О документе Комитета по платежным и расчетным системам "Принципы для инфраструктур финансового рынка"

     Принцип 17: Операционный риск

    ИФР должна выявлять возможные источники операционного риска, как внутренние, так и внешние, и ослаблять их влияние за счет использования надлежащих систем, принципов, процедур и средств контроля. Системы должны обеспечивать высокий уровень безопасности и операционной надежности и иметь адекватную пропускную способность, которую можно наращивать. Управление непрерывностью деятельности должно быть направлено на своевременное восстановление операций и выполнение обязанностей ИФР, в том числе в случае широкомасштабного или крупного нарушения в работе.

    Ключевые соображения

1. ИФР должна создать надежную структуру управления операционным риском, используя надлежащие системы, принципы, процедуры и средства контроля для выявления, мониторинга и управления операционными рисками.
     

    2. Совет директоров ИФР должен точно определять роли и обязанности по управлению операционным риском и утверждать структуру управления операционным риском ИФР. Системы, операционные принципы, процедуры и средства контроля должны подвергаться проверке, аудиту и тестированию как периодически, так и после существенных изменений.
     

    3. ИФР должна иметь точно определенные цели в области операционной надежности и применять утвержденную политику, предназначенную для достижения этих целей.
     

    4. ИФР должна обеспечивать наличие достаточной пропускной способности и возможности ее наращивания для обработки возросших объемов операций в периоды стресса и достижения целевого уровня обслуживания.
     

    5. ИФР должна выработать комплексные принципы физической и информационной безопасности, учитывающие ее уязвимые стороны и угрозы.

6. ИФР должна иметь план обеспечения непрерывности деятельности, учитывающий события, которые создают значительный риск нарушения операций, в том числе события, которые могли бы вызвать широкомасштабные или значительные нарушения. Этот план должен предусматривать использование резервного объекта и обеспечивать возобновление работы критических компьютерных систем в течение двух часов после событий, вызвавших нарушение в работе. План должен предоставлять ИФР возможность завершения расчетов к концу дня, когда возникло нарушение, даже в экстремальной ситуации. ИФР должна регулярно проводить тестирование своего плана.

7. ИФР должна выявлять, осуществлять мониторинг и управление рисками основных участников, других ИФР, а также провайдеров услуг и коммунальных служб, которым они могут подвергать ее операции. Кроме того, ИФР должна выявлять, осуществлять мониторинг и управление рисками своих операций, которым могут подвергаться другие ИФР.

    Пояснительная записка

3.17.1. Операционным риском является риск того, что недостатки информационных систем или внутренних процессов, человеческие ошибки или нарушения, вызванные внешними событиями, приведут к сокращению, ухудшению или нарушению услуг, оказываемых ИФР. Операционные сбои могут повредить репутации ИФР или восприятию ее надежности, привести к юридическим последствиям и финансовым потерям ИФР, ее участников и других сторон. В определенных случаях операционные сбои также могут являться источником системного риска. ИФР должна создавать надежную структуру управления операционными рисками, используя соответствующие системы, принципы, процедуры и средства контроля. В рамках структуры управления операционным риском ИФР должна выявлять вероятные источники возникновения операционного риска; создавать надлежащие системы; вырабатывать соответствующие принципы, процедуры и средства контроля; определять целевые показатели в области операционной надежности; а также разрабатывать план обеспечения непрерывности деятельности. При создании структуры управления операционным риском ИФР должна применять холистический (целостный) подход.

    Выявление источников операционного риска

3.17.2. ИФР должна активно выявлять, осуществлять мониторинг и управление вероятными источниками операционного риска и разрабатывать строгие принципы и процедуры их контроля. Операционный риск может возникать как из внутренних, так и из внешних источников. Внутренние источники операционного риска включают неудовлетворительность выявления или понимания рисков, а также средств контроля и процедур, необходимых для их ограничения или управления ими, неадекватный контроль за системами и процессами, недостаточно тщательный подбор персонала, а в более общем плане - не отвечающее требованиям управление. Внешние источники операционного риска включают сбои в работе критических провайдеров услуг или коммунальных компаний или события, оказывающие влияние на обширный регион, такие как природные катастрофы, террористические акты и пандемия. Наличие как внутренних, так и внешних источников операционного риска может вызывать различные операционные сбои, в том числе (а) ошибки или задержки при обработке сообщений, (b) нарушения в работе средств связи, (с) ухудшение качества или прерывание оказания услуг, (d) мошенничество со стороны персонала и (е) раскрытие конфиденциальной информации организациям, не имеющим права на ее получение. Если ИФР оказывает услуги в нескольких часовых поясах, то она может подвергаться повышенным операционным рискам вследствие большей продолжительности рабочего времени и сокращения времени на техническое обслуживание. ИФР должна выявлять все потенциальные отдельные критические точки в ее деятельности. Кроме того, ИФР должна постоянно оценивать изменение операционных рисков, которым она подвергается (например, проводить проверки на наличие пандемии или кибератак), чтобы иметь возможность анализировать свою уязвимость и использовать надлежащие механизмы защиты.

________________

Отдельной критической точкой является точка в системе, относящаяся к услуге, виду деятельности или процессу, нарушения в работе которой приводят к нарушению работы системы в целом.

3.17.3. Как правило, ТР служит единым источником информации для определенного рынка и может выступать в качестве централизованного реестра некоторых сделок. Поэтому нарушение в работе ТР может вызывать значительную дестабилизацию. Основным риском ТР является операционный риск. Особую озабоченность вызывают недостатки в управлении непрерывностью деятельности, целостностью данных и в защите данных. Неадекватное раскрытие или неправильное предоставление данных ТР компетентным органам или населению может помешать достижению главной цели ТР. Доступ к актуальным и надежным данным обеспечивает более точное представление о рынке деривативов и расширяет возможности компетентных органов по надзору за рынками, которые обслуживает ТР, и их участниками. Данные, накопленные ТР, также могут использоваться в качестве исходных данных участниками ТР, другими инфраструктурами и источниками услуг. Поэтому критическое значение имеет постоянная доступность данных, хранящихся в ТР. Кроме того, ТР должен точно оценивать дополнительные операционные риски, обусловленные его связями, чтобы обеспечить возможность наращивания и надежность компьютеров и сопутствующих источников. Если ТР предоставляет доступ к ИФР другого типа, например ЦКА, связанные между собой ИФР могут подвергаться дополнительным рискам в отсутствие правильного интерфейса. ИФР, устанавливающие связь с ТР, должны обеспечивать, чтобы механизмы работы систем и связи, установленные связанными между собой организациями, были надежными и гарантировали, что использование связи не приведет к возникновению значительных рисков надежности и безопасности.

________________

Уменьшение операционного риска имеет особое значение, поскольку информация, имеющаяся в ТР, может способствовать двухсторонним взаимозачетам и использоваться для оказания услуг непосредственно участникам рынка или другим сторонам (например, сжатие портфеля), включая другие связанные ИФР.

    Управление операционным риском

3.17.4. ИФР должна иметь точные принципы, процедуры и средства контроля, позволяющие уменьшать ее операционный риск и осуществлять управление его источниками. Общее управление операционным риском представляет собой непрерывный процесс, включающий оценку риска, определение допустимого уровня риска и применение средств контроля риска. В результате этого процесса ИФР принимает, уменьшает или избегает рисков, не противоречащих поставленной ею цели обеспечения операционной надежности. Порядок управления ИФР относится и к ее системе управления операционным риском (см. также Принцип 2 об управлении). В частности, совет директоров ИФР должен точно определять роли и обязанности по управлению операционным риском и утверждать систему управления операционным риском ИФР.

3.17.5. Для обеспечения надлежащего функционирования средств контроля риска ИФР должна иметь надежную систему внутреннего контроля. В частности, ИФР должна иметь адекватные средства административного контроля, такие как определение операционных стандартов, оценка и анализ показателей деятельности и устранение недостатков. Существуют многочисленные международные, национальные и отраслевые стандарты, руководящие указания или рекомендации, которые ИФР может использовать в процессе создания своей структуры управления операционным риском. Соблюдение коммерческих стандартов поможет ИФР достичь своих операционных целей. В частности, существуют коммерческие стандарты информационной безопасности, непрерывности деятельности и управления проектами. ИФР должна регулярно оценивать потребность в применении действующих коммерческих стандартов в своей системе управления операционным риском. Кроме того, ИФР должна стараться соблюдать соответствующие коммерческие стандарты в пределах, соответствующих важности и уровню взаимосвязанности ИФР.

3.17.6. Соглашения ИФР с участниками, операционные принципы и операционные процедуры должны периодически и всякий раз, когда это необходимо, подвергаться тестированию и анализу, особенно после значительных изменений в системе или крупных происшествий. Для минимизации любого влияния тестирования на проведение операций тестирование должно проводиться в "условиях испытаний". Эти условия испытаний, насколько это возможно, должны воспроизводить реальные условия деятельности (включая предусмотренные правила безопасности деятельности, в частности, относящиеся к конфиденциальности данных). Кроме того, основные компоненты системы управления операционным риском ИФР должны подвергаться проверке на регулярной основе и когда это необходимо. В дополнение к периодическим внутренним проверкам в зависимости от важности и уровня взаимосвязанности ИФР может потребоваться внешний аудит. С учетом эволюционного характера управления операционным риском операционные цели ИФР должны периодически пересматриваться с учетом новых технологий и развития коммерческой деятельности.

3.17.7. Поскольку правильная работа сотрудников ИФР является одним из главных аспектов системы управления операционным риском, ИФР должна быть укомплектована достаточными высококвалифицированными кадрами. Персонал ИФР должен уметь безопасно и эффективно эксплуатировать систему и строго выполнять операционные процедуры и процедуры управления риском в обычных и аномальных ситуациях. ИФР должна проводить надлежащую кадровую политику в области найма, обучения и сохранения квалифицированного персонала, уменьшая тем самым последствия высокой текучести кадров или риск, связанный с ключевыми фигурами. Кроме того, ИФР должна проводить надлежащую кадровую политику и политику управления риском для противодействия мошенничеству.

3.17.8. Система управления операционным риском ИФР должна предусматривать формализованные процессы управления изменениями и управления проектами для уменьшения операционного риска, вызванного изменениями операций, принципов, процедур и средств контроля. Процессы управления изменениями должны обеспечивать механизмы подготовки, утверждения, продвижения, тестирования и внесения всех изменений в систему. Процессы управления проектами, оформленные как принципы и процедуры, должны снижать риск случайного воздействия на текущую или будущую деятельность ИФР в результате модернизации, расширения или изменения оказываемых ею услуг, особенно в крупных проектах. В частности, эти принципы и процедуры должны определять порядок управления, документального оформления, связи и тестирования проектов независимо от того, осуществляются ли проекты сторонними подрядчиками или своими силами.

    Операционная надежность

3.17.9. ИФР должна точно определять цели в области операционной надежности и иметь учрежденную политику, предназначенную для достижения этих целей. Поставленные цели являются для ИФР ориентирами при оценке эффективности и результативности и позволяют сопоставлять ее реальные показатели с ожидаемыми. Эти цели должны создаваться для укрепления доверия среди участников ИФР. Цели в области операционной надежности должны включать целевые показатели деятельности и уровни обслуживания. Целевые показатели деятельности и уровни обслуживания должны определять как качественные, так и количественные критерии операционных показателей и четко устанавливать стандарты функционирования, которые планирует соблюдать ИФР. ИФР должна осуществлять регулярные мониторинг и оценку того, обеспечивает ли система достижение целевых показателей деятельности и уровней обслуживания. Рабочие характеристики системы должны регулярно доводиться до сведения высшей администрации, соответствующих комитетов совета, участников и компетентных органов. Кроме того, операционные цели ИФР должны периодически пересматриваться с учетом новых технологий и развития коммерческой деятельности.