№ 242-П от 16.12.2003 Положение Банка России «Об организации внутреннего контроля в КО и банковских группах»
Об управлении операционным, регуляторным и правовым рисками
Вопрос
Должен ли учитываться риск возникновения убытков из-за несоблюдения законодательства и внутренних документов организации как операционный риск?
Должны ли случаи убытков, возникающих в результате реализации регуляторного риска, входить в состав убытков, возникающих в результате реализации операционного риска, с учетом рекомендованной в п. 1.3 письма Банка России от 24.05.2005 № 76-Т «Об организации управления операционным риском в кредитных организациях» (см. ниже Приложение 1) классификации случаев операционных убытков?
Входит ли понятие регуляторного риска в понятие правового риска либо в понятие юридического риска, подлежащих включению в область определения операционного риска в соответствии с определением письма Банка России от 16.05.2012 № 69-Т «О рекомендациях Базельского комитета по банковскому надзору «Принципы надлежащего управления операционным риском» (см. ниже Приложение 2)?
Рекомендации Письма № 69-Т (см. ниже Приложение 2) касаются классификации случаев операционных рисков, применимы ли они также к случаям убытков, возникающих в результате реализации регуляторного риска?
Должны ли исключаться факторы нарушения законодательства, содержащиеся в рекомендациях Банка России, из области действия операционного риска в связи с выделением регуляторного риска в отдельный тип риска в соответствии с Положением Банка России № 242-П, а также из определения операционного риска, и категорий операционного риска?
Ответ
С учетом Положения Банка России № 242-П, иных актов Банка России и документов Базельского комитета по банковскому надзору операционный и регуляторный риски являются отдельными видами банковских рисков, при этом операционный риск включает в себя правовой риск, но исключает стратегический и репутационный риски.
По нашему мнению, один и тот же фактор риска может являться источником возникновения события как операционного, так и регуляторного рисков. Например, совершение в отношении кредитной организации мошеннических действий ее сотрудником может быть выражено в причинении убытков кредитной организации как вследствие непосредственно факта мошенничества (событие операционного риска), так и вследствие несоблюдения сотрудником требований законодательства Российской Федерации и внутренних документов кредитной организации (событие регуляторного риска).
Таким образом, Департамент разделяет мнение о возможности включения одного и того же события в состав событий как операционного, так и регуляторного рисков.
Аналитическая база данных о понесенных операционных убытках, по нашему мнению, может одновременно использоваться как для применения внутренних моделей оценки операционного риска, так и для учета событий, связанных с регуляторным риском, в соответствии с пунктом 4(1).1 Положения Банка России № 242-П. При этом кредитная организация вправе самостоятельно определить порядок ведения таких баз данных и иметь как общую базу данных, так и раздельные базы данных, в одну из которых включаются события операционного риска, в другую ? события регуляторного риска.
В последнем случае важно, чтобы в кредитной организации была создана единая методология классификации событий операционного, правового и регуляторного рисков, позволяющая использовать данные о подлежащих взысканию (взысканных) штрафах и пенях по событиям правового и регуляторного рисков для построения внутренних моделей количественной оценки операционного риска.
Одновременно отмечаем, что если кредитной организацией управление правовым риском осуществляется отдельно от операционного, то термин «правовой риск», предусмотренный актами Банка России, в настоящее время следует использовать в значении с изъятием регуляторного риска как отдельного.