17 Ramy zarządzania ryzykiem

W ramach ogólnych ram kontroli wewnętrznej instytucje powinny posiadać kompleksowe ramy zarządzania ryzykiem obejmujące wszystkie linie biznesowe i jednostki wewnętrzne w obrębie instytucji, w tym komórki kontroli wewnętrznej, które to ramy powinny w pełni uwzględniać ekonomiczną istotę wszystkich ekspozycji instytucji na ryzyko. Ramy zarządzania ryzykiem powinny umożliwiać instytucji podejmowanie w pełni świadomych decyzji w sprawie podejmowanego ryzyka. Ramy zarządzania ryzykiem powinny obejmować zarówno ryzyko ujęte w bilansie, jak i ryzyko pozabilansowe, a także rzeczywiste i przyszłe ryzyko, na jakie może być narażona instytucja. Ocena ryzyka powinna mieć charakter oddolny i odgórny oraz być przeprowadzana w obrębie poszczególnych linii biznesowych i między nimi, z wykorzystaniem spójnej terminologii i konsekwentnej metodyki w obrębie całej instytucji, a także na poziomie skonsolidowanym lub subskonsolidowanym. Ramy zarządzania ryzykiem powinny obejmować wszystkie istotne rodzaje ryzyka, z należytym uwzględnieniem ryzyka zarówno finansowego, jak i niefinansowego, w tym ryzyka kredytowego, rynkowego, ryzyka płynności, koncentracji, ryzyka operacyjnego, informatycznego, ryzyka utraty reputacji, ryzyka prawnego, ryzyka związanego z kodeksem postępowania, ryzyka związanego ze zgodnością z przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu oraz innymi przestępstwami finansowymi, ryzyka środowiskowego, społecznego i związanego z zarządzaniem oraz ryzyka strategicznego.

Ramy zarządzania ryzykiem instytucji powinny obejmować politykę, procedury, limity ryzyka i mechanizmy jego kontrolowania umożliwiające odpowiednią, dokonywaną w stosownym czasie i nieustanną identyfikację, pomiar lub ocenę, monitorowanie, minimalizację i sprawozdawczość ryzyka na poziomie linii biznesowej, całej instytucji oraz na poziomie skonsolidowanym lub subskonsolidowanym, a także zarządzanie tym ryzykiem.

Ramy zarządzania ryzykiem instytucji powinny dostarczać konkretnych wskazówek na temat wdrażania jej strategii. W stosownych przypadkach we wskazówkach tych należy zawrzeć i monitorować limity wewnętrzne zgodne z gotowością instytucji do podejmowania ryzyka oraz dostosowane do potrzeb jej prawidłowego działania, kondycji finansowej, bazy kapitałowej i celów strategicznych. Profil ryzyka instytucji nie powinien przekraczać tych limitów. Ramy zarządzania ryzykiem powinny zapewniać, aby w przypadku wystąpienia naruszeń limitów następowało ich przekazanie na wyższy poziom kompetencji w celu zajęcia się nimi wraz z podjęciem odpowiednich działań następczych.

Ramy zarządzania ryzykiem powinny podlegać niezależnemu przeglądowi wewnętrznemu, np. dokonywanemu przez komórkę audytu wewnętrznego, oraz regularnej ocenie pod kątem gotowości instytucji do podejmowania ryzyka, przy uwzględnieniu informacji od komórki ds. zarządzania ryzykiem oraz w stosownych przypadkach komitetu ds. ryzyka. Należy przy tym rozważyć takie czynniki, jak wydarzenia wewnętrzne i zewnętrzne, w tym zmiany sumy bilansowej i przychodów; wszelki wzrost złożoności działalności instytucji, profilu ryzyka lub struktury operacyjnej; ekspansję geograficzną; połączenia i przejęcia; oraz wprowadzanie nowych produktów lub linii biznesowych.

W odniesieniu do identyfikacji oraz pomiaru lub oceny ryzyka, instytucja powinna opracować odpowiednie metodologie obejmujące zarówno narzędzia prognostyczne, jak i retrospektywne. Metodologie te powinny umożliwiać agregację ekspozycji na ryzyko w obrębie różnych linii biznesowych oraz pomagać w identyfikacji koncentracji ryzyka. Narzędzia powinny obejmować ocenę rzeczywistego profilu ryzyka w porównaniu z gotowością instytucji do podejmowania ryzyka, a także określenie i ocenę potencjalnych ekspozycji na ryzyko, także w warunkach skrajnych, w różnych zakładanych niekorzystnych okolicznościach w porównaniu ze zdolnością instytucji do ponoszenia ryzyka. Narzędzia powinny dostarczać informacji o wszelkich niezbędnych korektach profilu ryzyka. Instytucje powinny przyjmować odpowiednio ostrożne założenia przy opracowywaniu scenariuszy warunków skrajnych.

Instytucje powinny brać pod uwagę, że wyniki ocen ilościowych, w tym testów warunków skrajnych, są silnie uzależnione od ograniczeń i założeń związanych z modelami (w tym wagi i czasu trwania szoku oraz związanych z nim rodzajów ryzyka). Na przykład wyniki sugerujące bardzo wysoką stopę zwrotu z kapitału ekonomicznego mogą wynikać z niedoskonałości modelu (np. nieuwzględnienia części istotnych rodzajów ryzyka), nie zaś z doskonałości strategii lub jej znakomitego wdrożenia przez instytucję. W związku z tym poziomu podejmowanego ryzyka nie należy określać wyłącznie w oparciu o informacje ilościowe czy wyniki modeli, lecz także z zastosowaniem podejścia jakościowego (z uwzględnieniem oceny ekspertów i krytycznej analizy). Należy wyraźnie uwzględnić istotne tendencje i dane makroekonomiczne, aby zidentyfikować ich potencjalny wpływ na ekspozycje oraz portfele.

Ostateczna odpowiedzialność za ocenę ryzyka spoczywa wyłącznie na instytucji, która powinna w związku z tym dokonać krytycznej analizy ryzyka, nie polegając wyłącznie na ocenach zewnętrznych. Instytucja powinna na przykład dokonać walidacji zakupionego modelu ryzyka i skalibrować go odpowiednio do swojej sytuacji, aby zapewnić dokładne i kompleksowe ujęcie ryzyka oraz jego analizę.

Instytucje powinny być w pełni świadome ograniczeń modeli i metryk oraz wykorzystywać nie tylko ilościowe, ale również jakościowe narzędzia oceny ryzyka (w tym ocenę ekspertów i krytyczną analizę).

Oprócz własnych ocen instytucje mogą wykorzystywać zewnętrzne oceny ryzyka (w tym zewnętrzne ratingi kredytowe lub modele ryzyka zakupione od dostawców zewnętrznych). Instytucje powinny być w pełni świadome dokładnego zakresu takich ocen i ich ograniczeń.

Należy ustanowić regularne i przejrzyste mechanizmy sprawozdawczości, tak aby organ zarządzający, jego komitet ds. ryzyka (jeżeli został ustanowiony) i wszystkie stosowne jednostki w obrębie instytucji otrzymywały w stosownym czasie dokładne, zwięzłe, zrozumiałe i istotne sprawozdania oraz mogły wymieniać stosowne informacje dotyczące identyfikacji, pomiaru lub oceny i monitorowania ryzyka oraz zarządzania nim. Ramy sprawozdawczości powinny być dobrze określone i udokumentowane.

Skuteczne przekazywanie informacji i poziom świadomości na temat ryzyka oraz strategii w zakresie ryzyka jest bardzo ważnym elementem całego procesu zarządzania ryzykiem, a także procesów przeglądu i procesów decyzyjnych, oraz pomaga zapobiegać decyzjom mogącym nieświadomie zwiększać ryzyko. Skuteczna sprawozdawczość ryzyka wymaga wnikliwego wewnętrznego rozważenia i prawidłowego zakomunikowania strategii w zakresie ryzyka oraz stosownych danych na jego temat (np. o ekspozycjach i kluczowych wskaźnikach ryzyka) zarówno horyzontalnie w obrębie instytucji, jak i w górę oraz w dół hierarchii służbowej.