6.3.6 Операційно-технологічний ризик

Операційно-технологічний ризик – це потенційний ризик для існування банку, що виникає через недоліки корпоративного управління, системи внутрішнього контролю або неадекватність інформаційних технологій і процесів оброблення інформації з точки зору керованості, універсальності, надійності, контрольованості та безперервності роботи цих технологій.

Такі недоліки можуть призвести до фінансових збитків через помилку, невчасне виконання робіт або шахрайство або стати причиною того, що інтереси банку постраждають у якийсь інший спосіб, наприклад, дилери, кредитні працівники або інші працівники банку перевищать свої повноваження або здійснюватимуть операції з порушенням етичних норм або із занадто високим ризиком.

Операційно-технологічний ризик виникає також через неадекватність стратегії, політики і використання інформаційних технологій. До інших аспектів операційно-технологічного ризику належить імовірність непередбачених подій (пожежа або стихійне лихо).

Система контролю операційно-технологічним ризиком має містити таке:

політику і положення щодо контролю за операційно-технологічним ризиком із метою його мінімізації, які мають бути розглянуті та затверджені відповідно до обраної банком форми корпоративного управління. Ці політика і положення мають періодично переглядатися;

процедури і засоби контролю за операційно-технологічним ризиком, що притаманні операціям банку, в тому числі:

процедури та засоби контролю за дотриманням облікової політики банку та вимог нормативно-правових актів Національного банку щодо методів оцінки активів та складання звітності;

процедури та засоби контролю за функціонуванням інформаційних систем банку та забезпечення безперебійної діяльності, зокрема процеси дублювання і відновлення інформації, а також резервні системи у разі втрати доступу або знищення важливої інформації або технологій;

інформаційну систему управління (форми звітності, схема документообігу тощо) для спостережної ради, правління або профільних колегіальних органів банку щодо моніторингу вразливості всіх видів діяльності банку до операційно-технологічного ризику;

програму управління персоналом, що охоплює:

постійний, ефективний процес залучення й утримання достатньої кількості кваліфікованого персоналу, що відповідає потребам банку та зовнішнім обставинам, з метою виконання завдань його діяльності й реалізації стратегії та бізнес-планів;

продумані й визначені рівні повноважень з прийняття будь-яких рішень;

доведення до персоналу його обов'язків;

контроль за діяльністю персоналу;

розроблення і впровадження процесу навчання з метою підвищення кваліфікації працівників;

технологічні схеми (карти) продуктів та послуг банку, що підтримуються в постійно актуальному стані;

процедури забезпечення потреб банку в інфраструктурі (зокрема в програмному, апаратному та іншому забезпеченні) відповідно до його обсягів та складності поточної та запланованої діяльності. Ці процедури мають передбачати санкціонування, тестування та документування всіх операційно-технологічних систем банку перед початком їх експлуатації, а також механізми їх актуалізації, у тому числі перевірку чинності ліцензійних угод;

процес періодичного тестування встановлених процедур та технологій здійснення операцій, у тому числі процедур фізичної та інформаційної безпеки, з метою контролю за дотриманням цих процедур і технологій та збору інформації щодо їх можливого вдосконалення у разі їх неефективності.

Банкам також наполегливо рекомендується враховувати найкращий світовий досвід управління операційно-технологічним ризиком, який, зокрема, викладений у положенні Базельського комітету з банківського нагляду "Надійна практика управління та нагляду за операційним ризиком" (№ 96, лютий 2003 року), "Принципи ризик-менеджменту електронного банкінгу" (№ 98, липень 2003 року).