apstākļos, salīdzinot ar iestādes riska kapacitāti. Šiem rīkiem būtu jāsniedz informācija par jebkuru pielāgošanos riska profilam, kas var būt nepieciešama. Izstrādājot spriedzes scenārijus, iestādēm būtu jāizdara atbilstoši un piesardzīgi pieņēmumi.

Iestādēm būtu jāņem vērā tas, ka kvantitatīva novērtējuma metodikas sniegtie rezultāti, tostarp spriedzes testos, ir ļoti atkarīgi no modeļu ierobežojumiem un pieņēmumiem (tostarp no satricinājuma smaguma un ilguma un tam pamatā esošajiem riskiem). Piemēram, ja modelis liecina par ļoti augstu atdevi no saimnieciskā kapitāla, tas var izrietēt no šā modeļa vājuma (piemēram, no dažu būtisku risku izslēgšanas), nevis no iestādes augstvērtīgas stratēģijas vai tās izcilas īstenošanas. Tādēļ, nosakot uzņemtā riska līmeni, nevajadzētu izmantot tikai kvantitatīvu informāciju vai modeļa sniegtos rezultātus; būtu jāizmanto arī kvalitatīva pieeja (tostarp ekspertu slēdzieni un kritiska analīze). Būtu skaidri jāanalizē arī makroekonomiskās vides būtiskās tendences un dati, lai noteiktu to potenciālo ietekmi uz riska iedarbību un portfeli.

Galīgā atbildība par riska novērtēšanu ir tikai pašai iestādei, kurai līdz ar to būtu kritiski jāizvērtē savi riski, nepaļaujoties tikai uz ārējiem novērtējumiem vien. Piemēram, iestādei būtu jāapstiprina iegādātais riska modelis un jāpielāgo tas saviem īpašajiem apstākļiem, lai nodrošinātu, ka šis modelis precīzi un pilnīgi aptver un analizē risku.

Iestādēm būtu pilnībā jāapzinās šā modeļa ierobežojumi un metrika un jāizmanto ne tikai kvantitatīvie, bet arī kvalitatīvie riska novērtēšanas rīki (tostarp ekspertu slēdzieni un kritiskā analīze).

Papildus pašas iestādes novērtējumam, tā var izmantot arī ārējus riska novērtējumus (tostarp ārējus kredītreitingus vai ārēji iegādātus riska modeļus). Iestādēm būtu pilnībā jāapzinās šādu novērtējumu precīzā joma un ierobežojumi.

Būtu jāizveido regulāri un pārredzami ziņošanas mehānismi, lai vadības struktūra, tās riska komiteja, ja tāda ir izveidota, un visas attiecīgās vienības iestādē laikus saņemtu precīzus, kodolīgus, saprotamus un nozīmīgus ziņojumus un varētu dalīties ar būtisku informāciju par risku apzināšanu, izmērīšanu vai novērtēšanu, uzraudzību un pārvaldību. Ziņojumu sniegšanas sistēmai vajadzētu būt pareizi izveidotai un dokumentētai.

Efektīva saziņa un informētība par riskiem un riska stratēģiju ir būtiska visam riska pārvaldības procesam, tostarp pārskatīšanas un lēmumu pieņemšanas procesiem, un tā palīdz novērst lēmumus, kas var neviļus palielināt risku. Efektīva riska paziņošana ietver riska stratēģijas un būtisko riska datu (piemēram, iedarbības un galveno riska rādītāju) pareizu iekšējo izskatīšanu un paziņošanu gan horizontāli visā iestādē, gan augšup un lejup pa vadības ķēdi.