16 Ramy zarządzania ryzykiem

W ramach ogólnego systemu kontroli wewnętrznej firmy inwestycyjne powinny opracować całościowe ramy zarządzania ryzykiem na poziomie całej organizacji, obejmujące wszystkie l inie biznesowe i jednostki wewnętrzne, na które składać będą się komórki kontroli wewnętrznej, biorąc pod uwagę ekonomiczne znaczenie wszystkich ekspozycji na ryzyko dla samej firmy, jej klientów i rynków oraz ryzyko płynności, w szczególności takich, które mogą mieć istotny wpływ na fundusze własne firmy lub je uszczuplić. Ramy zarządzania ryzykiem powinny umożliwiać firmy inwestycyjnej podejmowanie w pełni świadomych decyzji w sprawie podejmowanego ryzyka. Ramy zarządzania ryzykiem powinny obejmować wszystkie rodzaje ryzyka, a także rzeczywiste i przyszłe ryzyko, na jakie może być narażona firma inwestycyjna. Ocena ryzyka powinna mieć charakter oddolny i odgórny oraz być przeprowadzana w obrębie poszczególnych linii biznesowych i między nimi, z wykorzystaniem spójnej terminologii i konsekwentnej metodyki w obrębie całej firmy inwestycyjnej, a także na poziomie skonsolidowanym. Ramy zarządzania ryzykiem powinny obejmować wszystkie istotne rodzaje ryzyka, z należytym uwzględnieniem ryzyka zarówno finansowego, jak i niefinansowego, w tym ryzyka kredytowego, rynkowego, ryzyka płynności, koncentracji, ryzyka operacyjnego, informatycznego, ryzyka utraty reputacji, ryzyka prawnego, ryzyka związanego z kodeksem postępowania, ryzyka związanego ze zgodnością z przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu oraz innymi przestępstwami finansowymi, ryzyka środowiskowego, społecznego i związanego z zarządzaniem oraz ryzyka strategicznego.

W przypadku firmy inwestycyjnej ramy zarządzania ryzykiem powinny obejmować politykę, procedury, limity ryzyka i mechanizmy jego kontrolowania umożliwiające odpowiednią, dokonywaną w stosownym czasie i ciągłą identyfikację, pomiar lub ocenę, monitorowanie, minimalizację i sprawozdawczość ryzyka na poziomie linii biznesowej, całej firmy inwestycyjnej oraz na poziomie skonsolidowanym, a także zarządzanie tym ryzykiem.

Ramy zarządzania ryzykiem firmy inwestycyjnej powinny dostarczać konkretnych wskazówek na temat wdrażania jej strategii. W stosownych przypadkach we wskazówkach tych należy zawrzeć i monitorować limity wewnętrzne zgodne z gotowością firmy inwestycyjnej do podejmowania ryzyka oraz dostosowane do potrzeb jej prawidłowego działania, kondycji finansowej, bazy kapitałowej i celów strategicznych. Profil ryzyka firmy inwestycyjnej nie powinien przekraczać tych limitów. Ramy zarządzania ryzykiem powinny zapewniać, aby w przypadku wystąpienia naruszeń limitów następowało ich przekazanie na wyższy poziom kompetencji w celu zajęcia się nimi wraz z podjęciem odpowiednich działań następczych.

Ramy zarządzania ryzykiem powinny podlegać niezależnemu przeglądowi wewnętrznemu, np. dokonywanemu przez komórkę audytu wewnętrznego, oraz regularnej ocenie pod kątem gotowości firmy inwestycyjnej do podejmowania ryzyka, przy uwzględnieniu informacji od komórki zarządzania ryzykiem oraz komitetu ds. ryzyka, o ile został ustanowiony. Należy przy tym rozważyć takie czynniki, jak wydarzenia wewnętrzne i zewnętrzne, w tym zmiany sumy bilansowej i przychodów; wszelki wzrost złożoności działalności firmy inwestycyjnej, profilu ryzyka lub struktury operacyjnej; ekspansję geograficzną; połączenia i przejęcia; oraz wprowadzanie nowych produktów lub linii biznesowych.

W odniesieniu do identyfikacji oraz pomiaru lub oceny ryzyka, firma inwestycyjna powinna opracować odpowiednie metodologie obejmujące zarówno narzędzia prognostyczne, jak i retrospektywne. Narzędzia te powinny obejmować ocenę rzeczywistego profilu ryzyka w porównaniu z gotowością firmy inwestycyjnej do podejmowania ryzyka, a także określenie i ocenę potencjalnych ekspozycji na ryzyko, także w warunkach skrajnych, w różnych zakładanych niekorzystnych okolicznościach w porównaniu ze zdolnością firmy inwestycyjnej do ponoszenia ryzyka. Narzędzia powinny dostarczać informacji o wszelkich niezbędnych korektach profilu ryzyka. Firmy inwestycyjne powinny przyjmować odpowiednio ostrożne założenia przy opracowywaniu scenariuszy warunków skrajnych.

Firmy inwestycyjne powinny uwzględniać, że wyniki ocen ilościowych, w tym testów warunków skrajnych, są silnie uzależnione od ograniczeń i założeń związanych z modelami (w tym wagi i czasu trwania szoku oraz związanych z nim rodzajów ryzyka). Na przykład wyniki sugerujące bardzo wysoką stopę zwrotu z kapitału ekonomicznego mogą wynikać z niedoskonałości modelu (np. nieuwzględnienia części istotnych rodzajów ryzyka), nie zaś z doskonałości strategii lub jej znakomitego wdrożenia przez firmę inwestycyjną. W związku z tym poziomu podejmowanego ryzyka nie należy określać wyłącznie w oparciu o informacje ilościowe czy wyniki modeli, lecz także z zastosowaniem podejścia jakościowego (z uwzględnieniem oceny ekspertów i krytycznej analizy). Należy wyraźnie uwzględnić istotne tendencje i dane makroekonomiczne, aby zidentyfikować ich potencjalny wpływ na ekspozycje oraz portfele.

Ostateczna odpowiedzialność za ocenę ryzyka spoczywa wyłącznie na firmy inwestycyjnej, która powinna w związku z tym dokonać krytycznej analizy ryzyka, nie polegając wyłącznie na ocenach zewnętrznych.

Firmy inwestycyjne powinny być w pełni świadome ograniczeń modeli i metryk oraz wykorzystywać nie tylko ilościowe, ale również jakościowe narzędzia oceny ryzyka (w tym ocenę ekspertów i krytyczną analizę).

Oprócz własnych ocen firmy inwestycyjne mogą wykorzystywać zewnętrzne oceny ryzyka (w tym zewnętrzne ratingi kredytowe lub modele ryzyka zakupione od dostawców zewnętrznych). Firmy inwestycyjne powinny być w pełni świadome dokładnego zakresu takich ocen i ich ograniczeń.

Należy ustanowić regularne i przejrzyste mechanizmy sprawozdawcze, tak aby organ zarządzający, jego komitet ds. ryzyka (jeżeli został ustanowiony) i wszystkie stosowne jednostki w obrębie firmy inwestycyjnej otrzymywały w stosownym czasie dokładne, zwięzłe, zrozumiałe i istotne sprawozdania oraz mogły wymieniać stosowne informacje dotyczące identyfikacji, pomiaru lub oceny i monitorowania ryzyka oraz zarządzania ryzykiem. Ramy sprawozdawczości powinny być dobrze określone i udokumentowane.

Skuteczne przekazywanie informacji i świadomość ryzyka oraz strategii w zakresie ryzyka to bardzo ważne elementy całego procesu zarządzania ryzykiem, a także procesów przeglądu i procesów decyzyjnych, które pomagają zapobiegać decyzjom mogącym nieświadomie zwiększać ryzyko. Skuteczna sprawozdawczość dotycząca ryzyka wymaga wnikliwego wewnętrznego rozważenia i prawidłowego zakomunikowania strategii w zakresie ryzyka oraz stosownych danych na jego temat (np. o ekspozycjach i kluczowych wskaźnikach ryzyka) zarówno horyzontalnie w obrębie firmy inwestycyjnej, jak i w górę oraz w dół hierarchii służbowej.