? Самооценка операционного риска, являющаяся экспертным балльно-весовым методом, позволяющим оценить уровень контроля операционных рисков или подверженность остаточному[73] (не контролируемому) операционному риску в разрезе выбранных единиц портфеля операционных рисков (структурных подразделений, бизнес-направлений) и категорий операционных рисков. Самооценка операционного риска осуществляется на основе анкетных опросов экспертов (руководителей структурных подразделений), которые проводят критическую самооценку уровня контроля операционных рисков в своих структурных подразделениях. Экспертные опросы проводятся в целях определения на выбранном объекте следующей информации:
• факторы риска, которым подвержен выбранный объект риска;
• возможные сценарии реализации выбранного фактора риска на выбранном объекте риска;
• последствия реализации сценария и частота его реализации;
• эффективность текущих мер контроля риска;
• предложения по стратегии управления описанным риском и мероприятиям по минимизации последствий вследствие реализации риска;
• ключевые показатели риска (ключевые индикаторы риска), которые могут быть использованы на выбранном объекте риска.
? Расчёт ключевых показателей риска, основанный на системе числовых индикаторов (показателей и параметров), которые теоретически или эмпирически связаны с уровнем операционного риска. В их состав входят показатели, характеризующие частоту возникновения случаев операционных убытков, и показатели, косвенно характеризующие вероятность возникновения потерь.
? Стресс-тестирование (сценарный анализ), используемое для анализа возможных значений операционных убытков в различных вариантах развития событий. Сценарный анализ позволяет смоделировать критические ситуации проявления операционного риска и оценить его влияние на деятельность организации.
Для минимизации операционного риска организация осуществляет регулирование операционного риска[74]. При определении методов ограничения (минимизации) операционных рисков организация подразделяет факторы операционного риска на подконтрольные (контролируемый[75] операционный риск) и неподконтрольные (остаточный операционный риск).
В целях ограничения операционных рисков при освоении новых направлений деятельности, продуктов, технологий и изменения ключевых бизнес-процессов организация осуществляет предварительный анализ потенциальных операционных рисков.
В зависимости от типа операционных рисков различаются следующие способы управления операционным риском:
? способы (мероприятия) по уменьшению операционного риска (система и процедуры внутреннего контроля, порядки и регламенты осуществления операций на финансовых рынках, контрольные и верификационные функции информационных систем при осуществлении финансовых операций);
? способы покрытия отдельных видов возможных потерь от реализации операционных рисков (создание резервов, распределение капитала и страхование).
В части подконтрольных факторов операционного риска организация осуществляет следующие меры (мероприятия):
? разработку организационной структуры, правил и процедур совершения банковских операций и других сделок;
? разработку порядка утверждения (согласования) и подотчётности по заключаемым сделкам и проводимым операциям;
? обеспечение информационной безопасности за счёт:
• разработки нормативно-методических документов, регламентирующих осуществление деятельности по защите информации;
• разработки и реализации комплекса организационно-технических мероприятий по защите информационных активов от возможных угроз;
• обеспечения резервирования данных, направленного на сохранение и возможность восстановления информационных активов в случае возникновения сбоев и отказов технических и программных средств, ошибочных действий персонала, техногенных аварий и других непредвиденных обстоятельств;
• проведения аудита информационно-технологических систем в целях выявления неучтённых ранее источников операционного риска;
? снижение операционных рисков путём внедрения новых информационных технологий и автоматизации бизнес-процессов, совершаемых в «ручном» режиме;
? внедрение квалификационных требований, повышение уровня квалификации персонала, обучение новым информационным технологиям и правилам обеспечения информационной безопасности на рабочем месте, материальное стимулирование и улучшение условий труда, применение санкций за нарушения технологий, установление персональных лимитов полномочий и пр.;
? установление структурных лимитов;
? осуществление страхования:
• зданий и иного имущества – от разрушений, повреждений, утраты в результате стихийных бедствий и других случайных событий, а также в результате действий третьих лиц;
• персонала – от несчастных случаев и причинения вреда здоровью;
• носителей информации и самой информации – на случай утраты;
• специфических рисков, в том числе связанных с профессиональной ответственностью персонала, ущерба от преступлений в сфере компьютерной информации.
В части неподконтрольных факторов операционного риска организацией осуществляются:
