№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе»

1. Следует ли отражать косвенную потерю, если комиссия изначально не начислялась и не взималась с клиента по причине ошибки на стороне кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация), после обнаружения ошибки комиссия была отражена на счетах бухгалтерского учета по методу начисления, а далее списана, как просроченная задолженность без предъявления клиенту? Является ли налог, уплаченный кредитной организацией на комиссии, которые она не взимала вследствие ошибки, последствием события операционного риска?

2. Следует ли отражать косвенную потерю, если происходит начисление комиссий в одном отчетном периоде и списание за счет расходов в последующих отчетных периодах (например, клиент закрыл договор эквайрингового обслуживания в 2020 году, но по ошибке сотрудника комиссия продолжала начисляться, в 2021 году выявлена ошибка и произошло списание сумм комиссии за счет расходов банка 2021 года)?

3. Обязан ли банк с базовой лицензией регистрировать в базе событий события операционного риска с непрямыми потерями?

4. Является ли возврат ошибочно списанных комиссий с клиента кредитной организации посредством проведения исправительной записи в бухгалтерском учете прямой потерей кредитной организации, или событие, связанное с ошибочным списанием комиссии с клиента и ее последующим возвратом посредством проведения исправительной записи в бухгалтерском учете, необходимо классифицировать как событие с потенциальными потерями?

от 17.05.2022 № 716-P-2022/75

По вопросу 1.

Из приведенного описания следует, что в кредитной организации был реализован источник операционного риска в соответствии с пунктом 3.3 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) (ошибка на стороне кредитной организации), в результате которого в кредитной организации произошло событие операционного риска с косвенной потерей в сумме недополученного дохода, указанного в абзаце третьем подпункта 3.13.1 пункта 3.13 Положения № 716-П и равного величине ошибочно не полученного ранее с клиента комиссионного вознаграждения. Налог, уплаченный кредитной организацией на комиссии, которые не были ранее удержаны с клиента вследствие ошибки со стороны кредитной организации, не является потерей и следствием от реализации события операционного риска, так как его уплата связана с особенностями формирования налогооблагаемой базы в соответствии с налоговым законодательством и не связана с источниками операционного риска, указанными в пункте 3.3 Положения № 716-П. В связи с чем следует рассматривать налоги как текущие платежи в рамках бизнес-процесса налогового администрирования.

По вопросу 2.

Приведенное описание примера относится к событию операционного риска с потенциальными потерями, поскольку излишне начисленную сумму комиссии можно рассматривать как потенциальный доход кредитной организации, полученный в результате реализации события операционного риска, состоящего в ошибке сотрудника. Рекомендуем регистрировать указанные события операционного риска в базе событий в случаях фактического возврата кредитной организацией клиенту излишне списанных сумм комиссий после их выявления (например, по результатам сверки данных по удерживаемым комиссиям), поскольку такие возвраты проводятся в бухгалтерском учете путем дебетования счета расходов, что является критерием признания их как прямой потери. При этом рекомендуем при регистрации таких событий о возврате комиссий заносить в базу событий информацию о ранее излишне полученных комиссиях на счета доходов в качестве полученного ранее возмещения. Одновременно обращаем внимание на возможность группировки событий операционного риска подобного характера в одну запись согласно критериям их однородности, определяемым Банком в соответствии с пунктом 6.12 Положения № 716-П.

Комментарии Банка России по вопросу регистрации в базе событий информации о получении кредитной организацией прибыли вследствие реализации источников операционного риска, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 4)» (вопрос 26).

По вопросу 3.

В соответствии с абзацем третьим подпункта 9.3.1 пункта 9.3 Положения № 716-П банк с базовой лицензией в обязательном порядке с учетом порога регистрации фиксирует в базе событий события операционного риска с прямыми потерями, а также потерями, указанными в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716-П.

Таким образом, необходимость регистрации событий операционного риска с иными видами потерь (например, качественными, косвенными потерями) кредитная организация с базовой лицензией вправе определить самостоятельно исходя из характера и масштаба своей деятельности, уровня операционного риска (например, определить обязательность регистрации данных видов потерь для критически важных процессов, играющих ключевую роль в деятельности кредитной организации, по которым имеются технологии выявления и оценки таких потерь (например, автоматизированный документооборот в рамках выполнения данного процесса), для цели последующего накопления статистики и установлениях ключевых индикаторов риска (далее – КИР) в рамках проведения процедуры мониторинга (то есть контроля и ограничения) операционного риска на данном бизнес-процессе в соответствии с подпунктом 2.1.7 пункта 2.1 Положения № 716-П

Дополнительные комментарии Банка России по вопросам необходимости регистрации событий операционного риска с потенциальными потерями в базе событий размещены на сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 2), вопрос 9».

По вопросу 4.

Событие операционного риска, связанное с возвратом ошибочно списанных комиссий с клиента кредитной организации посредством исправительной проводки следует рассматривать как событие операционного риска с потенциальными потерями, в случае если данная ошибка была скорректирована кредитной организацией до учета излишне списанной комиссии в прибыли кредитной организации в рамках утвержденной годовой бухгалтерской (финансовой) отчетности. В случае если данная ошибка была устранена после утверждения годовой финансовой отчетности, предлагаем учитывать ее в базе событий как прямую потерю от реализации событий операционного риска, при этом в данном случае датой учета потери в соответствии с абзацем тридцатым пункта 6.6 Положения № 716-П следует считать дату отражения в бухгалтерском учете возврата клиенту ошибочно списанной комиссии.

Обращаем внимание, что в случае если излишнее взимание комиссии с клиентов кредитной организацией имеет системный характер, являющийся следствием внутренних характеристик продукта, особенностей настроек в системе взимания данных комиссий и условий договоров, потери от данного события следует относить к риску потерь средств клиентов, контрагентов, работников и третьих лиц вследствие нарушения кредитной организацией кодексов профессиональной этики, рыночных практик, правил поведения кредитной организации при продаже финансовых инструментов и услуг в соответствии с абзацем девятым пункта 1.4 Положения № 716-П.  

Печать

1. Что означает «проведение независимой оценки качества данных», может ли подразделение кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) осуществлять такую независимую оценку или она должна проводиться внешней организацией, какие вопросы должны быть решены в целях оценки качества данных?

2. Какие вопросы должны быть рассмотрены в целях подготовки «оценки состава компонентов, архитектуры, информационной инфраструктуры и характеристик информационных систем на предмет их достаточности и эффективности для обеспечения функционирования процессов кредитной организации»?

3. Каковы критерии определения перечня информационных систем, которые подлежат лицензированию и сертификации (всех информационных систем или тех из них, что обеспечивают функционирование технически важных процессов)?

от 17.05.2022 № 716-P-2022/74

По вопросу 1.

В соответствии с абзацем восьмым подпункта 8.7.6 пункта 8.7 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) кредитная организация самостоятельно определяет во внутренних документах порядок и периодичность (не реже одного раза в год) проведения независимой оценки качества данных.

В соответствии с подпунктом 4.1.4 пункта 4.1 Положения № 716-П независимая оценка качества данных может быть проведена как уполномоченным подразделением кредитной организации, так и внешним экспертом. Дополнительные комментарии Банка России относительно порядка привлечения внешних экспертов для оценки эффективности функционирования системы управления операционным риском размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О внутренних документах по управлению операционным риском», вопрос № 2.

По вопросу 2.

В соответствии с подпунктом 8.8.6 пункта 8.8 Положения № 716-П кредитная организация самостоятельно определяет во внутренних документах проведение кредитной организацией регулярных (не реже одного раза в год) оценок состава компонентов, архитектуры, информационной инфраструктуры и характеристик информационных систем на предмет их достаточности и эффективности для обеспечения функционирования процессов кредитной организации, по результатам которых кредитной организацией принимаются меры по устранению выявленных недостатков в информационных системах.

По вопросу 3.

В соответствии с пунктом 8.7 Положения № 716-П кредитная организация в целях управления риском информационных систем устанавливает требования по лицензированию и сертификации для всех информационных систем с учетом их влияния на обеспечение бесперебойной работы процессов кредитной организации.

Печать

1. Каков порядок определения кредитной организацией (головной кредитной организацией банковской группы) (далее – кредитная организация) требований к качеству данных?

2. Следует ли относить к событиям риска информационной безопасности следующие виды инцидентов информационной безопасности, в результате которых отсутствуют прямые и (или) непрямые потери:

вредоносная активность, в том числе вирусы-шифровальщики;

отказ в обслуживании (DDoS атака или DoS атака) в результате которых сервисы или инфраструктура кредитной организации не доступна;

отказ в обслуживании (DDoS атака или DoS атака) в результате которых сервисы или инфраструктура кредитной организации не доступна;

несанкционированная (намеренная или случайная) пересылка конфиденциальной информации, для которой установлен запрет во внутренних документах на несанкционированную передачу, в сеть Интернет;

несанкционированная установка программного обеспечения на оборудования (АРМ и\или серверы кредитной организации);

несанкционированное предоставление прав доступа, в том числе привилегированных, работникам кредитной организации или работникам сторонних компаний, осуществляющих функции по договору с кредитной организацией;

нарушение требований в области ИБ, установленных во внутренних документах кредитной организации (например, открытые подозрительных писем, переход на фишинговые ссылки, несанкционированное подключение устройств (например, беспроводный модем, модуль Wi-Fi и др.) к оборудованию кредитной организации и др.);

по результатам инструментального сканирования выявлены критические уязвимости в инфраструктуре кредитной организации.

от 17.05.2022 № 716-P-2022/73

По вопросу 1.

В целях управления риском информационных систем кредитной организации следует разработать во внутренних документах и соблюдать все требования к обеспечению качества данных в информационных системах, указанные в абзацах втором – восьмом подпункта 8.7.4 пункта 8.7 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), независимо от степени их влияния на бесперебойность работы информационных систем, в том числе не допускается ограничивать состав данных, к которым предъявляются требования к качеству данных и их характеристик. При этом в соответствии с абзацем девятым подпункта 8.7.4 пункта 8.7 Положения № 716-П кредитная организация вправе, с учетом характера и масштаба деятельности, определять во внутренних документах дополнительные характеристики качества данных в информационных системах. Обращаем внимание, что в соответствии с подпунктами 8.7.5 и 8.7.6 пункта 8.7 Положения № 716-П кредитной организации следует определить во внутренних документах методику и порядок обеспечения качества данных в информационных системах, обеспечивающих критически важные процессы, определяемые кредитной организацией в соответствии с подпунктом 4.1.1 пункта 4.1 Положения № 716 П.

По вопросу 2.

В соответствии с абзацем первым пункта 7.3 Положения № 716-П примеры событий, приведенные в обращениях, являются инцидентами защиты информации. Такие инциденты фиксируются кредитной организацией (головной кредитной организацией банковской группы) в соответствии с порядком, установленным во внутренних документах, например, в специализированной базе инцидентов защиты информации, которую ведет Служба информационной безопасности кредитной организации (головной кредитной организацией банковской группы) для целей соблюдения нормативных актов Банка России в области обеспечения защиты информации.

В соответствии с абзацем первым пункта 7.3 Положения № 716-П инциденты защиты информации являются событиями риска информационной безопасности и регистрируются кредитной организацией (головной кредитной организацией банковской группы) в базе событий риска информационной безопасности в случае, если в результате их реализации у нее возникают прямые и (или) непрямые потери, определяемые в соответствии с пунктом 3.11 Положения № 716-П и пунктом 4 приложения 5 к Положению № 716-П. При этом кредитная организация вправе самостоятельно определить во внутренних документах порядок ведения базы событий риска информационной безопасности (как в общей базе событий операционного риска, так и в отдельной базе событий риска информационной безопасности). В случае если кредитная организация (головная кредитная организация банковской группы) ведет базу событий риска информационной безопасности отдельно, кредитная организация (головная кредитная организация банковской группы) соответствии с пунктом 6.9 Положения № 716-П ежемесячно на отчетную дату включает события риска информационной безопасности с прямыми потерями, в состав общей базы событий операционного риска с учетом исключения пропусков и дублирования потерь, связанных с раздельным ведением баз событий.

В отношении вышеуказанных примеров инцидентов защиты информации сообщаем, что недоступность сервисов или инфраструктуры кредитной организации (головной кредитной организации банковской группы) в результате отказа в обслуживании (DDoS атаки или DoS атаки) влечет возникновение непрямых, а именно потенциальных потерь кредитной организации (головной кредитной организации банковской группы), определяемых в соответствии с подпунктом 3.13.3 пункта 3.13 Положения № 716-П. Таким образом, данное событие является событием риска информационной безопасности и должно регистрироваться в базе событий риска информационной безопасности кредитной организации (головной кредитной организации банковской группы).

Печать

Каков порядок учета прямых и непрямых потерь при формировании формы 0409106 «Отчет по управлению операционным риском в кредитной организации» (далее – отчетность по форме 0409106), в том числе в случае если в текущем отчетном периоде было выявлено событие операционного риска, прямые потери по которому были отражены на счетах бухгалтерского учета в прошлом отчетном периоде?

от 17.05.2022 № 716-P-2022/72

При формировании отчетности по форме 0409106 рекомендуем использовать порядок учета прямых и непрямых потерь, аналогичный порядку учета прямых и непрямых потерь в целях расчета показателей, указанных в подпункте 4.2.4 пункта 4.2 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), размещенному на сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «Об отчетах по управлению операционным риском (часть 3)», вопрос 1.

В случае если в текущем отчетном периоде было выявлено событие операционного риска, прямые потери по которому были отражены на счетах бухгалтерского учета в прошлом отчетном периоде, сумма данной потери будет учтена в показателе «нарастающим итогом с начала года», при этом повторное направление в Банк России отчетности по форме 0409106 за прошлые отчетные периоды с актуализированными данными кредитной организацией не предусматривается.

Печать

1. Какого рода конфликты интересов возникают в случае назначения одного и того же подразделения кредитной организации (головной кредитной организации) (далее – кредитная организация) специализированным подразделением в соответствии с абзацем седьмым пункта 1.3 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) и центром компетенций в соответствии с абзацем восьмым пункта 1.3 Положения № 716-П?

2. Как квалифицировать статус Службы информационной безопасности в контексте выполнения процедур управления риском информационной безопасности, как специализированного подразделения или центра компетенций, или одновременно специализированного подразделения и центра компетенций? Существует ли конфликт интересов в случае, если Служба информационной безопасности является одновременно специализированным подразделением и центром компетенций?

3. В какой роли (специализированное подразделение, центр компетенций или владелец процесса) Служба информационной безопасности и подразделение, ответственное за обеспечение функционирования информационных систем, кредитной организации будут участвовать в выполнении следующих процедур: (А) самооценка; (Б) сбор информации о событиях рисков ИБ/ИТ; (В) сценарный анализ?

4. Вправе ли кредитная организация, исходя из характера и масштабов своей деятельности, определить в качестве специализированного подразделения Службу внутреннего контроля кредитной организации и возложить на нее выполнение отдельных процедур управления операционным риском, указанных в подпунктах 2.1.2, 2.1.6, 2.1.7 пункта 2.1 Положения № 716-П, в части видов операционного риска, указанных в пункте 1.4 Положения № 716-П.

5. Какие существуют ограничения при назначении кредитной организацией должностных лиц в соответствии с требованиями пунктов 7.7 и 8.3 Положения № 716-П?

от 17.05.2022 № 716-P-2022/71

По вопросу 1.

В случае если подразделение кредитной организации одновременно является как специализированным подразделением в соответствии с абзацем седьмым пункта 1.3 Положения № 716-П, так и центром компетенций в соответствии с абзацем восьмым пункта 1.3 Положения № 716-П, следует распределить функциональные обязанности работников данного структурного подразделения таким образом, чтобы избежать возникновения конфликта интересов. Обращаем внимание, что под конфликтом интересов в данном случае понимается наделение одного работника кредитной организации как обязанностями, связанными с выполнением процедур управления операционным риском, указанными в подпунктах 2.1.2, 2.1.6 и 2.1.7 пункта 2.1 Положения № 716-П, в части управления отдельным видом операционного риска, так и бизнес-функциями по осуществлению операций и сделок в рамках своих бизнес-процессов. Например, в случае если управление правовым риском кредитной организации в соответствии с внутренними документами кредитной организации относится к компетенции Юридической службы, работник данного подразделения, в чью зону ответственности относится выполнение вышеуказанных процедур управления операционным риском, не может быть назначен ответственным за проведение правовой экспертизы договоров, заключаемых кредитной организацией с клиентами или другими третьими сторонами.

По вопросу 2.

В случае если кредитной организацией принято решение о выполнении процедур управления операционным риском, указанных в подпунктах 2.1.2, 2.1.6 и 2.1.7 пункта 2.1 Положения № 716-П, в части риска информационной безопасности, Службой информационной безопасности (или отдельным структурным подразделением, ответственным за обеспечение информационной безопасности), данное подразделение следует считать специализированным подразделением по управлению риском информационной безопасности. В то же время Служба информационной безопасности в соответствии с пунктом 7.9 Положения № 716-П выполняет функции по обеспечению информационной безопасности, поэтому в целях исключения возникновения конфликта интересов работники Службы информационной безопасности, выполняющие функции по управлению риском информационной безопасности не должны быть ответственными за выполнение технических функций по обеспечению информационной безопасности и контролю за соблюдением требований к обеспечению информационной безопасности в кредитной организации.

По вопросу 3.

Комментарии относительно вопроса исключения конфликта интересов в рамках деятельности подразделения, ответственного за обеспечение информационной безопасности, изложены в ответе на вопрос № 1. Аналогичный подход следует распространить на деятельность подразделения, ответственного за обеспечение функционирования информационных систем, разделив функционал его работников таким образом, чтобы к компетенции работников, ответственных за выполнение процедур по управлению риском информационных систем, указанных в подпунктах 2.1.2, 2.1.6 и 2.1.7 пункта 2.1 Положения № 716-П, не относились обязанности по обеспечению функционирования информационных систем кредитной организации.

Дополнительно сообщаем, что распределение обязанностей по выполнению процедур управления операционным риском, указанных в вопросе третьем письма № 1 в части рисков информационной безопасности и информационных систем также следует осуществлять в соответствии с вышеуказанным подходом к исключению конфликта интересов.

По вопросу 4.

Кредитная организация в зависимости от характера и масштабов деятельности, организационной структуры управления, организации внутренних процессов принятия решений и распределения полномочий вправе самостоятельно определить специализированное подразделение, например, службу внутреннего контроля, или несколько подразделений, ответственное (ответственных) за управление отдельными видами операционного риска.

При этом в соответствии с абзацем седьмым пункта 1.3 Положения № 716-П в случае если специализированное подразделение (например, служба внутреннего контроля) организационно независимо от службы управления рисками кредитной организации, кредитная организация с учетом подпункта 4.1.3 пункта 4.1 Положения № 716-П определяет во внутренних документах соблюдение процедур управления операционным риском, обмен информации, предоставление отчетности и другие элементы взаимодействия между службой управления рисками и специализированным подразделением.

Обращаем внимание, что в соответствии с требованиями Положения № 716-П кредитная организация вправе не назначать специализированные подразделения по управлению отдельными видами операционного риска. В данном случае в соответствии с абзацем двенадцатым пункта 1.4 Положения № 716-П процедуры управления отдельными видами операционного риска должны выполняться подразделением, ответственным за организацию управления операционным риском, в составе службы управления рисками.

Дополнительные комментарии Банка России относительно специализированных подразделений размещены на официальном сайте Банка России в следующих разделах: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» «О видах операционного риска» (вопрос № 2), «О видах операционного риска (часть 2)» (вопрос № 2), «Об элементах системы управления операционным риском (часть 2)» (вопрос № 2), «О видах операционного риска (часть 5)» (вопрос № 1).

По вопросу 5.

В соответствии с абзацем пятым пункта 7.7 Положения № 716-П в кредитной организации должно быть определено должностное лицо (лицо, его замещающее), ответственное за функционирование системы обеспечения информационной безопасности (с прямым подчинением лицу, осуществляющему функции единоличного исполнительного органа кредитной организации, или его заместителю) и не участвующее в совершении операций, сделок, организации бухгалтерского и управленческого учета, обеспечении функционирования информационных систем. Одновременно в соответствии с абзацем третьим пункта 8.3 Положения № 716-П в кредитной организации должно быть определено должностное лицо (лицо, его замещающее), ответственное за обеспечение функционирования информационных систем кредитной организации и координацию деятельности подразделения(подразделений), ответственного (ответственных) за обеспечение функционирования информационных систем. Согласно подпункту 8.8.10 пункта 8.8 Положения № 716-П коллегиальный исполнительный орган кредитной организации определяет должностное лицо (лицо, его замещающее), ответственное за обеспечение непрерывности функционирования информационных систем в кредитной организации, включая его полномочия и требования к его квалификации.

Вышеуказанные должностные лица должны быть назначены кредитной организации из числа работников кредитной организации.

Дополнительные комментарии Банка России относительно порядка назначения должностных лиц кредитной организации размещены на официальном сайте Банка России в следующих разделах: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» «Об управлении риском информационной безопасности» (вопросы № 1, 2), «Об управлении риском информационных систем», «Об управлении риском информационной безопасности (часть 2)» (вопросы № 1, 2, 4, 5), «Об управлении риском информационных систем (часть 3)» (вопрос № 1).

Печать

1. С учетом приведения системы управления операционным риском в соответствие с требованиями Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) в срок до 01.01.2022, должна ли первая ежегодная оценка эффективности функционирования системы управления операционным риском быть проведена в течение 2023 года за 2022 год?

2. В соответствии с требованиями подпункта 2.1.5 пункта 2.1 Положения № 716-П кредитная организация (головная кредитная организация банковский группы) (далее – кредитная организация) определяет критерии самооценки операционного риска, которые должны включать критерии оценки уровня существенности операционного риска с соотнесением к четырехуровневой шкале: «очень высокий», «высокий», «средний», «низкий». Вправе ли кредитная организация внедрить самостоятельно разработанную трехуровневую шкалу: «низкий», «средний». «высокий»?

от 17.05.2022 № 716-P-2022/70

По вопросу 1.

Мнение кредитной организации подтверждаем.

По вопросу 2.

Положение № 716-П не предусматривает для кредитной организации в целях проведения процедуры самооценки операционного риска возможности определения шкалы оценки уровня существенности операционного риска, отличной от шкалы, указанной в абзаце одиннадцатом подпункта 2.1.5 пункта 2.1 Положения № 716-П, так как данная классификация используется в иных нормах Положения № 716-П.

Печать

1. Правильно ли понимание, что если банк с базовой лицензией использует регуляторный подход, то объем капитала, выделяемого на покрытие потерь от реализации операционного риска, определяется по формулам, приведенным в пункте 3 приложения 2 к Положению Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), без расчета компонент ?_(Кi,ИБ) и ?_(Кi,ОР) на базе «сценарного анализа»?

2. В каких целях осуществляется расчет показателей в соответствии с пунктом 3 приложения 2 к Положению № 716-П, есть ли необходимость приводить их к совокупному показателю?

от 17.05.2022 № 716-P-2022/69

По вопросу 1.

В соответствии с абзацем третьим подпункта 9.3.1 пункта 9.3 Положения № 716-П кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация), которая на начало текущего отчетного года является банком с базовой лицензией, не обязана применять сценарный анализ операционных рисков в качестве способа проведения процедуры качественной оценки уровня операционного риска. Однако показатели, установленные абзацами десятым и одиннадцатым пункта 3 приложения 2 к Положению № 716-П, предназначены для организации контроля со стороны кредитной организации лимита прямых (совокупных) годовых потерь от реализации событий операционного риска и риска информационной безопасности на уровне кредитной организации в целом, а не для целей проведения процедуры качественной оценки уровня операционного риска. При этом в соответствии с подпунктом 4.3 пункта 4 приложения 2 к Положению № 716-П сценарный анализ применяется кредитной организацией только в случае отсутствия данных о прямых потерях от реализации событий операционного риска и (или) событий риска информационной безопасности за три последних календарных года, и будет являться экспертным суждением группы экспертов о наличии возможности превышения величины прямых потерь последующего года над контрольным значением контрольного показателя, установленного на этот год. Например, чем консервативнее значение данного контрольного показателя, тем возможность превышения фактических потерь над ним сильно снижается и значения показателей ?_(Кi,ИБ) и ?_(Кi,ОР) можно будет устанавливать близкими к нулю.

Одновременно обращаем внимание, что Банком России подготовлен проект указания Банка России «О внесении изменений в Положение Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», которым предусмотрено внесение изменений в абзацы десятый и одиннадцатый подпункта 1.1.1 пункта 1 приложения 2 к Положению № 716 П. В соответствии с данными изменениями кредитная организация (головная кредитная организация банковской группы) должна будет определять показатели ?_(Кi,ИБ) и ?_(Кi,ОР) с использованием анализа возможного превышения фактической величины чистых прямых потерь над контрольным значением контрольного показателя – общей суммы чистых прямых годовых потерь, соответственно, от реализации событий риска информационной безопасности и от реализации событий операционного риска за вычетом чистых прямых потерь от реализации событий риска информационной безопасности.

По вопросу 2.

Расчет показателей в соответствии с пунктом 3 приложения 2 к Положению № 716-П проводится для целей определения объема базового, основного капитала и величины собственных средств (капитала), необходимых на покрытие потерь от реализации событий операционного риска для цели обеспечения требований Инструкции Банка России от 29 ноября 2019 года № 199-И «Об обязательных нормативах и надбавках к нормативам достаточности капитала банков с универсальной лицензией» по соблюдению следующих обязательных нормативов достаточности капитала: Н1.1, Н1.2, Н1.0. Для цели расчета необходимого капитала на покрытие ожидаемых и непредвиденных потерь от операционного риска кредитная организация проводит оценку превышения фактической совокупной величины прямых годовых потерь от реализации событий операционного риска над целевым (прогнозным) значением размера операционного риска (?Кi,ОР) и учитывает ее при определении необходимого объема капитала, выделяемого ей в составе всех трех видов капиталов (базового, основного капитала и величины собственных средств (капитала)) на покрытие потерь от реализации событий операционного риска. С учетом порядка расчета величины базового, основного капитала и величины собственных средств (капитала), определяемого Положением Банка России от 4 июля 2018 года № 646-П «О методике определения собственных средств (капитала) кредитных организаций («Базель III»)», необходимость в определении дополнительного совокупного показателя отсутствует.

Печать

1. Следует ли для расчета контрольного показателя уровня риска информационной безопасности, указанного в абзаце пятом подпункта 1.2.1 пункта 1.2 приложения 1 к Положению Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) (а именно «общей суммы операций по переводу денежных средств через платежную систему Банка России»), включать все исходящие денежные переводы по корреспондентскому счету кредитной организации, открытому в Банке России, включая денежные переводы и платежи, связанные как с собственными операциями кредитной организации, так и с операциями клиентов кредитной организации?

2. Следует ли для расчета контрольного показателя уровня риска информационной безопасности, указанного в абзаце шестом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П (а именно в «общей суммы переводов денежных средств и платежей в платежных системах»), включать сумму всех исходящих денежных платежей и переводов, включая денежные переводы и платежи, связанные как с собственными операциями Банка, так и с операциями клиентов Банка, по корреспондентским счетам, открытым в Банке России, банках-корреспондентах и небанковских кредитных организациях, за исключением денежных переводов и платежей по счетам для осуществления клиринга?

3. Следует ли для расчета контрольного показателя уровня риска информационной безопасности, указанного в абзаце седьмом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П (а именно «общей суммы переводов за этот же период»), включать данные из отчетной формы 0403203 «Сведения о событиях, связанных с нарушением защиты информации при осуществлении переводов денежных средств» (строка № 5 «Итого по подразделу 2.1? подраздела 2.1, столбец № 3 «Общая сумма денежных средств, переведенных (списанных)  с банковских счетов клиентов на основании распоряжений, переданных с использованием электронного средства платежа»)?

4. Возможно ли установление целевых значений не для всех контрольных показателей уровня риска информационной безопасности?

от 17.05.2022 № 716-P-2022/68

По вопросу 1.

Предполагается, что при расчете кредитной организацией контрольного показателя уровня риска информационной безопасности, указанного в абзаце пятом подпункта 1.2.1 пункта 1.2 приложения 1 к Положению № 716-П, учитываются, в том числе, его потери как участника сервиса быстрых платежей.

По вопросу 2.

Переводы и платежи по счетам для осуществления клиринга не учитываются при определении контрольного показателя уровня риска информационной безопасности, указанного в абзаце шестом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П.

По вопросу 3.

Полагаем целесообразным для расчета контрольного показателя уровня риска информационной безопасности, указанного в абзаце седьмом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П, использовать данные, включаемые в отчетность по форме 0403203 «Сведения о событиях, связанных с нарушением защиты информации при осуществлении переводов денежных средств».

По вопросу 4.

В соответствии с пунктом 5.1 Положения № 716-П в целях контроля за уровнем операционного риска кредитная организация определяет во внутренних документах на плановый годовой период контрольные показатели уровня операционного риска (далее – КПУР) в соответствии с приложением 1 к Положению № 716-П, а также устанавливает целевые значения этих показателей. При этом количественные контрольные показатели риска информационной безопасности, указанные в абзацах десятом-четырнадцатом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П, устанавливаются в случае, если кредитная организация применяет продвинутый подход к расчету объема капитала, выделяемого на покрытие потерь от реализации операционного риска.

Дополнительные комментарии Банка России по вопросам порядка утверждения КПУР размещены на сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О контрольных показателях уровня операционного риска», вопрос 2.

Печать

1. В случае если у кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) по состоянию на 1 января 2022 года отсутствуют статистические данные о событиях операционного риска, необходимые для расчета сигнальных и контрольных (далее – целевых) значений контрольных показателей уровня операционного риска (далее – КПУР), каким образом следует определять целевые значения КПУР?

2. Может ли кредитная организация не устанавливать целевые значения отдельных КПУР в случае, если значение собственных средств (капитала) являются отрицательными в соответствии с Планом восстановления величины собственных средств (капитала) и Планом финансового оздоровления?

3. Правильно ли понимание, что установление целевых значений КПУР в целом по кредитной организации, а также установление целевых значений КПУР в разрезе направлений деятельности, а затем процессов возможно агрегировать исходя из принципа существенности в зависимости от объема совершаемых операций? Например, не будет ли противоречить Положению Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) установление кредитной организацией показателей в целом на направление деятельности (например, направление «Обеспечение деятельности кредитной организации»), без разбивки по процессам, или установление показателей исключительно на те процессы, вероятность возникновения операционного риска в которых, по мнению кредитной организации, высока?

4. В случае если целевые значения КПУР, рассчитанные на основе статистических данных о событиях операционного риска за период менее десяти лет, представляют собой величины, которые, по мнению кредитной организации, не соответствуют масштабам и характеру деятельности кредитной организации (например, получены крайне незначительные величины), вправе ли кредитная организация использовать иные данные в целях расчета целевых значений КПУР?

от 17.05.2022 № 716-P-2022/67

По вопросу 1.

В случае если у кредитной организации по состоянию на 01.01.2022 отсутствуют статистические данные о событиях операционного риска, необходимые для расчета целевых значений КПУР, кредитная организация в соответствии с требованиями абзаца второго пункта 5.3 Положения № 716-П осуществляет расчет целевых значений КПУР на 2022 год на основе фактически имеющегося периода (например, за 2021 год) наблюдений данных, участвующих в расчете, с учетом возможной корректировки значений этих показателей на прогноз изменения объема операций и (или) оценки уровня операционного риска на 2022 год по сравнению с предыдущим периодом (например, 2021 годом).

В данном случае подразделение кредитной организации, ответственное за организацию управления операционным риском, должно определить во внутренних документах методику расчета целевых значений КПУР на 2022 год с учетом недостающих данных. Для данных целей кредитная организация вправе:

произвести ретроспективный анализ произошедших событий операционного риска как минимум за 2021 год. Следует отметить, что Положение № 716-П вступило в силу с 01.10.2020 и у кредитных организаций было больше года для накопления необходимых исторических данных для расчета целевых значений КПУР;

определить целевые значения КПУР на основе экспертного суждения об уровне операционного риска по кредитной организации в целом, в зависимости от характера и масштаба деятельности кредитной организации (например, используя, при необходимости, открытые внешние данные о годовых суммах потерь кредитных организаций от операционного риска, в том числе риска информационной безопасности).

В соответствии с абзацем третьим пункта 5.3 Положения № 716-П кредитная организация должна оформить расчет и обоснование целевых значений КПУР в виде заключения и включить его в состав материалов, направляемых им на рассмотрение коллегиальным исполнительным органом кредитной организации при утверждении (пересмотре) политики управления операционным риском.

Дополнительные комментарии Банка России по вопросу расчета КПУР размещены на официальном сайте Банка России в следующих разделах: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О контрольных показателях уровня операционного риска (часть 3)», вопрос 1.

По вопросу 2.

В соответствии с пунктом 5.1 Положения № 716-П в целях контроля за уровнем операционного риска кредитная организация определяет во внутренних документах на плановый годовой период КПУР согласно приложению 1 к Положению № 716-П, а также устанавливает целевые значения этих показателей.

Кредитная организация определяет во внутренних документах порядок установления и контроля соблюдения КПУР. Кредитная организация вправе установить во внутренних документах соответствующие порядки, в том числе, в случае, если величины базового капитала и величины общего капитала (собственных средств) принимают отрицательные значения. В этом случае, например, для целей расчета КПУР кредитная организация может временно, на период отрицательного значения базового капитала, применять только сумму источников собственных средств, принимаемых в расчет базового капитала, перечисленных в подпункте 2.1 пункта 2 Положения Банка России от 04.07.2018 № 646-П «О методике определения собственных средств (капитала) кредитных организаций («Базель III»)» (далее – Положение № 646 П) и не учитывать показатели, уменьшающие сумму источников базового капитала, перечисленные в подпункте 2.2 пункта 2 Положения № 646-П.

В связи с вышеизложенным, вне зависимости от величины базового капитала и величины общего капитала (собственных средств) кредитная организация должна определить во внутренних документах на плановый годовой период КПУР, указанные в абзацах третьем, десятом подпункта 1.1.1 и абзаце четвертом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П.

По вопросу 3.

Кредитная организация вправе принять решение об установлении целевых значений КПУР в целом по кредитной организации и в разрезе направлений деятельности, без разбивки по составляющим их процессам и подразделениям, ответственным за осуществление операций и сделок и за результаты процесса. Однако при принятии данного решения рекомендуем кредитной организации во внутренних документах привести подробное обоснование аллокации сигнальных и контрольных значений КПУР на направления деятельности.

По вопросу 4.

Подразделение, ответственное за организацию управления операционным риском, проводит расчет целевых значений КПУР на основе статистических данных о событиях операционного риска в соответствии с пунктом 5.3 Положения № 716-П, при этом, в случае если период ведения базы событий кредитной организации составляет менее десяти лет, данный расчет может базироваться и на иных данных (например, на результатах стресс-тестирования и прогнозирования изменений подверженности событиям операционного риска на плановых период в результате возникновения факторов и обстоятельств, которые отсутствовали в прошлых периодах и не были учтены в предыдущей статистке). В случае дополнительного увеличения расчетных значений показателей (сверх данных предыдущей статистики), подразделение, ответственное за организацию управления операционным риском, должно оформить расчет и включить соответствующее обоснование целевых значений КПУР, формируемое в соответствии с пунктом 5.3 Положение № 716-П, заново утвердив данное обоснование решением коллегиального исполнительного органа кредитной организации.

Печать

1. В соответствии с требованиями пункта 3.12 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) прямые потери, отраженные на счетах по учету расходов, убытков в бухгалтерском учете в соответствии с Положением Банка России от 22.12.2014 «О порядке определения доходов, расходов и прочего совокупного дохода кредитных организаций», и приравненных к ним счетах по учету дебиторской задолженности, классифицируются кредитной организацией (головной кредитной организацией банковской группы) (далее – кредитная организация) по видам потерь в соответствии с подпунктами 3.12.1 — 3.12.10 пункта 3.12 Положения № 716-П. Достаточно ли в базе событий операционного риска отражать прямые потери лишь первого уровня, либо в базе событий операционного риска необходимо также отражать классификацию потерь второго уровня согласно абзацам второго-девятого подпункта 3.12.1, второго-четвертого подпункта 3.12.5, второго — пятого подпункта 3.12.6 пункта 3.12 Положения № 716-П?

2. К какому направлению деятельности в целях классификации событий операционного риска в соответствии с пунктом 3.9 Положения № 716-П следует отнести события операционного риска, связанные с проведением платежей юридических лиц, направляемых в другие кредитные организации, осуществляемые через корреспондентский счет в Банке России?

3. К какому типу события второго уровня в целях классификации событий операционного риска в соответствии с пунктом 7 приложения 4 к Положению № 716-П следует отнести несвоевременную отправку уведомления об открытии счета физического или юридического лица в налоговые органы? К какому направлению деятельности в целях классификации событий операционного риска в соответствии с пунктом 3.9 Положения № 716-П следует относить данное событие?

4. В случае отсутствия клиентского досье по контрагенту кредитной организации, к какому типу событий следует относить данное событие?

5. На сколько тип события «нарушение организации, исполнения и управления процессами кредитной организации», включающий в себя «ошибки расчетно-кассового обслуживания и управления счетами клиентов, состоящие в нарушении порядка работы со счетами клиентов, в том числе работы со средствами клиентов, находящимися в доверительном управлении», относится к событиям расчётно-кассового обслуживания, совершённым вне контекста доверительного управления со счетами клиентов?

6. К какому направлению деятельности в соответствии с пунктом 3.9 Положения № 716-П следует относить процесс, связанный с осуществлением кредитной организацией функции оператора платежной системы?

от 17.05.2022 № 716-P-2022/66

По вопросу 1.

В соответствии с абзацем двадцать седьмым пункта 6.6 Положения № 716-П база событий кредитной организации должна содержать информацию по каждому виду потерь от реализации события операционного риска в соответствии с пунктом 3.11 Положения № 716-П. В подпунктах 3.12.1 – 3.12.10 пункте 3.12 Положения № 716-П указана детализированная классификация видов прямых потерь от реализации событий операционного риска первого уровня, которую также следует отражать в базе событий. Обращаем внимание, что информация о прямых потерях от реализации событий операционного риска в разбивке по видам прямых потерь в соответствии с классификацией первого уровня, указанной в подпунктах 3.12.1 – 3.12.10 пункта 3.12 Положения № 716-П, предусмотрена в отчетности по форме 0409106 «Об управлении операционным риском в кредитной организации», которая планируется к вступлению в силу в 2022 году. Информацию в рамках классификации прямых потерь второго уровня, указанную в абзацах втором – девятом подпункта 3.12.1, втором – четвертом подпункта 3.12.5, втором – пятом подпункта 3.12.6 пункта 3.12 Положения № 716-П кредитная организация вправе указывать в базе событий по своему усмотрению.

По вопросу 2.

Классификацию событий операционного риска, связанных с проведением платежей юридических лиц, направляемых в другие кредитные организации, следует осуществлять с учетом этапа процесса, в рамках которого было реализовано данное событие.

В случае если событие операционного риска было реализовано в рамках оказания кредитной организацией банковской услуги по проведению платежей юридических лиц (например, прием, обработка платежа и т д.), то его следует классифицировать по направлению деятельности «коммерческое банковское обслуживание корпоративных клиентов» в соответствии с подпунктом 3.9.4 пункта 3.9 Положения № 716-П.

В случае если событие было реализовано на этапе осуществления перевода денежных средств, платежей через платежные системы, в том числе платежную систему Банка России, в которых кредитная организация выступает как участник или оператор перевода денежных средств, события операционного риска, реализованные в рамках данного процесса (проведения платежа через платежную систему), следует классифицировать по направлению деятельности «осуществление переводов денежных средств, платежей и расчетов через платежные системы», с учетом требований подпункта 3.9.5 пункта 3.9 Положения № 716-П.

По вопросу 3.

Событие операционного риска, связанное с несвоевременной отправкой уведомления об открытии счета физического лица или юридического лица в налоговые органы, в рамках дополнительной классификации по типам событий операционного риска следует относить к ошибкам во внутренних процессах бухгалтерского и аналитического учета и отчетности, состоящие в нарушении правил и сроков соблюдения бухгалтерского учета и предоставления отчетности в соответствии с пунктом 7.2 приложения 4 к Положению № 716 П.

В рамках классификации по направлениям деятельности кредитной организации вышеуказанное событие следует классифицировать как «Розничное банковское обслуживание» в соответствии с подпунктом 3.9.3 пункта 3.9 Положения № 716-П или «Коммерческое банковское обслуживание корпоративных клиентов» в соответствии с подпунктом 3.9.4 пункта 3.9 Положения № 716-П в зависимости от вида клиента, характера и масштаба выполняемых процессов кредитной организации.

По вопросу 4.

В случае отсутствия клиентского досье по контрагенту кредитной организации, данное событие следует относить к типу событий «ошибки при подготовке, проведении и сопровождении операций» в соответствии с пунктом 7.1 приложения 4 к Положению № 716-П.

По вопросу 5.

В соответствии с пунктом 7.4 приложения 4 к Положению № 716-П тип события операционного риска «ошибки расчетно-кассового обслуживания и управления счетами клиентов» состоит в нарушении порядка работы со счетами клиентов, в том числе работы со средствами клиентов, находящимися в доверительном управлении. Таким образом, к данному типу события следует относить все ошибки расчетно-кассового обслуживания и управления счетами клиентов, не ограниваясь ошибками в работе со счетами клиентов, находящимися в доверительном управлении.

По вопросу 6.

Процесс кредитной организации, указанный в вопросе, считаем целесообразным относить к направлению деятельности «осуществление переводов денежных средств, платежей и расчетов через платежные системы» в соответствии с подпунктом 3.9.5 пункта 3.9 Положения № 716-П.

Печать

1. С учетом требований пунктов 6.9 и 6.10 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее — Положение № 716-П), вправе ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) в целях унификации методологии учета и классификации событий операционного риска и событий иных видов нефинансовых рисков (в том числе, событий регуляторного риска), связанных с операционным риском, установить порог регистрации данных событий рисков, соответствующий порогу регистрации событий операционного риска, установленному кредитной организацией в соответствии с пунктом 6.5 Положения № 716-П?

2. В случае если кредитная организация не использует модели количественной оценки рисков в значениях, определенных Указанием Банка России от 15.04.2015 № 3624-У «О требованиях к системе управления рисками и капиталом кредитной организации и банковской группы», вправе ли кредитная организация не определять модельный риск как вид операционного риска, присущий ее деятельности?

3. Следует ли любой платёж, совершаемый через корреспондентские счета Банка России и несущий в себе риск реализации операционного риска, относить к риску платежной системы?

4. Следует ли относить к правовому риску в соответствии с абзацем четвертым пункта 1.4 Положения № 716-П события, связанные с нарушением клиентами и (или) контрагентами условий договоров?

5. Следует ли относить к операционному риску платёжной системы события, связанные с отказом, полученным из платёжной системы Банка России по пакету электронно-платёжных документов (R-макет) вследствие несовершенства процессов/ ошибок сотрудников/ сбоя систем/ внешних факторов?

от 17.05.2022 № 716-P-2022/65

По вопросу 1.

Положением № 716-П устанавливаются единые нормативные требования к ведению базы событий операционного риска, которые необходимы для внедрения кредитными организациями нового стандартизованного подхода к оценке операционного риска для целей расчета норматива достаточности капитала в соответствии со стандартом «Базель III» и Положением Банка России от 07.12.2020 № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банков России надзора за его соблюдением» (далее – Положение № 744-П).

В соответствии с вышеуказанным подходом прямые потери от нефинансовых рисков, в том числе регуляторного риска, связанные с операционным риском, необходимо включать в расчет коэффициента внутренних потерь, определяемого в соответствии с абзацем седьмым пункта 1.2 Положения № 744-П, который рассчитывается на основании базы событий операционного риска. В целях корректного расчета размера операционного риска в соответствии с требованиями Положения № 744-П прямые потери от реализации регуляторного риска, а также потенциальные потери, которые могут стать прямыми, следует включать в базу событий операционного риска, с учетом требований главы 9 Положения № 716-П.

В случае, когда кредитная организация ведет раздельные базы событий регуляторного риска и операционного риска, в соответствии с пунктом 6.9 Положения № 716-П кредитная организация должна обеспечить единый подход к идентификации, оценке и классификации событий операционного риска и событий регуляторного и (или) других нефинансовых рисков, связанных с операционным риском, исключающий дублирование и пропуски информации, связанные с раздельным ведением баз событий. В соответствии с требованиями пункта 6.10 Положения № 716-П кредитная организация в случае раздельного ведения баз событий обязана ежемесячно на отчетную дату включать в состав базы событий операционного риска события регуляторного риска и (или) других нефинансовых рисков с прямыми потерями, связанными с реализацией операционного риска, с учетом соблюдения требований глав 2 и 3, а также пунктов 6.6 – 6.19 Положения № 716-П, в том числе с учетом порога регистрации, установленного во внутренних документах кредитной организации в соответствии с требованиями пункта 6.5 Положения № 716-П.

По вопросу 2.

Модельный риск распространяется на все модели количественной оценки, применяемые кредитной организацией в своей деятельности при принятии управленческих и (или) финансовых решений, так как ошибки в моделях могут стать причиной финансовых потерь кредитной организации из-за данных решений. Обращаем внимание, что в случае если кредитная организация применяет в своей деятельности иные модели количественной оценки, отличные от указанных в вопросе 2, кредитной организации также следует определять модельный риск как вид операционного риска, присущий ее деятельности.

По вопросу 3.

Операционный риск платежной системы, используется в значении, указанном в пункте 1.4 Положения № 716-П. В случае, если платёж, совершаемый через корреспондентские счета Банка России, осуществляется без использования платежных систем и при проведении данного платежа реализовалось событие операционного риска, то такое событие при регистрации в базе событий не следует относить в виду операционного риска «операционный риску платежных систем» в соответствии с пунктом 1.4 Положения № 716-П, при этом следует для данного события операционного риска следует указать все элементы классификации, указанные в пункте 3.1 Положения № 716-П.

По вопросу 4.

В случае если нарушение клиентами и (или) контрагентами кредитной организации условий договоров обусловлено источниками операционного риска, указанными в пункте 1.3 Положения № 716-П, данное событие следует считать событием операционного риска, которое подлежит регистрации в базе событий с учетом порога регистрации и требований главы 9 Положения № 716-П.

Например, если неисполнение клиентом/контрагентом условий договора произошло по причине их сознательных преднамеренных действий или намерений не исполнять условия договора при его заключении, то такие события следует относить к операционным рискам. Если же неисполнение условий кредитного договора произошло по причине объективного характера, не зависящим от воли и действий добросовестного клиента/контрагента (например, реализации бизнес-риска при выполнении кредитного договора, или введения санкций или ограничений со стороны органов регулирования иностранных государств), то такие события следует классифицировать по первичному источнику риску — как события кредитного риска, которые произошли в бизнесе клиента/заемщика по объективным обстоятельствам, не зависящим от воли и действий заемщика, а неисполнение договоров – это следствие от реализация такого кредитного риска.

Дополнительные комментарии Банка России по вопросам регистрации в базе событий случаев, связанных с невыполнением контрагентами/клиентами условий договоров размещены на сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 4)», вопросы 4, 18.

По вопросу 5.

Пример события операционного риска, указанный в вопросе 5, следует относить к операционному риску платежной системы в соответствии с абзацем одиннадцатым пункта 1.4 Положения № 716-П и направлению деятельности «осуществление переводов денежных средств, платежей и расчетов через платежные системы» в соответствии с подпунктом 3.9.5 пункта 3.9 Положения № 716-П.

Печать

1. Является ли обесценение активов и формирование резервов вследствие реализации странового и/или геополитического рисков (например, из-за введения санкций и ограничений иностранными государствами) потерями от операционного риска? Нужно ли при наступлении таких потерь регистрировать событие операционного риска?

2. Являются ли ущерб материальных активов (например, уничтожение или потеря потребительских свойств) кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация), вызванный военными действиями, потерями от операционного риска и требуется ли регистрация таких событий в базе событий в соответствии с подпунктом 3.6.5 пункта 3.6 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

3. Подлежит ли регистрации в базе событий как событие операционного риска возврат комиссий, пеней, штрафов и неустоек за расчетно-кассовое обслуживание и пользование кредитными продуктами, предусмотренные тарифами кредитной организации, если он не вызван источниками операционного риска и компенсирован в рамках проявления лояльности к клиентам?

4. Что понимается под верификацией корректности исправления записи в базе событий в соответствии с пунктом 6.20 Положения № 716-П? С какой периодичностью следует осуществлять указанную верификацию? Следует ли осуществлять верификацию всех внесенных изменений и дополнений, либо допускается осуществлять верификацию изменений и дополнений на выборочной основе? Какое подразделение кредитной организации должно осуществлять указанную верификацию?

5. Вправе ли кредитная организация, являющаяся банком с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., не регистрировать в базе событий события, не повлекшие прямые, косвенные или потенциальные потери или повлекшие потери ниже порога регистрации, вне зависимости от типа событий операционного риска или величины потенциальных потерь?

6. Просьба пояснить правила отражения в базе событий потерь от реализации события операционного риска и возмещения по нему в случае, если они произошли в разные годы?

7. В случае если в отчетном периоде (например, в 2021 году) была реализована потеря по событию операционного риска, реализованному в предыдущем отчетном периоде (например, в 2020 году), и которое не было зарегистрировано в базе событий по причине величины потерь, не достигшей минимально установленного кредитной организацией порога регистрации, каким образом следует регистрировать в базе событий в данное событие операционного риска?

8. Обязана ли кредитная организация переносить данные о событиях операционного риска за годы, предшествующие 2022 году, в автоматизированную систему?

9. В случае если по терминалу клиента кредитной организации не зачислился платеж по технической причине, при этом кредитная организация в течение трех дней устранила данную ошибку и необходимая сумма была зачислена, следует ли регистрировать данное событие в базе событий?

10. Подлежит ли регистрации как событие операционного риска событие, при котором клиент кредитной организации понес потери в результате обналичивания денежных средств посредством банкомата сторонней кредитной организации (например, недополучил запрашиваемую сумму по причине сбоя банкомата, а деньги с карты были списаны) и за компенсацией потерь обратился к эмитенту карты?

от 17.05.2022 № 716-P-2022/64

По вопросу 1.

Потери кредитной организации, связанные с обесценением активов и начислением резервов вследствие введения санкций и ограничений иностранными государствами, следует относить к потерям от реализации странового и (или) геополитического рисков. В связи с тем, что их реализация не связана с источниками операционного риска, указанными в пункте 3.3 Положения № 716-П, данные потери не следует относить к потерям от операционного риска и регистрировать в базе событий.

По вопросу 2.

В случае если материальным активам кредитной организации нанесен ущерб (например, уничтожение или потеря потребительских свойств) вследствие военных действий, данные потери следует относить к событиям операционного риска, которые подлежат регистрации в базе событий с указанием источника операционного риска «Внешние причины», в соответствии с подпунктом 3.3.4 пункта 3.3 Положения № 716-П, и типа события «Ущерб материальным активам», в соответствии с подпунктом 3.6.5 пункта 3.6 Положения № 716-П.

По вопросу 3.

Возврат денежных средств клиенту при отсутствии источников операционного риска в возникновении оснований для возврата данных средств не является событием операционного риска (в случае, если правила процедуры возврата денежных средств клиенту установлены во внутренних документах и соблюдены все условия ее реализации). Например, в случае если возврат денежных средств клиенту предусмотрен особенностями действующего продукта и (или) процесса, то указанное событие не является событием операционного риска. При этом в случае, если возврат денежных средств клиенту произошел после предшествующего ему сбоя информационных систем, допущенных ошибок в алгоритме работы информационных систем и (или) работника кредитной организации, данный возврат средств нужно признавать событием операционного риска и регистрировать в базе событий.

По вопросу 4.

Под верификацией корректности исправления записи в базе событий понимается регулярная проверка уполномоченным работником кредитной организации наличия необходимой информации базе событий в соответствии с пунктом 6.20 Положения № 716-П, а также наличия соответствующих обоснований для всех корректировок, вносимых в базу событий. Обращаем внимание, что в соответствии с Положением № 716-П кредитная организация вправе самостоятельно определять во внутренних документах периодичность и порядок проведения вышеуказанной верификации. Рекомендуем осуществлять данную верификацию на ежеквартальной основе перед подготовкой отчетов, указанных в подпункте 4.2.2 пункта 4.2 Положения № 716-П, а также перед отправкой регуляторной отчетности по операционному риску в Банк России.

По вопросу 5.

Кредитная организация устанавливает во внутренних документах величину прямых и непрямых потерь от реализации события операционного риска, при которой кредитная организация регистрирует событие операционного риска в базе событий (далее – порог регистрации).

Порог регистрации устанавливается кредитной организацией в зависимости от величины потерь и типа событий операционного риска:

для событий операционного риска, относящихся к типам событий операционного риска «преднамеренные действия персонала» и «преднамеренные действия третьих лиц», указанным в подпунктах 3.6.1 и 3.6.2 пункта 3.6 Положения № 716?П, (далее – типы событий операционного риска «преднамеренные действия персонала» и «преднамеренные действия третьих лиц») порог регистрации в базе событий не устанавливается, и кредитная организация регистрирует все события операционного риска, относящиеся к данным типам событий операционного риска, в базе событий;

для событий операционного риска, потери по которым относятся к потерям (в том числе хищениям) средств клиентов, контрагентов, работников и третьих лиц, которые не были компенсированы кредитной организацией, (определены в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716 П) (далее – потери средств клиентов, контрагентов, работников и третьих лиц, не компенсированные кредитной организацией), порог регистрации в базе событий не устанавливается, и кредитная организация регистрирует все события операционного риска с указанными потерями в базе событий;

для других типов событий операционного риска, потери по которым относятся к прямым и непрямым потерям, за исключением потерь средств клиентов, контрагентов, работников и третьих лиц, не компенсированных кредитной организацией, порог регистрации в базе событий составляет не более 20 тыс. руб. При этом кредитная организация вправе установить порог регистрации менее 20 тыс. руб. и регистрировать в базе событий все события операционного риска.

С учетом вышеизложенного, кредитная организация, которая в соответствии с пунктом 9.2 Положения № 716-П является банком с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., в соответствии с подпунктом 9.2.1 пункта 9.2 Положения № 716-П в обязательном порядке регистрирует в базе событий с учетом порога регистрации события операционного риска с прямыми и (или) косвенными потерями, а также все события операционного риска с потерями средств клиентов, контрагентов, работников и третьих лиц, не компенсированными кредитной организацией, и все события операционного риска, относящиеся к типам событий операционного риска «преднамеренные действия персонала» и «преднамеренные действия третьих лиц». Регистрация событий операционного риска с качественными потерями и другими потенциальными потерями, указанными в абзаце третьем подпункта 3.13.3 пункта 3.13 Положения № 716-П, осуществляется по решению, принятому в кредитной организации. В случае если в кредитной организации принято решение о регистрации событий операционного риска с качественными потерями и реализованное событие операционного риска привело только к качественным потерям, оценка значимости которых в соответствии с абзацем двенадцатым подпункта 3.13.2 пункта 3.13 Положения № 716-П соотносится с уровнем «средние» или «низкие», кредитная организация определяет во внутренних документах требования к регистрации таких событий операционного риска в базе событий.

Дополнительные комментарии Банка России по вопросу определения порога регистрации размещены на официальном сайте Банка России в следующих разделах: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 2)» (абзац первый ответа на вопрос № 10), «О ведении базы событий (часть 3)» (вопрос № 4).

Одновременно сообщаем, что дополнительные комментарии Банка России по вопросу необходимости регистрации событий операционного риска, не повлекших потерь для кредитной организации, размещены на официальном сайте Банка России в следующих разделах: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 4)» (вопросы № 30, № 33).

По вопросу 6.

В соответствии с абзацем девятым подпункта 2.1.2 пункта 2.1 Положения № 716-П кредитная организация должна обеспечивать обновление информации о событиях операционного риска в базе событий, включая информацию о суммах потерь и возмещений, по мере ее поступления, вне зависимости от периода учета, при условии обеспечения сохранности предыдущих значений в соответствии с требованиями пункта 6.19 Положения № 716-П.

Статус «оценка потерь от реализации события операционного риска завершена» присваивается событию операционного риска в том случае, когда кредитная организация признает, что новых потерь (как прямых, так и косвенных) не возникнет и не ожидается получение возмещений по этому событию операционного риска. В случае невозможности определения суммы потерь по событию операционного риска на момент регистрации события операционного риска в базе событий должен указываться статус «оценка потерь от реализации события операционного риска не завершена».

В случае если потери от реализации операционного риска или возмещения по ним отражены на счетах бухгалтерского учета в разные отчетные периоды, кредитной организации следует регистрировать в базе событий данные потери и (или) возмещения в рамках одного события операционного риска, не создавая новую отдельную запись в базе событий по тому же событию операционного риска.

По вопросу 7.

Кредитной организации следует регистрировать событие операционного риска в базе событий в случае, если сумма потерь по нему достигает порога регистрации, установленного кредитной организацией во внутренних документах, при этом в соответствии с абзацами тридцатым и тридцать первым пункта 6.6 Положения № 716-П кредитная организация обязана в базе событий указывать дату учета потери: в случае прямой потери – дату отражения потери от реализации события операционного риска на счетах бухгалтерского учета, а также информацию о бухгалтерской записи (бухгалтерских записях) в бухгалтерском учете, содержащей суммы прямой потери, а в случае непрямой потери – дату регистрации события в базе событий.

По вопросу 8.

Положением № 716-П не установлено требование о переносе событий операционного риска за годы, предшествующие 2022 году, в автоматизированную систему. Кредитная организация вправе самостоятельно принять соответствующее решение. При этом обращаем внимание, что если кредитная организация примет решение о применении расчетной величины коэффициента внутренних потерь для расчета размера операционного риска в соответствии с Положением Банка России от 07.12.2020 № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банком России надзора за его соблюдением», то база событий данной кредитной организации должна содержать данные о прямых потерях от реализации событий операционного риска, как минимум за 5 последних лет до даты начала расчетного года.

По вопросу 9.

В случае если в связи с задержкой платежа кредитная организация нарушает сроки, указанные в договорных обязательствах перед клиентом, что может повлечь за собой претензию со стороны клиента и выплату ему соответствующей компенсации, представленный пример является событием операционного риска, который подлежит регистрации в базе событий с учетом порога регистрации и требований главы 9 Положения № 716-П. В случае если задержка платежа была устранена в сроки, которые не влекут нарушения кредитной организацией договорный отношений с клиентом, кредитная организация вправе самостоятельно определить необходимость регистрации вышеуказанного инцидента в базе событий с указанием вида качественной потери «снижение качества предоставления услуг, выполнения операций» в соответствии с абзацем седьмым подпункта 3.12.2 пункта 3.12 Положения № 716-П, для цели введения соответствующего КИР, контролирующего количество таких сбоев, и последующего его мониторинга в соответствии с подпунктом 2.1.7 пункта 2.1 Положения № 716-П.

По вопросу 10.

Представленный в описании пример не признается событием операционного риска (так как произошел вне операционной среды и (или) оборудования кредитной организации) в случае если данный вид компенсации предусмотрен особенностями действующего продукта и (или) процесса (например, указан в каталоге типовых расходных операций по данному продукту).

Печать

от 25.04.2022 № 716-P-2021/63

В соответствии с пунктом 4.4 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) уполномоченное подразделение кредитной организации должно проводить ежегодную оценку эффективности функционирования системы управления операционным риском, в том числе оценку эффективности выполнения принятых в кредитной организации (головной кредитной организации банковской группы) процедур управления операционным риском.

В связи с этим Банк России публикует рекомендации по осуществлению оценки эффективности системы управления операционным риском в кредитной организации (головной кредитной организации банковской группы), разработанные в соответствии с Положением № 716-П.

Печать

от 21.03.2022 № 716-P-2021/62

Кредитная организаций в соответствии с подпунктом 4.1.1 пункта 4.1 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) должна определить перечень процессов, отнесенных к направлениям деятельности, с указанием уровня их критичности и подразделений, ответственных за осуществление операций и сделок и за результаты процесса.

В связи с этим Банк России публикует примерный перечень процессов второго и первого уровня классификации в рамках направлений деятельности (приложение к настоящему разъяснению), разработанный в соответствии с Положением № 716-П.

Обращаем внимание, что вышеуказанный примерный перечень носит рекомендательный характер.

Кредитная организация самостоятельно разрабатывает перечень процессов в соответствии с характером и масштабом ее деятельности, а также определяет последующие уровни классификации процессов и их этапов с учетом осуществляемых операций и (или) действующих процессов кредитной организации.

Печать

Если кредитная организация объединяет события операционного риска в группы по критериям однородности в соответствии с требованиями пункта 6.12 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), при формировании отчета об управлении операционным риском (например, расчета общего количества событий операционного риска, средней величины прямых и косвенных потерь), группу однородных событий следует учитывать как одно событие или по количеству событий, объединенных в группу?

от 30.11.2021 № 716-P-2021/61

В соответствии с пунктом 6.12 Положения № 716-П кредитная организация определяет во внутренних документах критерии однородности событий операционного риска для целей их группировки. Для целей формирования отчетов по управлению операционным риском, указанных в пункте 4.2 Положения № 716-П, рекомендуем все однородные события операционного риска, объединенные в группу в базе событий, учитывать как одно событие операционного иска. Например, если в результате сбоя информационных систем кредитной организации не были своевременно обработаны 100 платежных документов клиентов, рекомендуем для целей составления отчета учитывать данный инцидент как одно событие операционного риска.

Дополнительные комментарии Банка России относительно порядка группировки однородных событий операционного риска размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 2)», вопрос № 1.

Печать

Каким образом кредитной организации, перешедшей на применение Положения Банка России от 07.12.2020 № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банком России надзора за его соблюдением» (далее – Положение № 744-П), следует определять показатель объема операционного риска (Д), используемый для расчета контрольных показателей уровня операционного риска, указанных в приложении 1 к Положению Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положения № 716-П)?

от 30.11.2021 № 716-P-2021/60

Кредитная организация применяет показатель объема операционного риска либо в виде показателя Д, рассчитанного в соответствии с пунктом 3 Положения Банка России от 03.09.2018 № 652-П «О порядке расчета размера операционного риска» (далее – Положение № 652-П), на последнюю отчетную дату для кредитных организаций, применяющих для расчета размера операционного риска Положение № 652-П, либо в виде показателя бизнес-индикатора, рассчитанного в соответствии с пунктом 2.2 Положения № 744-П, на последнюю расчетную дату для кредитных организаций, применяющих для расчета размера операционного риска Положение № 744-П.

Печать

Правильно ли понимание, что кредитная организация (головная кредитная организации банковской группы) (далее – кредитная организация) разрабатывает и утверждает план по обеспечению непрерывности и (или) восстановления деятельности, указанный в абзаце двенадцатом подпункта 4.1.5 пункта 4.1 Положения Банка России от 04.08.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), который является одним из элементов системы управления операционным риском в кредитной организации и, при этом, должен удовлетворять требованиям Банка России, предъявляемым к его структуре и содержанию в соответствии с рекомендациями иных нормативных актов Банка России?

от 22.10.2021 № 716-P-2021/59

В соответствии с подпунктом 4.1.5 пункта 4.1 Положения № 716-П одним из дополнительных элементов системы управления операционным риском в кредитной организации является комплекс мероприятий, направленных на повышение качества системы управления операционным риском и уменьшение негативного влияния операционного риска, включая мероприятия, направленные на предотвращение и (или) снижение вероятности событий операционного риска, и мероприятия, направленные на ограничение размера потерь от реализации событий операционного риска. В составе мероприятий, направленных на ограничение размера потерь от реализации событий операционного риска, кредитная организация осуществляет разработку планов по обеспечению непрерывности и (или) восстановления критически важных процессов и функционирования информационных систем, включая объекты информационной инфраструктуры, а также планов по обеспечению безопасности и целостности информационных систем и информации (далее – планы непрерывности и (или) восстановления критически важных процессов и функционирования ИС), в том числе в соответствии с требованиями главы 8 Положения № 716-П, с учетом внешних факторов, влияющих на критически важный процесс и (или) информационную систему, в случае реализации операционного риска, включая систему быстрого реагирования на события операционного риска.

В целях управления риском информационных систем кредитная организация во внутренних документах определяет политику информационных систем как взаимосвязанной совокупности технических и программных средств, других объектов информационной инфраструктуры, содержащейся в базах данных информации и обеспечивающих ее обработку технологий в рамках реализации мероприятий поддержки и обеспечения непрерывности функционирования процессов кредитной организации и обеспечивает ее соблюдение с учетом требований пункта 8.2 Положения № 716-П.

В соответствии с абзацем пятым пункта 8.3 Положения № 716-П кредитная организация в целях управления риском информационных систем определяет в политике информационных систем требования к информационным системам, в том числе требования по обеспечению непрерывности и качества функционирования информационных систем, а также устанавливает во внутренних документах и соблюдает требования по обеспечению непрерывности и качества функционирования информационных систем, приведенные в пункте 8.8 Положения № 716-П.

Планы непрерывности и (или) восстановления критически важных процессов и функционирования ИС должны быть учтены кредитной организацией в плане действий, направленном на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения нестандартных и чрезвычайных ситуаций, предусматривающем использование дублирующих (резервных) автоматизированных систем и (или) устройств, а также восстановление критически важных для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг, разрабатываемом в соответствии с рекомендациями иных нормативных актов Банка России.

Печать

1. Как следует применять дополнительный классификатор риска информационной безопасности, указанный в приложении 5 к Положению Банка России от 04.08.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П):

- вместо классификатора операционного риска, указанного в главе 3 Положения № 716-П;

- в дополнение к классификатору операционного риска, указанному в главе 3 Положения № 716-П?

2. Правильно ли понимание, что в соответствии с пунктом 2.6 приложения 5 к Положению № 716-П событие риска информационной безопасности должно классифицироваться по каждому их трех дополнительных источников риска информационной безопасности (источники риска реализации угроз безопасности), а не под одному из них:

- по направлению компьютерной атаки;

- по типу атакуемого объекта;

- по типу компьютерной атаки?

3. Каким образом необходимо осуществлять классификацию риска информационной безопасности согласно пункту 3 приложения 5 к Положению № 716-П:

- в соответствии с одним из пунктов 3.1 или 3.2 приложения 5 к Положению № 716-П;

- в соответствии с пунктом 3.1 приложения 5 к Положению № 716-П, а затем в соответствии с пунктом 3.2 приложения 5 к Положению № 716-П?

от 22.10.2021 № 716-P-2021/58

1. Подход, изложенный в варианте втором данного вопроса, считаем верным.

2. Кредитная организация  классифицирует события риска информационной безопасности по каждому из классификаторов, указанных в пункте 2.6 приложения 5 к Положению № 716-П.

3. Кредитная организация осуществляет детализацию классификации событий риска информационной безопасности как по способам формирования и передачи распоряжений на осуществление транзакций в соответствии с пунктом 3.1 приложения 5 к Положению № 716-П, так и по технологическим участкам в соответствии с пунктом 3.2 приложения 5 к Положению № 716-П.

Печать

Какие потери (с учетом полученного возмещения или без него) следует учитывать при проведении количественной агрегированной оценки уровня операционного риска, проводимой в соответствии подпунктом 2.1.4 пункта 2.1 Положения Банка России от 04.08.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе»?

от 22.10.2021 № 716-P-2021/57

При проведении количественной оценки для целей агрегированной оценки уровня операционного риска кредитная организация (головная кредитная организация банковской группы) проводит расчет уровня операционного риска с применением показателя суммарных чистых потерь от событий операционного риска на годовых периодах.

Печать

1. За какой период (за отчетный период или нарастающим итогом с начала года) следует указывать данные по потерям от регуляторного риска при формировании отчетов по операционному риску в соответствии с абзацем восьмым подпункта 4.2.4 пункта 4.2 Положения Банка России от 04.08.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положения № 716-П)?

2. Каким образом следует рассчитывать показатель, указанный в абзаце третьем подпункта 4.2.4 пункта 4.2 Положения № 716-П: «количество событий операционного риска в разрезе прямых потерь и косвенных потерь с начала года до отчетной даты и в отчетном периоде» — как два показателя («количество событий операционного риска в разрезе прямых потерь» и «количество событий операционного риска в разрезе косвенных потерь») или как один показатель, суммирующий количество событий с прямыми потерями и количество событий с косвенными потерями?

от 22.10.2021 № 716-P-2021/56

1. Рекомендуем для целей сопоставимости данных в отчете об управлении операционным риском рекомендуем указывать сумму прямых потерь от регуляторного риска за период, аналогичный периоду, указанному в предыдущем абзаце подпункта 4.2.4 пункта 4.2 Положения № 716 П.

2. В данном показателе в отчете об управлении операционным риском необходимо указывать как общую сумму количества событий операционного риска с прямыми и косвенными потерями, так и отдельные показатели количества событий операционного риска с прямыми потерями и количества событий операционного риска с косвенными потерями. В случае если событие операционного риска повлекло одновременно прямые и косвенные потери, то такое событие операционного риска отражается в отчете один раз, как событие с прямыми потерями.

Печать

1. Какую отчетную дату базового капитала кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) следует использовать в целях расчета контрольных показателей уровня операционного риска, указанных в подпункте 1.1.1 пункта 1.1 приложения 1 к Положению Банка России от 04.08.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положения № 716-П)?

2. Следует ли устанавливать все контрольные показатели уровня операционного риска, указанные в приложении 1 к Положению № 716-П, для каждого направления деятельности, в том числе в разрезе составляющих их процессов, и подразделений, ответственных за осуществление операций и сделок и за результаты процесса?

от 22.10.2021 № 716-P-2021/55

1. Величина базового капитала по состоянию на 01.01.20 хх.

2. Обращаем внимание, что Положение № 716-П не определяет количество контрольных показателей уровня операционного риска в разрезе направлений деятельности (в том числе в разрезе составляющих их процессов) и подразделений, ответственных за осуществление операций и сделок и за результаты процесса, в том числе не требует покрытия контрольными показателями всех возможных комбинаций направлений деятельности, составляющих их процессов и подразделений. Таким образом, Положение № 716-П определяет только перечень контрольных показателей уровня операционного риска для кредитной организации в целом, а их распределение по направлениям деятельности (в том числе, по составляющим их процессам) и подразделениям, ответственным за осуществление операций и сделок и за результаты процесса, кредитная организация определяет самостоятельно в зависимости от характера и масштаба деятельности. Для оптимизации состава контрольных показателей уровня операционного риска перечень информации в вышеуказанных разрезах может быть агрегирован кредитной организацией исходя из принципа существенности в зависимости от объема совершаемых операций, направлений деятельности и от составляющих их процессов.

Печать

Вправе ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) исходя из характера и масштабов деятельности не относить к критически важным процессам все операции, указанные в пунктах 1—4 и 9 части первой статьи 5 Федерального закона от 02.12.1990 № 395—1 «О банках и банковской деятельности» (далее – Федеральный закон № 395—1)?

Вправе ли кредитная организация не относить к критически важным процессам все процессы по ведению бухгалтерского учета, а относить только те, которые исходя из характера и масштабов деятельности кредитной организации, могут оказать существенное влияние на выполнение обязательств перед клиентами и контрагентами кредитной организации?

Вправе ли кредитная организация не относить к основным бизнес-процесс кредитования юридических и физических лиц, поскольку прерывание функционирования данных процессов не оказывает существенное влияние на выполнение обязательств перед клиентами и контрагентами кредитной организации?

от 22.10.2021 № 716-P-2021/54

В соответствии с абзацем третьим подпункта 4.1.1 пункта 4.1 Положения Банка России № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» операции кредитной организации, указанные в пунктах 1 — 4 и 9 части первой статьи 5 Федерального закона № 395?1, в том числе привлечение денежных средств физических и юридических лиц во вклады (до востребования и на определенный срок), и ведение бухгалтерского учета следует относить к критически важным процессам. Кредитная организация вправе самостоятельно исходя из характера и масштаба деятельности определить уровень критичности процессов кредитования юридических и физических лиц.

Печать

К какому направлению деятельности в соответствии с пунктом 3.9 Положения Банка России № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) следует относить бизнес-процессы кредитования юридических лиц и предоставления банковских гарантий юридическим лицам?

от 22.10.2021 № 716-P-2021/53

Бизнес-процессы кредитной организации (головной кредитной организации банковской группы) по кредитованию юридических лиц и предоставлению банковских гарантий юридическим лицам следует относить к направлению деятельности «коммерческое банковское обслуживание корпоративных клиентов» в соответствии с подпунктом 3.9.4 пункта 3.9 Положения № 716-П.

Печать

Следует ли учитывать эффект от МСФО (например, доначисление резервов) в качестве прямых потерь от реализации событий операционного риска?

от 22.10.2021 № 716-P-2021/52

В случае доначисления резервов по результатам оценки риска по МСФО в результате реализации источников операционного риска, указанных в пункте 3.3 Положения Банка России № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (например, вследствие ошибки работника, осуществлявшего расчет резервов), кредитная организация (головная кредитная организация банковской группы) учитывает доначисление резервов в качестве прямых потерь от события операционного риска. В случае доначисления резервов не по причине реализации источников операционного риска (событие операционного риска отсутствует) отражение суммы доначисленных резервов в качестве потерь не требуется.

Печать

Вправе ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) ли возлагать функции по «организации и контролю обеспечения информационной безопасности» и «обеспечению информационной безопасности» на одно структурное подразделение (например, на службу информационной безопасности)?

от 22.10.2021 № 716-P-2021/51

В соответствии с пунктом 7.5 Положения № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) в рамках организационной структуры обеспечения информационной безопасности в кредитной организации должно быть выделено подразделение (работники), ответственное (ответственные) за организацию и контроль обеспечения защиты информации (далее – служба информационной безопасности). Кредитная организация исходя из характера и масштаба деятельности вправе возложить выполнение функций, указанных в пункте 7.9 Положения № 716-П, на службу информационной безопасности.

Печать

1. Каким образом кредитной организации (головная кредитная организация банковской группы) (далее – кредитная организация) следует рассчитывать объем капитала, выделяемого на покрытие потерь от реализации событий операционного риска в разрезе направлений деятельности и составляющих их процессов в целях исполнения абзаца третьего подпункта 2.1.4 пункта 2.1 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) с учетом регуляторного подхода, выбранного кредитной организацией в целях оценки объема капитала, выделяемого на покрытие потерь от реализации событий операционного риска?

Должна ли кредитная организация для указанной цели рассчитывать показатель ОР, а также компоненты объема капитала, выделяемого на покрытие потерь от реализации видов операционного риска (?_{Ki, ИБ} и ?_{Ki, ОР}) в разрезе направлений деятельности и составляющих их процессов?

На какие критерии следует ориентироваться кредитной организации при определении степени (глубины) детализации направлений деятельности и составляющих их процессов в рамках процедур распределения капитала, выделяемого на покрытие потерь от реализации событий операционного риска?

2. При каких условиях кредитная организация вправе не определять дополнительные компоненты объема капитала (?Кi), выделяемого на покрытие потерь от реализации отдельных видов операционного риска, помимо риска информационной безопасности, указанного в пункте 3 приложения 2 к Положению № 716-П (т е. учитывать их в целом в рамках показателя ?_{Ki, ОР})?

В случае если кредитная организация определяет дополнительные компоненты объема капитала, выделяемого на покрытие потерь от реализации отдельных видов операционного риска, помимо риска информационной безопасности, указанного в пункте 3 приложения 2 к Положению № 716-П, обязана ли кредитная организация также распределить показатель ОР по отдельным видам операционного риска в целях количественной оценки объема капитала, выделяемого в рамках внутренних процедур оценки достаточности капитала на покрытие потерь от реализации событий операционного риска в разрезе риска информационной безопасности и других видов операционного риска (в соответствии с абзацем третьим подпункта 2.1.4 пункта 2.1 Положения № 716-П?

В случае если распределение показателя ОР обязательно, каковы критерии определения в нем отдельных видов риска?

от 22.10.2021 № 716-P-2021/50

1. Кредитная организация самостоятельно определяет методику оценки объема капитала, выделяемого ей в рамках внутренних процедур оценки достаточности капитала, на покрытие потерь от реализации событий операционного риска при проведении количественной оценки уровня операционного риска. При этом кредитная организация самостоятельно определяет степень (глубину) детализации проводимой оценки в разрезе направлений деятельности, в том числе составляющих их процессов, и видов операционного риска, а также детализации показателей, указанных в формуле, приведенной в пункте 3 приложения 2 к Положению № 716-П, в зависимости от характера и масштаба деятельности кредитной организации.

Для оптимизации количественной оценки уровня операционного риска оценка выделяемого кредитной организацией капитала на покрытие потерь от реализации событий операционного риска по отдельным элементам детализации может проводиться агрегировано исходя из принципа существенности в зависимости от объема совершаемых операций, направлений деятельности, в том числе составляющих их процессов, и значимости отдельных видов операционного риска кредитной организации.

2. Кредитная организация вправе как признавать отдельные виды операционного риска значимыми, так и не выделять их как значимые и управлять ими в составе операционного риска как значимым риском в целом.

Таким образом, в зависимости от подходов, предусмотренных внутренними документами кредитной организации в соответствии с пунктом 8 приложения 2 к Положению № 716-П, а также исходя из результатов оценки значимости отдельных видов операционного риска кредитная организация может включать потери от реализации событий всех видов операционного риска в совокупную величину необходимого капитала или выделять дополнительные компоненты капитала на покрытие потерь от реализации отдельных видов операционного риска в случае отнесения их к значимым.

Кредитная организация определяет величину дополнительного компонента объема капитала, выделяемого ей на покрытие потерь от реализации отдельного вида операционного риска, в соответствии с абзацем одиннадцатым пункта 3 приложения 2 к Положению № 716-П как величину возможного превышения фактической величины чистых прямых потерь над контрольным значением контрольного показателя — лимита чистых прямых годовых потерь от реализации событий данного вида операционного риска. Таким образом, независимо от того, выделяются ли дополнительные компоненты объема капитала на покрытие потерь от реализации событий отдельных видов операционного риска, кредитная организация в целях количественной оценки объема капитала, выделяемого ей на покрытие потерь от реализации событий операционного риска, распределяет расчетную величину размера операционного риска  в разрезе видов операционного риска, включая виды операционных рисков, на покрытие потерь от реализации событий которых кредитная организация выделяет дополнительные компоненты объема капитала.

Печать

1. Возможно ли назначить в качестве эксперта кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация), ответственного за определение потерь от реализации событий операционного риска в разрезе направлений деятельности, в том числе в разрезе составляющих их процессов:

- непосредственного владельца процесса, где было реализовано соответствующее событие операционного риска, при условии осуществления Службой управления рисками кредитной организации последующего контроля расчета, произведенного данным экспертом?

- сотрудника Службы управления рисками кредитной организации?

2. Допускается ли ведение базы событий на иностранном языке?

3. Необходимо ли приведение имеющихся у кредитной организации в базе событий исторических данных по событиям операционного риска в соответствие с требованиями Положения № 716-П Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

4. Допускается ли указание в базе событий нескольких типов событий в отношении одного события операционного риска, которое соответствует нескольким типам событий согласно пункту 3.6 Положения 716-П (например, когда нарушение организации, исполнения и управления процессами повлекло нарушение прав клиентов и контрагентов?

от 22.10.2021 № 716-P-2021/49

1. В соответствии с абзацем восьмым подпункта 2.1.3 пункта 2.1 Положения № 716-П кредитная организация самостоятельно осуществляет отбор и назначение экспертов кредитной организации, ответственных за расчет потерь от реализации событий операционного риска в разрезе направлений деятельности, в том числе в разрезе составляющих их процессов, областей их компетенции и ответственности, учитывая возможность совмещения функции регистрации событий операционного риска в базе событий и функции расчета потерь и возмещений от реализации событий операционного риска. Кредитная организация вправе назначить указанных экспертов как из подразделения, ответственного за осуществление операций и сделок и за результаты процесса, и подразделения, обеспечивающего процессы кредитной организации, в котором выявлен операционный риск, так и из подразделения, ответственного за организацию управления операционным риском, структурно входящего в службу управления рисками Банка.

Обращаем внимание, что экспертами, ответственными за расчет потерь от реализации событий операционного риска в разрезе направлений деятельности, в том числе в разрезе составляющих их процессов, областей их компетенции и ответственности, назначаются отдельные работники кредитной организации, а не подразделения в целом.

2. Положение № 716-П устанавливает требования к ведению баз событий, классификации, используемой в рамках системы управления операционным риском, на русском языке. Кредитная организация вправе использовать при необходимости установленные во внутренних документах собственные обозначения элементов классификации, в том числе использовать иностранный язык для ведения базы событий, при условии обеспечения идентичности, сохранности, полноты и однозначности понимания информации, отраженной в базе событий на иностранном языке, с их переводом на русский язык в соответствии с требованиями, установленными Положением № 716-П.

3. В соответствии с пунктом 10.2 Положения № 716-П система управления операционным риском подлежит приведению в соответствие с требованиями Положения № 716-П кредитной организацией, в срок до 01.01.2022. Приведение кредитной организацией данных, зарегистрированных в базе событий до 01.01.2022, в соответствие с требованиями Положения № 716-П осуществляется по усмотрению кредитной организации.

4. В соответствии с абзацем шестнадцатым пункта 6.6 Положения № 716-П кредитная организация указывает в базе событий один тип события операционного риска с учетом требований пункта 3.6 Положения № 716-П. Из приведенного примера следует, что в базе событий необходимо отразить два события операционного риска: тип первого события – нарушение организации, исполнения и управления процессами, а тип второго события – нарушение прав клиентов и контрагентов. В соответствии с абзацем девятнадцатым пункта 6.6 Положения № 716-П в базе событий необходимо указать, что второе событие операционного риска, связанное с нарушением прав клиентов и контрагентов, реализовалось вследствие первого события операционного риска, связанного с нарушением организации, исполнения и управления процессами. В данном случае в соответствии с абзацем девятнадцатым пункта 6.6 Положения № 716-П кредитная организация указывает в базе событий в отношении двух событий операционного риска идентификатор связанного события операционного риска и указывает, является ли событие операционного риска источником или следствием другого события операционного риска.

Печать

1. Обязана ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) создавать отдельное специализированное подразделение по управлению отдельными видами операционного риска?

2. В случае если кредитная организация ведет раздельные базы событий по операционному и регуляторному рискам, с включением событий регуляторного риска с прямыми потерями, связанными с реализацией операционного риска, в состав базы событий операционного риска:

- необходимо ли создавать единую методологию классификации событий операционного и регуляторного рисков?

- необходимо ли отражать дополнительную классификацию, указанную в приложении 5 к Положению Банка России от 8 апреля 2020 года № 716 П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), в базе событий регуляторного риска, если события регуляторного риска одновременно являются событиями риска информационной безопасности?

от 22.10.2021 № 716-P-2021/48

1. Кредитная организация вправе не назначать специализированные подразделения по управлению отдельными видами операционного риска. В данном случае в соответствии с абзацем двенадцатым пункта 1.4 Положения № 716-П процедуры управления отдельными видами операционного риска выполняет подразделение, ответственное за организацию управления операционным риском, в составе службы управления рисками.

2. В соответствии с пунктом 6.9 Положения № 716-П кредитная организация должна обеспечить единый подход к идентификации, оценке и классификации событий операционного риска и событий нефинансовых рисков, связанных с операционным риском, в соответствии с главами 2 и 3 Положения № 716-П, исключающий дублирование и пропуски информации. В то же время в соответствии с требованиями пункта 6.10 Положения № 716-П, в случае, если события нефинансовых рисков связаны с операционным риском, прямые потери по ним подлежат регистрации в базе событий операционного риска с учетом соблюдения требований глав 2 и 3, а также пунктов 6.6–6.19 Положения № 716-П.

При регистрации информации о событиях и потерях от вышеуказанных рисков данным событиям должны быть также присвоены источник риска, направление деятельности и тип события, как минимум первого уровня классификации, описанные в пунктах 3.6 и 3.8 Положения № 716-П, при этом в соответствии с пунктом 3.7 Положения № 716-П кредитная организация вправе разработать дополнительную детализированную классификацию типов событий, наиболее точно отражающую специфику данного нефинансового риска, в рамках последующих уровней классификатора, предусмотренного главой 3 Положения № 716-П. Такая унификация необходима для того, чтобы потери от данных событий нефинансовых рисков, переданных в базу событий операционного риска, были корректно отражены в соответствующих графах отчетности по форме 0490106 «Отчет по управлению операционным риском в кредитной организации».

Одновременно сообщаем, что в случае регистрации событий нефинансовых рисков, связанных с риском информационной безопасности, в соответствии с пунктом 7.6 Положения № 716-П кредитная организация определяет элементы классификации, в том числе, в соответствии с приложением 5 к Положению № 716-П.

Печать

от 30.09.2021 № 716-P-2021/47

В соответствии с подпунктом 2.1.5 пункта 2.1 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) кредитная организация в дополнение к количественной оценке операционного риска должна проводить процедуру качественной оценки операционного риска с использованием способов, указанных в абзацах втором – четвертом подпункта 2.1.5 пункта 2.1 Положения № 716-П, с учетом требований главы 9 Положения № 716-П.

Качественная оценка уровня операционного риска предусматривает возможность анализировать вероятность и влияние не реализовавшихся рисков, но которые могут реализоваться.

Помимо самооценки операционного риска, требования к которой установлены в абзацах восьмом – тринадцатом подпункта 2.1.5 пункта 2.1 Положения № 716-П, в рамках которой участники самооценки (работники подразделений, которые подвержены оцениваемым рискам, работники центров компетенций, работники владельцев процессов) оценивают риски, присущие как правило их подразделениям и процессам, кредитная организация разрабатывает требования к проведению профессиональной оценки уровня операционного риска, выделенными для данной процедуры работниками подразделений кредитной организации и (или) внешними экспертами.

Отличие профессиональной оценки уровня операционного риска от самооценки операционного риска заключается в том, что участники профессиональной оценки оценивают операционные риски, которые могут реализоваться в других подразделениях и процессах кредитной организации или присущи всем процессам кредитной организации в целом, и могут осуществлять оценку без разработанных анкет, применяемых для самооценки операционного риска.

Рекомендуем профессиональную оценку уровня операционного риска проводить в дополнение к самооценке операционного риска в случаях, когда применение разработанных для самооценки анкет может быть неприменимо или требуется участие в оценке внешних экспертов (например, внешних консультантов).

В отношении сценарного анализа как способа проведения качественной оценки уровня операционного риска сообщаем следующее.

Сценарный анализ операционного риска осуществляется для целей идентификации угроз и негативных последствий реализации операционного риска на уровне процессов кредитной организации, включая выявление недостатков и пробелов в них, разработку мероприятий по их устранению и предотвращению реализации угроз, оценку эффективности (результативности) данных мероприятий, а также качественную оценку уровня операционного риска до и после реализации этих мероприятий путем определения уровня остаточного риска.

Рекомендации Банка России по порядку проведения кредитной организацией сценарного анализа для целей соблюдения требований Положения № 716-П представлены в приложении к настоящему разъяснению.

Печать

от 30.09.2021 № 716-P-2021/46

При проведении процедуры количественной оценки операционного риска, указанной в подпункте 2.1.4 пункта 2.1 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), Банк России рекомендует кредитным организациям учитывать следующее.

1. Для целей оценки объема капитала на покрытие потерь от реализации событий операционного риска, выделяемого кредитной организацией в рамках ВПОДК, в соответствии с пунктом 1 приложения 2 к Положению № 716-П кредитная организация может применять регуляторный или продвинутый подход.

Обращаем внимание, что кредитная организация, применяющая регуляторный подход, основанный на применении Положения № 744-П или Положения Банка России от 3 сентября 2018 года № 652-П «О порядке расчета размера операционного риска», не обязана дополнительно разрабатывать и регламентировать во внутренних документах иную методику проведения оценки объема капитала, выделяемого кредитной организацией в рамках ВПОДК на покрытие потерь от реализации событий операционного риска, в соответствии с абзацем третьим подпункта 2.1.4 пункта 2.1 Положения № 716-П. В то же время, если кредитная организация применяет продвинутый подход к расчету объема капитала, она должна самостоятельно разработать соответствующую методику оценки с учетом требований пункта 5 приложения 2 к Положению № 716-П.

2. При проведении количественной оценки уровня операционного риска с использованием способа оценки ожидаемых потерь, указанного в абзаце четвертом подпункта 2.1.4 пункта 2.1 Положения № 716-П, Банк России рекомендует осуществлять расчет на основе статистики базы событий за период не менее трех лет по среднегодовым величинам потерь от реализации операционного риска в разрезе типов событий операционного риска, источников операционного риска и направлений деятельности кредитной организации в соответствии с классификацией, указанной в главе 3 Положения № 716-П. Результаты проведенной оценки впоследствии могут быть учтены кредитной организацией при расчете тарифов для целей покрытия ожидаемых потерь от реализации операционного риска.

3. Комментарии Банка России относительно проведения агрегированной оценки уровня операционного риска, размещенные на официальном сайте Банка России в разделе «О процедурах управления операционным риском (часть 4)», вопрос № 3

Печать

от 30.09.2021 № 716-P-2021/45

Кредитная организация в соответствии с абзацем вторым пункта 4.2 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) должна формировать внутренние отчеты об управлении операционным риском, о событиях риска информационной безопасности и о фактических значениях контрольных показателей уровня операционного риска (далее – внутренние отчеты по операционному риску).

Банк России планирует в 2022 году ввести в действие форму отчетности 0409106 «Отчет по управлению операционным риском в кредитной организации» в составе Указания Банка России от 8 октября 2018 года № 4927-У «О перечне, формах и порядке составления и представления форм отчетности кредитных организаций в Центральный банк Российской Федерации», разработанную в датацентричном формате. В приложении 1 к настоящему разъяснению представлен пример представления информации из датацентричной формы 0409106 в табличный вид в соответствии с форматом европейского стандарта отчетности COREP (The Common Reporting Framework). Банк России рекомендует кредитным организациям ориентироваться на данные примерные таблицы при разработке форм внутренних отчетов по операционному риску, с учетом требований подпункта 4.2.4 пункта 4.2 Положения № 716-П. С другой стороны, кредитная организация исходя из характера деятельности, объема и сочетания присущих кредитной организации операционных рисков вправе определить формы внутренних отчетов о событиях и потерях в иных разрезах, в том числе более детализированные (на уровня второго и (или) третьего уровня классификации событий) отчеты по событиям и потерям от операционного риска в разрезе отдельных направлений деятельности, и (или) отдельных бизнес процессов и (или) подразделений, и (или) видов операционного риска.

Относительно ежедневного информирования руководителя службы управления рисками о выявленных событиях операционного риска в соответствии с требованиями подпункта 4.2.1 пункта 4.2 Положения № 716-П Банк России рекомендует следующее:

определить критерии существенности для формирования ежедневно выборки наиболее значимых событий операционного риска, выявленных в течение дня. Например, включать в данную выборку события операционного риска с величиной потерь, не менее критерия существенности, либо указанного в подпункте 3.5.1 пункта 3.5 Положения Банка России от 07.12.2020 № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банком России надзора за его соблюдением», либо как процент от величины базового капитала, в зависимости от характера и масштаба деятельности кредитной организации;

для предоставления ежедневной информации о событиях операционного риска с величиной потерь, превышающей критерий существенности, в соответствии с подпунктом 4.2.1 пункта 4.2 Положения № 716-П использовать формат, приведенный в приложении 2 к настоящему разъяснению.

В состав ежедневной информации о событиях операционного риска необходимо включать заключение о влиянии данных событий операционного риска на соблюдение плановых (целевых) показателей уровня операционного риска, разработанных в соответствии с пунктом 4.5 Положения № 716-П, которое рекомендуем оформлять в виде пояснительной записки к ежедневному своду информации.

Печать

от 30.09.2021 № 716-P-2021/44

В соответствии с пунктом 1.4 Положения № 716-П риск информационной безопасности (далее – риск ИБ) и риск информационных систем (далее – риск ИС) являются видами операционного риска, и, следовательно, управление данными видами риска должно осуществляться не обособлено, а в рамках СУОР, в тесном взаимодействии со службой управления рисками кредитной организации и в соответствии требованиями и процедурами, указанными в Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П).

Кредитная организация в соответствии с пунктом 6.9 Положения № 716-П вправе вести учет событий риска ИБ и риска ИС как в составе базе событий операционного риска (консолидировано), так и раздельно. В случае если кредитная организация ведет отдельные базы событий по риску ИБ и риску ИС, в данной кредитной организации должен быть разработан порядок интеграции информации, содержащейся в вышеуказанных базах событий, с базой событий операционного риска. В том числе кредитной организацией во внутренних документах должно быть определено следующее:

порядок взаимодействия подразделения, ответственного за организацию управления операционным риском, со службой информационной безопасности и с подразделением (подразделениями), ответственным (ответственными) за обеспечение функционирования информационных систем, по вопросам передачи информации о событиях риска ИБ и риска ИС, как минимум по передаче информации о событиях риска ИБ и риска ИС с прямыми потерями, расследования обстоятельств данных событий и разработки мероприятий, направленных на повышение эффективности управления данными рисками и уменьшение их негативного влияния;

перечень лиц, ответственных за ведение базы событий по риску ИБ и риску ИС, в том числе за своевременную передачу информации о событиях данных видов операционного риска в подразделение, ответственное за организацию управления операционным риском, для включения их базу событий операционного риска;

сроки и формат передачи данных о событиях риска ИБ и риска ИС в целях регистрации в базе событий операционного риска, с учетом требований пункта 6.10 Положения № 716-П.

В силу специфики процедур управления риском информационной безопасности Банк России рекомендует обратить особое внимание на подходы к дополнительной классификации риска информационной безопасности, указанные в приложении 5 к Положению № 716-П, в разрезе типов событий, категорий источников операционного риска, направлений деятельности, в том числе в разрезе составляющих их процессов. Также в соответствии с приложением 5 к Положению № 716-П кредитная организация обязана использовать дополнительные (специфические) виды прямых и непрямых потерь от реализации риска информационной безопасности для классификации событий риска информационной безопасности в дополнение к установленным в пункте 3.11 Положения № 716-П. Кроме того, дополнительная классификация событий риска ИБ, указанная в приложении 5 Положения № 716-П, не заменяет основную классификацию событий операционного риска, указанную в главе 3 Положения № 716-П. Событие риска ИБ сначала должно быть классифицировано в соответствии с требованиями главы 3 Положения 716-П, в том числе по типам событий операционного риска, перечисленным в пункте 3.6 Положения 716-П, и уже в разрезе элементов классификации дополнительно классифицировано, в соответствии с приложением 5 к Положению № 716-П.

Обращаем внимание, что в случае если для кредитной организации (исходя из вида лицензии и масштаба деятельности) в соответствии с требованиями главы 9 Положения № 716-П процедура регистрации в базе событий операционного риска (в том числе риска ИБ и риска ИС), по которым отсутствуют прямые и непрямые потери, носит рекомендательный характер. Банк России рекомендует кредитной организации как для внутренних целей (например, определений КИР), так и для целей соблюдения иных нормативных актов Банка России самостоятельно определить необходимость регистрации событий операционного риска по отдельным видам операционного риска (например, событий риска информационной безопасности) и (или) типам событий, и (или) отдельным процессам, которые были предотвращены и которые не привели как к прямым, так и непрямым потерям.

При разработке и утверждении перечня контрольных показателей уровня операционного риска в соответствии с требованиями главы 5 Положения № 716-П необходимо учитывать, что данный перечень должен содержать контрольные показатели уровня риска ИБ, указанные в пункте 1.2 приложения 1 к Положению № 716-П. В соответствии с абзацем седьмым подпункта 7.9.2 пункта 7.9 Положения № 716-П служба информационной безопасности обязана осуществлять мониторинг сигнальных и контрольных значений контрольных показателей уровня риска ИБ. Рекомендуем кредитной организации обеспечить организацию информационного обмена между соответствующими подразделениями кредитной организации и информационными системами в целях передачи службой информационной безопасности результатов мониторинга текущих (то есть фактических на расчетную дату), сигнальных и контрольных значений контрольных показателей уровня риска ИБ в службу управления рисками для формирования внутренних отчетов по управлению операционным риском в соответствии с пунктом 4.2 Положения Банка России № 416-П.

Обращаем внимание, что требования пункта 4.2 Положения № 716?П к формированию отчетов по операционному риску распространяются также на отчеты по риску ИБ и риску ИС, в том числе:

требование о необходимости ежедневной передачи информации о крупных событиях риск ИБ и риска ИС в службу управления рисками кредитной организации, в соответствии с подпунктом 4.2.1 пункта 4.2 Положения № 716-П;

требования к формированию ежеквартальных и ежегодных отчетов в соответствии с подпунктами 4.2.2 и 4.2.3 пункта 4.2 Положения № 716-П.

Печать

от 30.09.2021 № 716-P-2021/43

Для целей корректного учета событий операционного риска в базе событий кредитная организация в соответствии с главой 6 Положения Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) должна определить порядок ведения базы событий, включая требования к форме и содержанию вводимой информации. В целях обеспечения целостности и сохранности информации, зарегистрированной в базе событий, кредитная организация должна определить во внутренних документах порядок выбранного способа ведения базы событий (например, централизованный, децентрализованный, смешанный), а также систему доступов работников кредитной организации к базе событий с учетом требований защиты данных от несанкционированного доступа путем разграничения доступа и прав на совершение изменений в базе событий по областям компетенции работников, а также требований к обеспечению сохранности данных, защиты их от искажений, их соответствия требованиям к ведению базы событий, указанным в пункте 6.6 Положения № 716-П, и прочим требованиям к качеству данных, указанным в подпункте 8.7.4. пункта 8.7 Положения № 716-П (например, сохранность, актуальность, согласованность и доступность данных).

В порядке ведения базы событий кредитная организация самостоятельно определяет порядок доступа работников, вовлеченных в процесс управления операционным риском, к базе событий, а также порядок сбора, регистрации, верификации данных по событиям операционного риска, определению потерь и возмещений по данным событиям.

Исходя из характера и масштаба деятельности кредитная организация может выбрать один из следующих способов ведения базы событий:

централизованный способ, когда информация о реализации событий операционного риска регистрируется в базе событий работниками подразделения, ответственного за организацию системы управления операционным риском;

децентрализованный способ, когда сбор информации о событии операционного риска и ее регистрация в базе событий производится ответственными работниками центров компетенций в рамках их функциональных обязанностей;

смешанных способ, когда обязанности по ведению базы событий разделены между участниками данного процесса.

Обращаем внимание, что в соответствии с пунктом 1.3 Положения № 716-П кредитная организация во внутренних документах должна определить ответственность и роли центров компетенции за идентификацию операционного риска, сбор информации, информирование о выявленном (идентифицированном) операционном риске участников процесса управления операционным риском, с указанием сроком рассмотрения получаемой информации, ее маршрутизации внутри кредитной организации и обработки, а также документооборота.

Печать

от 30.09.2021 № 716-P-2021/42

Обращаем внимание, что Положение Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) содержит требования к отражению во внутренних документах кредитной организации правил проведения определенных процедур и описания и порядка функционирования элементов системы управления операционным риском в кредитной организации. Рекомендуемый перечень внутренних документов, разрабатываемых в соответствии с Положением № 716-П, приведен в приложении 1 к настоящему разъяснению (далее – перечень внутренних документов).

Рекомендуем кредитным организациям разрабатывать внутренние документы в соответствии с вышеуказанным перечнем с учетом положений главы 9 Положения № 716-П. В случае применения кредитной организацией в своей системе управления операционным риском (далее – СУОР) процедур и элементов, которые не являются для нее обязательными в соответствии с требованиями главы 9 Положения № 716-П, кредитной организации следует соблюдать требования к регламентации данных процедур и элементов СУОР согласно соответствующим нормам Положения № 716-П.

В связи с тем, что в перечне внутренних документов используются типовые условные наименования внутренних документов, кредитная организация вправе объединить несколько документов из вышеуказанного перечня в один, а также изменять вид и (или) наименование документа, в зависимости от особенностей своей внутренней методологии.

Печать

1. Просьба привести примеры риска потерь средств клиентов, контрагентов, работников и третьих лиц (не компенсированных кредитной организацией) вследствие нарушения кредитной организацией (головной кредитной организацией) (далее – кредитная организация) кодексов профессиональной этики, рыночных практик, правил поведения кредитной организации при продаже финансовых инструментов и услуг, как вида операционного риска, указанного в абзаце девятом пункта 1.4 Положения Банка России от 8 апреля 2020 года № 716?П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П). 

2. Следует ли относить факт подачи искового заявления кредитной организацией по спорным вопросам из-за несовершенства правовой системы (противоречивости законодательства) к правовому риску как виду операционного риска?

3. Должны ли регистрироваться в базе событий события регуляторного риска с прямыми потерями, которые также должны включаться в регуляторную и управленческую отчетность банка (например, выплата штрафов за нарушение трудового законодательства, охраны труда, процедур ПОД/ФТ и другие штрафы надзорных органов)?

от 17.09.2021 № 716-P-2021/41

1. В соответствии с абзацем девятым пункта 1.4 Положения № 716-П одним из видов операционного риска является «риск потерь средств клиентов, контрагентов, работников и третьих лиц (не компенсированных кредитной организацией) вследствие нарушения кредитной организацией кодексов профессиональной этики, рыночных практик, правил поведения кредитной организации при продаже финансовых инструментов и услуг». Данный риск связан с недобросовестным поведением кредитной организации на финансовом рынке, выражающемся в том числе в нарушении прав клиентов, контрагентов, работников и третьих лиц, предоставлении кредитной организацией финансовых продуктов и услуг ненадлежащего качества.

Примерами реализации данного вида операционного риска могут быть:

потери (излишне уплаченные средства) клиентов вследствие навязывания кредитной организацией дополнительных необязательных услуг (например, необязательных страховых программ при продаже финансовых продуктов), наличия скрытых тарифов при обслуживании;

потери клиентов вследствие некорректного (ненадлежащего) информирования клиента кредитной организацией (например, о потенциальных рисках, присущих предлагаемому банковскому продукту или услуге, или обещание гарантированного дохода по продуктам, не являющимся вкладом);

потери клиентов вследствие «подмены продукта» кредитной организацией, то есть продажи одного финансового продукта под видом другого (например, инвестиционных инструментов под видом вклада);

продажа кредитной организацией заведомо неподходящих клиенту продуктов (например, без учета знаний, социального статуса, возраста и других особенностей клиента).

2. События, когда кредитная организация несет потери вследствие несовершенства правовой системы, следует относить к правовому риску как виду операционного риска в соответствии с абзацем четвертым пункта 1.4 Положения № 716-П, при этом источник данного события следует определить как «внешние причины» в соответствии с подпунктом 3.3.4 пункта 3.3 Положения № 716-П. Отмечаем, что факт подачи искового заявления кредитной организацией является мероприятием, направленным на уменьшение потерь от реализации операционного риска, а не самими событием. При регистрации события правового риска, связанного с несовершенством правовой системы, в базе событий рекомендуем отразить информацию о подаче кредитной организацией судебного иска, связанного с данным событием, в разделе «меры, направленные на уменьшение негативного влияния операционного риска» в соответствии с абзацем двадцать пятым пункта 6.6 Положения № 716-П.

3. В соответствии с пунктом 6.9 Положения № 716-П кредитная организация ведет учет потерь от реализации событий всех видов операционного риска и событий других нефинансовых рисков в составе общей базы событий либо раздельно, обеспечивая при этом единый подход к сбору и регистрации, а также классификации событий отдельных видов операционного риска и событий других нефинансовых рисков и оценке потерь от них в соответствии с главами 2 и 3 Положения № 716-П, исключающий дублирование и пропуски информации.

Кроме того, информация, регистрируемая по событиям отдельных видов операционного риска, регуляторного риска и (или) событий других нефинансовых рисков, включаемая ежемесячно в состав базы событий операционного риска в соответствии с требованиями пункта 6.9 Положения № 716-П, должна содержать всю необходимую информацию, предусмотренную пунктом 6.6 Положения № 716-П, а также порядок учета потерь от реализации вышеуказанных событий и возмещения по ним должен соответствовать требованиям пунктов 6.7–6.19 Положения № 716-П.

Печать

1. Будут ли относиться к событиям операционного риска, связанным с кредитным риском, случаи неверной классификации ссуды (выявленные внутренним и (или) внешним аудитом, Банком России), не связанные с техническими просчетами, в результате которых возникает недосозданный резерв?

Будут ли относиться к источникам операционного риска «действия персонала и других связанных с кредитной организацией лиц» в соответствии с подпунктом 3.3.2 пункта 3.2 Положением Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) следующие примеры:

по кредиту не учтен иной существенный фактор (в частности, льготность при сравнении с сопоставимы ссудами) в соответствии с подпунктом 3.9.2 пункта 3.9 Положения Банка России от 28.06.2017 № 590-П «О порядке формирования кредитными организациями резервов на возможные потери по судам, ссудной и приравненной к ней задолженности (далее – Положение № 590-П);

осуществлена иная оценка финансового положения заемщика (более худшая оценка) в соответствии с подпунктом 3.3 Положения № 590-П;

осуществлена иная оценка обеспечения (не подтверждена справедливая стоимость или ликвидность обеспечения) в соответствии с подпунктом 6.3.1 пункта 6.3 Положения № 590-П;

установлены основания для классификации ссуды в соответствии с пунктами 3.13 и 3.14 Положения № 590-П.

2. Что является датой реализации события операционного риска и датой учета потерь по данному событию в следующем примере:

кредитный договор был заключен 01.02.2017г., на 01.09.2017г. образовалась просроченная задолженность и были досозданы резервы в связи с выходом договора на просрочку. При проведении в отношении данной сделки внутреннего расследования кредитной организацией 01.11.2017г. установлены признаки мошенничества и определены основания для обращения в правоохранительные органы с заявлением о возбуждении уголовного дела в отношении заемщика. В возбуждении уголовного дела было отказано. Задолженность признана невозможной к взысканию и соответствующие резервы были списаны 01.09.2020г.

3. Каким образом следует определять потери от реализации события операционного риска в случаях, когда кредитная организация подает судебный иск о взыскании просроченной задолженности по кредитному договору?

от 17.09.2021 № 716-P-2021/40

1. Приведенные в вопросе 1 примеры являются событиями операционного риска, возникшими в следствии ошибочных действий персонала по оценке качества ссуды, что привело к возникновению регуляторного риска в виде предписания о доначислении резерва. В этом случае события отражаются в базе событий операционного риска с двумя видами потерь:

прямые потери в виде доначисления резервов (обесценения ссуды);

качественные потери в виде возникновения источника регуляторного риска (получение предписания).

В примерах приведены события, связанные с двумя видами рисков: операционного (как источник события) и регуляторного (последствие события). В соответствии с пунктом 6.9 Положения № 716-П кредитная организация вправе вести учет событий разных нефинансовых рисков, в том числе регуляторного риска (далее – нефинансовый риск), как в составе общей базы событий, так и раздельно. В случае ведения общей базы событий, для событий, приведенных в примере, необходимо дополнительно привести информацию, указанную в абзаце восемнадцатом пункта 6.6 Положения № 716-П, о том, что данное событие связано также и с нефинансовым риском. Кроме того, описание события должно быть дополнено подтверждающей информацией (например, указанием на номер предписания).

В случае если кредитная организация ведет базу событий операционного риска и событий нефинансового риска раздельно, то по приведенным примерам событий операционного риска кредитная организация в соответствии с абзацем восемнадцатым пункта 6.6 Положения № 716-П указывает в базе событий операционного риска ссылку на запись в базе событий нефинансового риска, в которой это событие зафиксировано. При ведении баз событий отдельных видов операционного риска, событий нефинансовых рисков раздельно кредитная организация в соответствии с пунктом 6.10 Положения № 716-П ежемесячно на отчетную дату должна включать события нефинансовых рисков с прямыми потерями, связанными с реализацией операционного риска, в состав базы событий операционного риска с учетом исключения пропусков и дублирования потерь, связанных с раздельным ведением баз событий.

Обращаем также внимание, что разъяснения по вопросу учета потерь от реализации событий операционного риска, потери по которым реализовывались в виде доначисления резервов (то есть связанных с кредитным риском), размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе»3 «О событиях операционного риска, связанных с кредитным риском», «О событиях операционного риска, связанных с кредитным риском (часть 2)».

2. В соответствии с абзацем шестым пункта 6.6 Положения № 716-П датой реализации события операционного риска является дата, когда событие операционного риска произошло или впервые началось, а в соответствии с абзацем тридцатым пункта 6.6 Положения № 716-П датой учета потерь от реализации события операционного риска, связанного с кредитным риском, является дата создания (изменения) резерва в соответствии с абзацем четвертым подпункта 3.12.1 пункта 3.12 Положения № 716-П. В связи с этим в приведенном примере следует определить дату реализации события операционного риска 01.09.2021, а датой учета потерь по счетам бухгалтерского учета считать дату создания резерва в связи с выходом кредитного договора на просрочку.

3. Сумму начисленных дополнительных резервов по кредиту, сумму уплаченной за подачу иска государственной пошлины следует относить к прямым потерям, недополученные доходы в виде начисленных процентов, пеней, неустоек по кредиту – к косвенным потерям.

В то же время для отнесения данной потери к потерям от события операционного риска, связанного с кредитным риском, необходимо убедиться, что несвоевременное погашение клиентом ссудной задолженности обусловлено источниками операционного риска, указанными в пункте 3.3 Положения № 716-П (например, мошенническими действиями клиента или ошибкой работника кредитной организации). В случае если причиной просроченной задолженности не являются вышеуказанные источники риска, ее следует рассматривать как событие исключительно кредитного риска, которое не подлежит регистрации в базе событий.

Комментарии Банка России относительно порядка учета потерь от событий кредитного риска, связанных с операционным риском, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О событиях операционного риска, связанных с кредитным риском», вопросы № 1, 3.

Печать

1. Могут ли быть возложены на одного работника кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) функции куратора службы информатизации, назначаемого в соответствии со Стандартом Банка России ИББС-1.2—2014 и функции должностного лица, ответственного за информационные системы, назначаемого в соответствии с Положением Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

2. Правильно ли понимание, что под критериями оценки качества данных, указанными в подпунктах 8.7.5 и 8.7.6 пункта 8.7 Положения № 716-П, Банк России подразумевает:

оценку уровня обеспечения требований к качеству данных на уровне отдельных показателей качества данных (качественные данные, если предельно допустимые значения не превышены, некачественные данные, если предельно допустимые значения превышены);

критерии агрегированной оценки качества данных на уровне процессов и систем (способы агрегирования результатов мониторинга отдельных показателей качества данных на уровень процесса, системы или Банка в целом);

шкалу интерпретации результатов мониторинга показателей качества данных (например, трехуровневая (зеленая зона, желтая зона, красная зона)).

3. Правильно ли понимание, что План ОНиВД, который кредитная организация должна разрабатывать и утверждать в соответствии с подпунктом 4.1.5 пункта 4.1 Положения № 716-П, одновременно должен соответствовать рекомендациям Положения Банка России от 16.12.2003 № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» (далее – Положение № 242-П)?

от 17.09.2021 № 716-P-2021/39

1. Подтверждаем, что функции куратора службы информатизации, назначаемого в соответствии со Стандартом ИББС-1.2—2014, и функции должностного лица, ответственного за обеспечение функционирования информационных систем, назначаемого в соответствии с пунктом 8.3 Положения № 716-П, могут быть возложены на одного работника кредитной организации.

2. В соответствии с подпунктом 8.7.5 пункта 8.7 Положения № 716-П кредитная организация самостоятельно определяет критерии качества данных.

При этом сообщаем, что приведенные в вопросе критерии могут быть приняты кредитной организацией.

3. В соответствии с подпунктом 4.1.5 пункта 4.1 Положения № 716-П одним из дополнительных элементов системы управления операционным риском в кредитной организации является комплекс мероприятий, направленных на повышение качества системы управления операционным риском и уменьшение негативного влияния операционного риска, включая мероприятия, направленные на предотвращение и (или) снижение вероятности событий операционного риска, и мероприятия, направленные на ограничение размера потерь от реализации событий операционного риска. В составе мероприятий, направленных на ограничение размера потерь от реализации событий операционного риска, кредитная организация осуществляет разработку планов по обеспечению непрерывности и (или) восстановления критически важных процессов и функционирования информационных систем, включая объекты информационной инфраструктуры, а также планов по обеспечению безопасности и целостности информационных систем и информации (далее – планы непрерывности и (или) восстановления критически важных процессов и функционирования ИС), в том числе в соответствии с требованиями главы 8 Положения № 716-П, с учетом внешних факторов, влияющих на критически важный процесс и (или) информационную систему, в случае реализации операционного риска, включая систему быстрого реагирования на события операционного риска.

В целях управления риском информационных систем кредитная организация во внутренних документах определяет политику информационных систем как взаимосвязанной совокупности технических и программных средств, других объектов информационной инфраструктуры, содержащейся в базах данных информации и обеспечивающих ее обработку технологий в рамках реализации мероприятий поддержки и обеспечения непрерывности функционирования процессов кредитной организации и обеспечивает ее соблюдение с учетом требований пункта 8.2 Положения № 716-П.

В соответствии с абзацем пятым пункта 8.3 Положения № 716-П кредитная организация в целях управления риском информационных систем определяет в политике информационных систем требования к информационным системам, в том числе требования по обеспечению непрерывности и качества функционирования информационных систем, а также устанавливает во внутренних документах и соблюдает требования по обеспечению непрерывности и качества функционирования информационных систем, приведенные в пункте 8.8 Положения № 716-П.

Планы непрерывности и (или) восстановления критически важных процессов и функционирования ИС должны быть учтены кредитной организацией в плане действий, направленном на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения нестандартных и чрезвычайных ситуаций, предусматривающем использование дублирующих (резервных) автоматизированных систем и (или) устройств, а также восстановление критически важных для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг, разрабатываемом в соответствии с пунктом 3.7 Положения № 242-П и рекомендациями по его структуре и содержанию, приведенными в приложении 5 к Положению № 242-П.

Печать

1. Какие квалификационные и иные требования должны быть предъявлены к должностному лицу, ответственному за функционирование системы обеспечения информационной безопасности, который должен быть назначен в соответствии с Положением Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

2. Могут ли быть возложены на одного работника кредитной организации (головной кредитной организация банковской группы) (далее – кредитная организация) функции куратора службы информационной безопасности, назначаемого в соответствии со Стандартом Банка России ИББС-1.2—2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0—2014» и функции должностного лица, ответственного за функционирование системы обеспечения информационной безопасности, назначаемого в соответствии с Положением № 716-П?

3. В соответствии с требованиями Положения № 716-П могут ли служба информационной безопасности и служба информационных систем иметь общего руководителя или входить в состав друг друга?

4. Какие должностные обязанности должны быт возложены на должностное лицо, ответственное за функционирование системы обеспечения информационной безопасности, назначаемое в соответствии с Положением № 716-П?

5. Может ли таким должностным лицом, ответственным за функционирование системы обеспечения информационной безопасности, быть представитель Службы управления рисками при условии прямого подчинения лицу, осуществляющему функции единоличного исполнительного органа кредитной организации?

от 17.09.2021 № 716-P-2021/38

1. В соответствии с абзацем десятым пункта 7.7 Положения № 716-П в целях управления риском информационной безопасности кредитная организация обеспечивает организацию ресурсного (кадрового и финансового) обеспечения, включая установление требований к квалификации работников кредитной организации, в том числе должностного лица (лица, его замещающего), ответственного за функционирование системы обеспечения информационной безопасности.

Таким образом, кредитная организация самостоятельно определяет требования к квалификации должностного лица, ответственного за функционирование системы обеспечения информационной безопасности, с учетом того, что данное должностное лицо должно обладать достаточными знаниями, компетенцией, полномочиями в целях обеспечения его независимости в части принятия решений по вопросам обеспечения информационной безопасности.

2. В соответствии с абзацем пятым пункта 7.7 Положения № 716-П кредитная организация в целях управления риском информационной безопасности обеспечивает определение должностного лица (лица, его замещающего), ответственного за функционирование системы обеспечения информационной безопасности (с прямым подчинением лицу, осуществляющему функции единоличного исполнительного органа кредитной организации, или его заместителю) и не участвующего в совершении операций, сделок, организации бухгалтерского и управленческого учета, обеспечении функционирования информационных систем.

Стандарты Банка России СТО БР ИББС-1.0—2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» и СТО БР ИББС-1.2—2014 «Обеспечение информационной безопасности организации банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0—2014» (далее при совместном упоминании – стандарты Банка России) содержат положения относительно назначения куратора службы информационной безопасности из числа руководства при условии, что служба информационной безопасности и служба информатизации (автоматизации) не должны иметь общего куратора.

На основании вышеизложенного не усматриваем противоречия между функциями куратора службы информационной безопасности и должностного лица, ответственного за функционирование системы обеспечения информационной безопасности, и полагаем возможным совмещение данных функций одним лицом при условии одновременного соблюдения требований Положения № 716-П и положений стандартов Банка России.

3. Положение № 716-П не содержит норм, предусматривающих объединение подразделения, ответственного за организацию и контроль обеспечения защиты информации, и подразделения, ответственного за обеспечение функционирования информационных систем.

Одновременно, обращаем внимание, что стандарты Банка России СТО БР ИББС-1.0—2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» и СТО БР ИББС-1.2—2014 «Обеспечение информационной безопасности организации банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0—2014» содержат положения относительно назначения куратора службы информационной безопасности из числа руководства при условии, что служба информационной безопасности и служба информатизации (автоматизации) не должны иметь общего куратора.

4. Кредитная организация, исходя из характера и масштаба деятельности, самостоятельно определяет во внутренних документах функции должностного лица, ответственного за функционирование системы обеспечения информационной безопасности (с прямым подчинением лицу, осуществляющему функции единоличного исполнительного органа кредитной организации, или его заместителю) и не участвующего в совершении операций, сделок, организации бухгалтерского и управленческого учета, обеспечении функционирования информационных систем.

5. В соответствии с подпунктом 8.2.1 пункта 8.2 Стандарта Банка России СТО БР ИББС 1.0—2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» для целей реализации, эксплуатации, контроля и поддержания на должном уровне системы обеспечения информационной безопасности кредитной организации следует сформировать службу информационной безопасности.

Функции, которые должны быть возложены на службу информационной безопасности, указаны в пункте 7.9 Положения № 716-П. Полагаем, что функции по обеспечению информационной безопасности, указанные в подпункте 7.9.1 пункта 7.9 Положения № 716-П, целесообразно относить только к компетенции службы информационной безопасности или отдельного структурного подразделения, ответственного за обеспечение информационной безопасности. В то же время, функции по управлению риском информационной безопасности, указанные в подпункте 7.9.2 пункта 7.9 Положения № 716-П, по усмотрению кредитной организации могут относиться как к компетенции службы информационной безопасности, так и к компетенции службы управления рисками. Дополнительные комментарии Банка России по вопросу возможности возложения функций должностного лица, ответственного за функционирования системы обеспечения информационной безопасности, на руководителя службы информационной безопасности размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «Об управлении риском информационной безопасности», вопрос от 29.10.2020 № 2.

Печать

1. В случае получения возмещения по косвенной потере от события операционного риска как следует отразить в базе событий величину косвенной потери с учетом возмещения?

2. В случае если прямая потеря была отражена на счетах бухгалтерского учета в прошлом отчетном периоде (например, в 2020 году), а возмещение по данной потере было отражено на счетах бухгалтерского учета в отчетном периоде (например, во 2-м квартале 2021 года), следует ли учитывать данное возмещение при расчете показателя «сумма чистых (фактических) потерь, которая была отражена на балансовых счетах с начала года до отчетной даты» в отчете по операционному риску за 2-й квартал 2021 года?

3. Корректно ли учитывать как прямые потери от событий операционного риска следующие списания с расходов кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация):

списание затрат на создание программного обеспечения и остаточной стоимости лицензионных прав на использование программных продуктов на неиспользованное и не введенное в промышленную эксплуатацию программное обеспечение;

списание остаточной стоимости лицензионных прав на использование программных продуктов и остаточной стоимости программного обеспечения в связи с принятием решения уполномоченными лицами кредитной организации о переходе на новое программное обеспечение из-за изменения рыночной коньюнктуры?

4. Допустимо ли по событиям нефинансовых рисков (в том числе регуляторного риска), связанных с операционным риском и включаемых в базу событий операционного риска, классификация и оценка потерь по которым производится в соответствии с собственной методикой кредитной организации, применять требования к управлению операционным риском в соответствии с требованиями Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

Допустима ли более детализированная классификация типов событий для учета событий нефинансовых рисков, в том числе регуляторного риска?

Допустимо ли кредитной организации разработать отдельную методологию по оценке и определения уровня нефинансовых рисков, в том числе регуляторного риска?

5. Считается ли событием операционного риска с прямыми потерями ситуация, когда сотруднику было ошибочно начислено больше вознаграждения, чем полагается?

6. Считается ли событием операционного риска ситуация, когда сотруднику было ошибочно начислено меньше вознаграждения, чем полагается?

7. Считается ли событием операционного риска ситуация, когда работник кредитной организации считает, что ему было выплачено меньше вознаграждения, чем полагается, при этом, по мнению кредитной организации, расчет вознаграждения был осуществлен корректно?

8. Должна ли кредитная организация с универсальной лицензией, размер активов которого меньше 500 млрд руб., в соответствии с пунктом 9.2.1 Положения 716-П, в обязательном порядке проводить оценку ожидаемых потерь от реализации операционного риска в разрезе направлений деятельности, в том числе в разрезе составляющих их процессов, по которым наблюдается статистика событий операционного риска, в целях покрытия этих процессов за счет ценообразования услуг и тарифов (при наличии), а также обязана ли данная кредитная организация устанавливать (отражать) во внутренних документах методы и порядок проведения оценки ожидаемых потерь от реализации операционного риска?

9. Каким образом следует отражать в базе событий ситуацию, когда потенциальные потери становятся прямыми потерями (например, при получении информации о поданном к кредитной организации судебном иске сумма возможных выплат по данному иску была отражена в базе событий как потенциальная потеря, затем судом было принято решение о принятии исковых требований по требованию истца и кредитная организация формирует резерв по данным обязательствам, что является прямой потерей)?

10. Следует ли относить к потенциальным потерям суммы потерь, которые пока не отражены на счетах бухгалтерского учета, но ожидаются в будущем (например, отражение в учете ремонта поврежденного банкомата)?

11. Следует ли регистрировать в базе событий возмещения, указанные в пункте 6.17 Положения 716-П?

12. Требуется подтвердить, что страховые премии не учитываются в потерях от операционного риска, при этом страховая выплата отражается как возмещение потерь, понесенных в рамках реализации рискового события.

13. Требуется подтвердить корректность подхода, при котором регистрируются все полученные возмещения с указанием на долю перестраховщиков, не входящих в группу кредитной организации.

от 17.09.2021 № 716-P-2021/37

1. Положение № 716-П не устанавливает обязательных требований к учету возмещений по косвенным потерям. При определении величины косвенных потерь кредитная организация вправе предусмотреть во внутренних документах порядок учета полученных возмещений в целях снижения величины косвенных потерь и учитывать его при определении величины косвенной потери расчетным методом как без отражения отдельной записи о возмещении в базе событий (производится перерасчет величины косвенной потери с указанием информации о полученном возмещении), так и с отражением в базе событий отдельной записи о сумме полученного возмещения.

2. При расчете величины чистых (фактических) потерь за отчетный период необходимо учитывать возмещения, относящиеся к прямым потерям, которые были отражены на счетах бухгалтерского учета в отчетном периоде. Исходя из примера, приведенного в вопросе, при составлении отчета, например, за 2 квартал 2021 года, если данные по потере от реализации события операционного риска были отражены на счетах бухгалтерского учета в предыдущем году, а возмещения по ним были отражены на счетах бухгалтерского учета только во 2 квартале 2021 года, данные возмещения не должны учитываться.

3. Кредитной организации следует учитывать прямые потери от реализации событий операционного риска в виде списания затрат на создание программного обеспечения и остаточной стоимости лицензионных прав на использование программных продуктов на неиспользованное и не введенное в промышленную эксплуатацию программное обеспечение в случае, если прямые потери классифицируются в соответствии с подпунктом 3.12.2 пункта 3.12 Положения № 716-П как досрочное списание (выбытие, потеря, уничтожение) материальных и нематериальных, финансовых активов в результате реализации события операционного риска.

4. Положением № 716-П устанавливаются единые нормативные требования к ведению базы событий операционного риска, которые необходимы для внедрения кредитными организациями нового стандартизованного подхода к оценке операционного риска для целей расчета норматива достаточности капитала в соответствии со стандартом «Basel III: Finalising post-crisis reforms, December 2017» и Положением Банка России от 7 декабря 2020 года № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банков России надзора за его соблюдением» (далее – Положение № 744-П). В соответствии с вышеуказанным подходом прямые потери от нефинансовых рисков, в том числе регуляторного риска, связанные с операционным риском, необходимо включать в расчет коэффициента внутренних потерь, определяемого в соответствии с абзацем седьмым пункта 1.2 Положения № 744-П, который рассчитывается на основании базы событий операционного риска. Таким образом, в целях корректного расчета размера операционного риска в соответствии с требованиями Положения № 744-П прямые потери от нефинансовых рисков, связанные с операционным риском, а также потенциальные потери, которые могут стать прямыми, следует включать в базу событий операционного риска. Для этого в соответствии с пунктом 6.9 Положения № 716-П кредитная организация должна обеспечить единый подход к идентификации, оценке и классификации событий операционного риска и событий нефинансовых рисков, связанных с операционным риском, в соответствии с главами 2 и 3 Положения № 716-П, исключающий дублирование и пропуски информации. В то же время в соответствии с требованиями пункта 6.10 Положения № 716-П, в случае, если события нефинансовых рисков связаны с операционным риском, прямые потери по ним подлежат регистрации в базе событий операционного риска с учетом соблюдения требований глав 2 и 3, а также пунктов 6.6 – 6.19 Положения № 716-П.

В то же время кредитная организация вправе самостоятельно разрабатывать методологию оценки и определения уровня значимости отдельных видов нефинансовых рисков, в том числе определять методологию оценки потерь по ним. Отмечаем, что указанная методология оценки потерь должна соответствовать требованиям Положения № 716-П, так как данная информация включается в базу событий операционного риска и учитывается для целей расчета размера операционного риска в соответствии с требованиями Положения № 744-П. Кроме того, в случае если кредитная организация ведет базу событий отдельных видов нефинансовых рисков, связанных с операционным риском, раздельно от базы событий операционного риска, при регистрации информации о потерях от вышеуказанных рисков данным событиям должен быть присвоен тип события в соответствии с требованиями пунктов 3.6 и 3.8 Положения № 716-П, при этом в соответствии с пунктом 3.7 Положения № 716-П кредитная организация вправе разработать дополнительную детализированную классификацию типов событий в рамках последующих уровней классификатора, предусмотренного главой 3 Положения № 716-П.

5. В случае если работнику кредитной организации было ошибочно начислено больше вознаграждения, чем полагается, данный инцидент следует относить к событиям операционного риска с прямыми потерями, при этом возврат кредитной организации излишне начисленной суммы вознаграждения должен учитываться как возмещение по данной потере.

6. Факт ошибочного начисления работнику кредитной организации вознаграждения меньшего, чем полагается, которое было компенсировано кредитной организацией, является событием операционного риска с типом события «нарушение кадровой политики и безопасности труда» в соответствии с подпунктом 3.6.3 пункта 3.6 Положения № 716-П и потенциальными потерями в соответствии с абзацем третьим подпункта 3.13.3 пункта 3.13 Положения № 716-П, которые в соответствии с требованиями подпункта 9.2.1 пункта 9.2 Положения № 716-П не подлежат обязательной регистрации в базе событий для банка с универсальной лицензией, размер активов которого составляет 500 млрд руб. и менее. Кредитная организация исходя из характера и масштаба совершаемых операций вправе самостоятельно определить необходимость отражения в базе событий информации о вышеуказанном инциденте, однако если возмещение кредитной организацией работнику недоначисленных средств было осуществлено по решению суда, судебные издержки кредитной организации по данному иску (уплаченные штрафы, возмещение морального вреда и т д.) следует отражать в базе событий как прямые потери по данному событию операционного риска.

7. Рекомендуем относить вышеуказанную ситуацию к событиям операционного риска с потенциальными потерями, определяемыми в соответствии с абзацем третьим подпункта 3.13.3 пункта 3.13 Положения № 716-П.

8. В соответствии с подпунктом 9.2.1 пункта 9.2 Положения № 716-П банк с универсальной лицензий, размер активов которого составляет менее 500 млрд руб., не обязан проводить количественную оценку уровня операционного риска путем оценки ожидаемых потерь от реализации операционного риска в соответствии с абзацем четвертым подпункта 2.1.4 пункта 2.1 Положения № 716-П.

9. В случае если потенциальные потери от реализации события операционного риска (или ее часть), зарегистрированные в базе событий, становятся прямыми потерями, в базе событий должна быть отражена информация по обоим видам потерь, при этом рекомендуем в разделе базы событий «обоснование величины потери», заполняемом в соответствии с абзацем тридцать третьим пункта 6.6 Положения № 716-П, для потенциальных потерь указать их связь с соответствующими прямыми потерями (например, отразив ссылку на запись по прямым потерям в базе событий).

Обращаем внимание, что, если потери от реализации события операционного риска переходит из потенциальных в прямые, не следует уменьшать сумму потенциальных потерь, отраженную в разделе базы событий в соответствии с абзацем двадцать девятым пункта 6.6 Положения № 716-П. В то же время кредитная организация вправе указывать сумму потенциальных потерь, скорректированную на сумму прямых потерь, в дополнительном поле базы событий, создаваемом в соответствии с абзацем сорок девятым пункта 6.6 Положения № 716-П.

10. Рекомендуем относить подобные события операционного риска к событиям операционного риска с потенциальными потерями в соответствии с абзацем вторым подпункта 3.13.3 пункта 3.13 Положения № 716-П.

11. Возмещения, указанные в абзацах третьем-шестом пункта 6.17 Положения № 716-П не подлежат регистрации в базе событий и не учитываются в определении величины чистых (фактических) потерь.

12. Мнение подтверждаем. При этом страховые выплаты учитываются в качестве возмещений с учетом пункта 6.17 Положения № 716-П.

13. В соответствии с подпунктом 3.6.2 пункта 3.6 Положения № 744-П в случае если возмещение на покрытие прямых потерь поступило от страховой организации, входящей в банковскую группу, по договорам перестрахования со страховыми организациями, не входящими в банковскую группу, указанные возмещения могут быть учтены в полном объеме.

14. Мнение подтверждаем.

Печать

1. Возможно ли определить ответственным за ведение базы событий одного работника кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) (например, руководителя службы управления рисками), в обязанности которого будет входить ведение базы событий с определением всех элементов классификации в отношении всех видов операционного риска?

2. Просьба привести примеры, когда исправительные проводки (операции сторно) являются событиями операционного риска, обязательными к регистрации в базе событий операционного риска кредитной организации.

3. Каким образом в базе событий следует регистрировать событие операционного риска, если в рамках него выявлено несколько видов операционного риска, управляемых разными специализированными подразделениями (например, если вследствие технического сбоя клиенту были неверно рассчитаны проценты по вкладу, клиент обратился в суд и суд признал правоту клиента)?

4. В случае если по результатам проверки службы безопасности кредитной организации выявлено, что заемщик на момент получения кредита предоставил поддельную справку о доходах, следует ли указывать в базе событий отдельный вид операционного риска – мошеннические действия третьих лиц?

5. Просьба в приведенном ниже примере указать, какую из дат следует указывать как дату выявления и дату реализации события операционной риска:

11.12.2020 – выявлена недостача денежных средств в кассе, 16.12.2020 – по результатам проверки службы безопасности установлено, что недостача образовалась в результате хищения денежных средств работником кредитной организации. Кредитной организацией подано заявление в правоохранительные органы. 20.02.2021 — кредитной организацией получено обвинительное заключение от правоохранительных органов, кредитная организация подает иск о взыскании задолженности с виновного кассира.

6. Что будет являться событием операционного риска в следующем примере: вследствие сбоя информационной системы кредитной организации 1000 клиентов не могли осуществлять переводы денежных средств со счета банковской карты в личном кабинете через мобильное приложение, при этом 150 клиентов обратились с жалобой в кредитную организацию о том, что денежные средства были списаны с их счета, но не поступили адресату?

7. К какому из направлений деятельности кредитной организации, указанных в пункте 3.9 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), следует относить процессы кредитования малого бизнеса и кредитования физических лиц, управление и оценка которых осуществляется на индивидуальной или портфельной основе?

8. К какому направлению деятельности в целях классификации событий операционного риска в соответствии с пунктом 3.9 Положения № 716-П необходимо отнести следующие требования кредитной организации и связанные с ними процессы:

вложения в долгосрочные активы, предназначенные для продажи (квартиры дома, земельные участки);

вложения в недвижимость, временно не используемую в основной деятельности (квартиры, земельные участки, нежилые помещения), в том числе сдаваемые в аренду?

Может ли кредитная организация расширить классификацию событий операционного риска по направлениям деятельности первого уровня, указанную в пункте 3.9 Положения № 716-П?

9. В каком случае статус «оценка потерь от события операционного риска завершена» присваивается событию операционного риска или группе однородных событий операционного риска?

10. Каким образом следует заполнять раздел базы событий «агрегированная сумма косвенных потерь», указанный в абзаце тридцать шестом пункта 6.6 Положения № 716-П?

11. Какие направления деятельности кредитной организации следует относить к направлениям деятельности второго уровня классификации, предусмотренном пунктом 3.10 Положения № 716-П?

12. Просьба уточнить, какие виды потерь относятся к первому и второму уровням классификации в соответствии с пунктом 3.12 Положения № 716-П?

13. Следует ли считать событием операционного риска технические недостачи в устройствах самообслуживания (далее – УС) (например, вследствие некорректного обнуления счетчиков банкомата, ввода неверной суммы загрузки, сбоя при отражении операций по счетам бухгалтерского учета ПО и иных факторов)? Возможно ли установить срок регистрации данных событий операционного риска в базе событий до 1 месяца?

14. Следует ли считать событием операционного риска потери кредитной организации, связанные с выплатой клиентам возмещений их потерь, реализованных по причине сбоя в работе УС (например, когда в целях сохранения лояльности клиентов кредитная организация осуществляет возмещение клиенту потерь по сбойным операциям до проведения инкассации УС)?

15. Следует ли считать событием операционного риска списания по картам, которые являются стандартным функционалом продукта (например, операции reversal, adjustments, charge-back)?

16. Следует ли считать событием операционного риска образование задолженности по эквайринговым операциям со стороны компании, при их погашении в течение календарного месяца?

17. Каким образом следует рассчитывать сумму потерь по виду прямых потерь «начисление резервов по прочим потерям и резервов-оценочных обязательств некредитного характера» в соответствии с пунктом 6.1 Положения Банка России от 23 октября 2017 № 611-П «О порядке формирования кредитными организациями резервов на возможные потери» (далее – Положение № 611-П) по предъявленным претензиям и судебным искам?

18. В каком случае судебный иск, поданный к кредитной организации или самой кредитной организацией, следует относить к правовому риску как виду операционного риска в соответствии с пунктом 1.4 Положения № 716-П?

19. Следует ли считать событием операционного риска образование задолженности и формирование резервов при закрытии позиции на финансовых рынках в связи с недостаточностью обеспечения, при урегулировании задолженности со стороны клиента в течение следующего календарного месяца?

20. Следует ли считать событием операционного риска потенциальные размеры штрафов из-за ошибок или технических сбоев до момента поступления постановления или акта по результатам проверки со стороны регулирующих органов?

21. Следует ли считать событием операционного риска факты образования дебиторской задолженности со сроком до 30-ти дней?

22. Следует ли считать событием операционного риска факты образования технических овердрафтов по счетам / картам клиентов в случае урегулирования задолженности в срок до 30-ти рабочих дней?

23. Следует ли считать потерями от события операционного риска госпошлины по исковым заявлениям до момента произведения соответствующей выплаты?

24. Следует ли считать потерями от события операционного риска факт некорректного начисления дисконтного дохода по облигациям в портфеле кредитной организации в связи со сбоем в программном обеспечении, в случае если данное событие было выявлено работниками кредитной организации в рамках внутреннего контроля, выполнены исправительные проводки?

25. Следует ли считать потерями от события операционного риска факт излишнего отнесения на расходы суммы арендной платы в связи с досрочным расторжением договора аренды нежилого помещения, в случае если данное событие было выявлено работниками кредитной организации в рамках внутреннего контроля, выполнены исправительные проводки?

26. Просим пояснить необходимость регистрации событий операционного риска, финансовым результатом по которым является прибыль (например, следует ли считать событием операционного риска излишки, выявленные при инкассации банкомата либо в кассе, отнесенные на доходы кредитной организации)?

27. Следует ли считать событием операционного риска факт формировании кассовых документов работником кредитной организации с неверным указанием кассового символа?

28. Следует ли считать событием операционного риска факт указания неверного срока полномочий лица, наделенного правом подписи?

29. Следует ли считать событием операционного риска факт несвоевременной переоценки резерва в следующей ситуации:

новый документ, удостоверяющего личность, был предоставлен 20.04.2019, а резерв восстановлен 30.05.2019 (задолженность переведена из 5 категории качества в 3 категорию качества, сумма высвободившихся денежных средств составила более 1 млн руб.)?

30. Следует ли считать событием операционного риска предотвращенные кредитной организацией события социальной инженерии, не повлекшего за собой убытка как для кредитной организации, так и для клиента?

31. Следует ли считать событием операционного риска события внешнего мошенничества по отношению к клиентам кредитной организации, в случае если клиент самостоятельно сообщил сведения для возможности кражи его средств?

32. Следует ли считать событием операционного риска выплаты клиентам по бизнес-решениям, которые являются проявлением лояльности к клиенту (например, прощение долга, выплаты в рамках социальной инженерии, списание безнадежной задолженности, по которой ранее был создан 100% резерв под кредитный риск)?

33. Следует ли считать событием операционного риска сбои в информационных системах кредитной организации (менее 24 часов), не повлекшие за собой потерь?

от 17.09.2021 № 716-P-2021/36

1. В соответствии с пунктом 6.21 Положения № 716-П кредитная организация самостоятельно устанавливает во внутренних документах перечень должностей работников, ответственных за ведение базы событий (например, в зависимости от характера и масштаба деятельности кредитной организации таким работником может быть назначен руководитель службы управления рисками).

Обращаем внимание, что в соответствии с абзацем седьмым пункта 1.3 Положения № 716-П в случае если специализированное подразделение (например, служба информационной безопасности) организационно независимо от службы управления рисками кредитной организации, кредитная организация определяет во внутренних документах соблюдение процедур управления операционным риском, обмена информации, предоставления отчетности и других элементов взаимодействия между службой управления рисками и специализированным подразделением. Кроме того, в соответствии с пунктом 6.9 Положения № 716-П кредитная организация ведет учет потерь от реализации событий всех видов операционного риска с установлением единого подхода к их идентификации, оценке и классификации в соответствии с требованиями Положения № 716-П, исключающего дублирование и пропуски информации в базе событий.

В случае ведения единой базы событий работниками службы управления рисками, к ответственности которых в соответствии с внутренним порядком ведения базы событий может быть отнесена регистрация и учет событий информационной безопасности, кредитная организация в соответствии с абзацем вторым подпункта 7.9.2 пункта 7.9 Положения № 716-П обеспечивает идентификацию событий риска информационной безопасности службой информационной безопасности и своевременную передачу информации о них в службу управления рисками.

2. В соответствии с абзацем четвертым подпункта 6.7.1 пункта 6.7 Положения № 716-П кредитная организация должна включать в расчет величины валовых потерь сумму прямых потерь, которые вызывают искажения финансовой отчетности, но которые могут быть полностью скорректированы в дальнейшем. Таким образом, любая исправительная проводка, имеющая указанные выше признаки, в соответствии с требованиями Положения № 716-П будет являться событием операционного риска.

3. В соответствии с абзацем семнадцатым пункта 6.6 Положения № 716-П кредитная организация должна отразить в базе событий вид операционного риска, указанный в пункте 1.4 Положения № 716-П, который является причиной реализации события операционного риска. В приведенном в вопросе примере таким видом операционного риска является риск информационных систем.

4. В приведенном в вопросе примере не следует указывать мошенничество как отдельный вид операционного риска, так как данное событие может реализоваться во всех направлениях деятельности кредитной организации и может быть причиной реализации отдельных видов операционного риска, указанных в пункте 1.4 Положения № 716-П. Отмечаем, что управление рисками, связанными с мошенническими действиями клиентов, может осуществляться в рамках системы управления операционным риском в целом. При регистрации в базе событий события операционного риска, связанного с мошенническими действиями клиентов, рекомендуем не указывать отдельный вид операционного риска, при этом тип данного события операционного риска определить как «преднамеренные действия третьих лиц» в соответствии с подпунктом 3.6.2 пункта 3.6 Положения № 716-П.

5. В приведенном в вопросе примере датой выявления события операционного риска следует считать дату, когда кредитной организацией был выявлен факт недостачи (11.12.2020). В соответствии с абзацем четвертым пункта 6.6 Положения № 716-П датой реализации события операционного риска следует считать дату, когда событие произошло или впервые началось. В случае если в результате расследования обстоятельств реализации события операционного риска невозможно определить дату его совершения, допустимо в разделе «дата реализации» базы событий, определенном в абзаце шестом пункта 6.6 Положения № 716-П, указать значение «Не определена».

Комментарии Банка России по вопросу определения дат учета потерь и возмещений по событию операционного риска размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «Об отчетах по управлению операционным риском (часть 3)», вопрос № 1.

6. В приведенном вопросе примере событием операционного риска является сбой информационной системы, повлекший невозможность получения клиентами кредитной организации ее услуг, следствием которого явились жалобы клиентов. Таким образом, в указанной ситуации следует зарегистрировать в базе событий одно событие операционного риска, связанное со сбоем информационной системы. В случае если жалобы клиентов повлекли для кредитной организации какие-либо компенсационные выплаты клиентам, их следует регистрировать в качестве прямых потерь от данного события операционного риска, при этом общее количество жалоб клиентов и общую сумму претензий клиентов, связанных с данным событием операционного риска, рекомендуем учитывать для оценки потенциальных потерь от данного события операционного риска.

7. Бизнес-процессы кредитной организации по кредитованию физических лиц, управление и оценка которых проводится как на индивидуальной, так и на коллективной основе, следует классифицировать как направление деятельности «розничное банковское обслуживание» в соответствии с подпунктом 3.9.3 пункта 3.9 Положения № 716-П Бизнес-процессы кредитной организации по кредитованию субъекта малого предпринимательства, управление и оценка которых проводится на индивидуальной основе, следует классифицировать как направление деятельности «коммерческое банковское обслуживание корпоративных клиентов» в соответствии с подпунктом 3.9.4 пункта 3.9 Положения № 716-П. В то же время бизнес-процессы по кредитованию субъекта малого предпринимательства, управление и оценка которых проводится на портфельной основе с использованием технологий розничного кредитования, следует классифицировать как направление деятельности «розничное банковское обслуживание» в соответствии с подпунктом 3.9.3 пункта 3.9 Положения № 716-П. Кроме того, в целях отнесения процессов кредитования субъекта малого предпринимательства к направлению деятельности «розничное банковское обслуживание» рекомендуем использовать критерии, определенные в пункте 2.6 Положения Банка России от 06.08.2015 № 483-П «О порядке расчета величины кредитного риска на основе внутренних рейтингов».

8. Бизнес-процессы кредитной организации, указанные в вопросе, считаем целесообразным относить к направлению деятельности «обеспечение деятельности кредитной организации» в соответствии с подпунктом 3.9.9 пункта 3.9 Положения № 716-П. Обращаем внимание, что классификация направлений деятельности кредитной организации первого уровня должна соответствовать классификации, приведенной в пункте 3.9 Положения № 716-П, однако кредитная организация вправе в управленческих целях разработать и утвердить во внутренних документах дополнительную классификации направлений деятельности (второго уровня).

9. Статус «оценка потерь от события операционного риска завершена» присваивается событию операционного риска или группе однородных событий операционного риска, объединенных в группу на основании критериев однородности событий операционного риска в соответствии с требованиями пункта 6.12 Положения № 716-П (далее – группа событий) в случае, когда кредитная организация полагает, что по данному событию (группе событий) не ожидается не только новых потерь, но и будущих возмещений по ним.

10. В разделе базы событий «агрегированная сумма косвенных потерь», заполняемом в соответствии с абзацем тридцать шестым пункта 6.6 Положения № 716-П, указывается совокупная величина всех потерь, отражаемых в базе событий в соответствии с абзацем двадцать девятым пункта 6.6 Положения № 716-П, для которых в базе событий в соответствии с абзацем двадцать седьмым пункта 6.6 Положения № 716-П указан вид потерь «косвенные потери».

11. В целях классификации событий операционного риска по направлениям деятельности кредитной организации в соответствии с пунктом 3.10 Положения № 716-П кредитная организация определяет во внутренних документах классификацию направлений деятельности, в том числе в разрезе составляющих их процессов, до второго уровня и далее с учетом осуществляемых операций и (или) действующих процессов кредитной организации. Таким образом, направления деятельности первого уровня, определяемые кредитной организацией во внутренних документах, должны соответствовать классификации, указанной в пункте 3.9 Положения № 716-П, при этом классификацию направлений деятельности второго и последующего уровней кредитная организация вправе определять исходя их характера и масштаба своей деятельности.

12. Виды прямых потерь, указанные в первых абзацах подпунктов 3.12.1 – 3.12.10 пункта 3.12 Положения № 716-П, являются классификацией прямых потерь первого уровня, при этом абзацы второй – десятый подпункта 3.12.1, второй – четвертый подпункта 3.12.5, второй – пятый подпункта 3.12.6 пункта 3.12 Положения № 716-П относятся к классификации прямых потерь второго уровня.

13. Сумма недостачи признается прямой потерей, которую необходимо регистрировать в базе событий, если данная сумма была отражена на счетах расходов/убытков бухгалтерского учета (или на счетах учета дебиторской задолженности как отложенные расходы). Поступившие затем компенсации данной недостачи следует отражать в базе событий как возмещение по данному событию операционного риска. В то же время сумму недостачи следует относить к потенциальным потерям, если данная недостача была предотвращена средствами внутреннего контроля до отражения проводки на счетах бухгалтерского учета. Если дата регистрации события операционного риска в базе событий ранее даты отражения недостачи как прямой потери по нему, то сумму недостачи следует отражать в базе событий как потенциальную потерю, а с даты ее отражения в бухгалтерском учете – как прямую потерю.

Кредитная организация вправе для целей управления операционным риском разработать отдельный подвид ключевых индикаторов операционного риска по событиям операционного риска, которые были предотвращены до закрытия операционного дня для оценки эффективности последующего контроля и мер, направленных на уменьшение негативного влияния операционного риска.

Положение № 716-П не устанавливает требований к сроку регистрации событий операционного риска в базе событий, в том числе в случаях, если эти события еще не идентифицированы, но могли быть реализованы. Срок устанавливается от даты выявления (идентификации) события, которое в приведенном примере может быть обусловлено датой обработки результатов соответствующей инкассации, фиксирующей отсутствие излишка в данном УС, покрывающим техническую недостачу. В случае, когда после обработки результатов инкассации данного УС обнаруживается, что выявленные излишки покрывают техническую недостачу, то прямые потери отсутствуют и кредитная организация вправе, если это установлено во внутренних документах, не регистрировать данное событие в базе событий.

Также обращаем внимание, что в соответствии с подпунктом 4.2.1 пункта 4.2 Положения № 716-П кредитная организация определяет во внутренних документах порядок информирования руководителя службы управления рисками и критерии значимости (то есть размера существенности) событий операционного риска, включаемых в ежедневное информирование по операционному риску.

Для цели снижения трудоемкости ведения базы событий, в том числе уменьшения количества записей, кредитная организация вправе группировать отдельные мелкие события операционного риска в группу событий в соответствии с пунктом 6.12 Положения № 716-П по однородным признакам (например, по месту реализации, по одному и тому же работнику или элементу информационной или учетной системы на одной и той же операции/этапе процесса в рамках однородного периода времени реализации (но не более 48 часов)), определив четкие критерии во внутренних документах.

14. В соответствии с подпунктом 3.12.3 пункта 3.12 Положения № 716-П все виды добровольных компенсаций кредитной организацией клиенту его потерь, реализовавшихся, в том числе, по внутренним источникам реализации события (например, в результате сбоя УС), следует рассматривать как прямую потерю от реализации события операционного риска, в случае если данные выплаты были отражены на счетах расходов/убытков бухгалтерского учета.

Данные события подлежат регистрации в базе событий, при этом выявляемые излишки денег в УС, за счет которых урегулируются данные потери, следует отражать в базе событий как возмещения к данным потерям при условии, что выявленные излишки обнаружены в том же УС, в котором были зарегистрированы сбои, вызвавшие выплаты клиентам компенсаций, «закрываемых» данными излишками.

Дополнительные комментарии Банка России по вопросу определения потерь от реализации событий операционного риска, связанных с выплатой кредитной организацией компенсаций клиентам, контрагентам на добровольной основе, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О видах риска информационной безопасности», вопрос № 3.

15. В случае если операция списания по картам является стандартной услугой и предусмотрена условиями продукта, а также не связана с реализацией источников операционного риска, указанных в пункте 3.3 Положения № 716-П, то учитывать такие случаи как события операционного риска не следует.

16. В случае если договором оказания услуг эквайринга предусмотрена ежемесячная оплата услуг, данное событие (временной разрыв между оказанием услуги до ее оплаты) не является событием операционного риска.

17. Начисление резервов по прочим потерям и резервов — оценочных обязательств некредитного характера в соответствии с пунктом 6.1 Положения № 611-П по предъявленным претензиям и судебным искам не всегда осуществляется в размере 100% суммы претензии (судебного иска), но в соответствии с профессиональным суждением ответственного подразделения. В случае принятия решения о формировании резерва по предъявленным претензиям и (или) судебным искам, данное событие должно регистрироваться в базе событий с указанием величины прямых потерь в размере сформированного резерва. В случае если резерв будет восстановлен после соответствующего решения суда, данную операцию необходимо отразить в базе событий как возмещение прямых потерь.

18. В соответствии с абзацем четвертым пункта 1.4 Положения № 716-П под правовым риском, как видом операционного риска, понимается риск возникновения у кредитной организации потерь вследствие нарушения кредитной организацией и (или) ее контрагентами условий заключенных договоров, допускаемых кредитной организацией правовых ошибок при осуществлении деятельности, несовершенства правовой системы и т д. Обращаем внимание, что не любой судебный иск, поданный самой кредитной организаций или ее клиентами и (или) контрагентами по отношению к ней, является событием операционного риска, а может являться предусмотренной бизнес-операцией, например, по возврату просроченного долга. Для определения связи данного иска с операционным риском необходимо понимать источник возникновения события, по которому подается иск. Например, если кредитная организация подает в суд на клиента, имеющего просроченную задолженность по кредиту, следует определить причину образования данной задолженности. Если имел факт реализации источника (источников) операционного риска, указанных в пункте 3.3 Положения № 716-П (например, мошеннические действия со стороны клиента при оформлении кредита), то данное событие следует рассматривать как событие операционного риска, связанное с кредитным риском, одной из мер уменьшения потерь по которому может являться обращение кредитной организацией в суд для взыскания задолженности. Правовой риск в данном случае отсутствует, но присутствует стандартный операционный риск (в приведенном примере — по типу события «внешнее мошенничество»), и расходы, связанные с судебным рассмотрение данного иска следует относить к потерям от данного события мошенничества.

В то же время в случае, если кредитная организация подала в суд иск как бизнес-операцию взыскания стандартной просроченной задолженности (то есть не образованной в результате события операционного риска), то данное событие не следует рассматривать как событие правового риска и (или) операционного риска. Но если кредитная организация проиграла такой иск в результате ошибок в судебном процессе (например, неверно составленном исковом требовании, ошибок в представленных документах, неверно выбранной тактики доказывания или соблюдения судебной процедуры и др.), то данное событие (проигрыш в суде) является правовым риском и потери по нему (например, уплаченные пошлины, присужденные судом к выплате компенсации и (или) штрафы и т д.) следует относить к потерям от реализации данного события правового риска как вида операционного риска.

Обращаем также внимание, что в случае если к кредитной организации подан судебный иск ее клиентом в связи с нарушением его прав вследствие правовых ошибок со стороны кредитной организации (например, кредитный договор составлен с нарушением норм законодательства), данное событие следует также рассматривать как событие правового риска.

В то же время в случае если причиной образования просроченной задолженности по кредиту не является источник операционного риска, то есть процедура оформления и выдачи кредита была совершена с соблюдением всех установленных правил и процедур, факт образования просроченной задолженности не является событием операционного риска, при этом подача кредитной организацией судебного иска по взысканию данной просроченной задолженности является способом управления кредитным риском.

19. В случае если недостаточность обеспечения при закрытии позиции возникает вследствие реализации источников операционного риска, указанных в пункте 3.3 Положения № 716-П, данное событие должно регистрироваться в базе событий операционного риска. При формировании резерва, связанного с образованием просроченной задолженности, данная потеря должны отражаться в базе событий как прямая потеря, при этом, в случае урегулирования задолженности (например, довнесением обеспечения, со стороны клиента), сумму восстановления (уменьшения) резерва, связанную с довнесением обеспечения клиентом, следует отразить в базе событий как возмещение по данной потере.

20. Рекомендуем относить возможные потери кредитной организации в виде штрафов, которые могут быть предъявлены к кредитной организации вследствие нарушений с ее стороны по причине ошибок работников, технических сбоев и других источников операционного риска, указанных в пункте 3.3 Положения № 716-П, к потенциальным потерям, указанным в абзаце третьем подпункта 3.13.3 пункта 3.13 Положения № 716-П.

В случае если в соответствии с требованиями главы 9 Положения № 716-П кредитная организация не обязана регистрировать в базе событий потенциальные потери от событий операционного риска, за исключением потенциальных потерь, указанных в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716-П, кредитная организация вправе самостоятельно определить необходимость регистрации событий операционного риска с потенциальными потерями исходя из характера и масштаба своей деятельности, уровня операционного риска (например, частоты данных событий), качества процессов и технологий, объема трудоемкости и иных затрат на их регистрацию, в том числе уровня автоматизации процесса выявления и регистрации указанных событий в базе событий. В целях накопления соответствующих данных для анализа вероятности перехода потенциальных потерь в прямые потери рекомендуем кредитной организации регистрировать события операционного риска с потенциальными потерями в базе событий в случае их выявления в рамках текущей деятельности (например, в ходе мероприятий внутреннего контроля или аудиторских проверок).

21. В случае если возникновение дебиторской задолженности связано с реализацией источников операционного риска, указанных в пункте 3.3 Положения № 716-П, данное событие должно регистрироваться в базе событий. При этом текущая дебиторская задолженность регистрируется как событие с потенциальными потерями. В случае формирования резервов по дебиторской задолженности такая задолженность регистрируется как событие с прямыми потерями в независимости от того, будет произведено списание задолженности или получено возмещение в будущем.

22. В случае возникновения технического овердрафта по причине реализации источников операционного риска, указанных в пункте 3.3 Положения № 716-П, данное событие является событием операционного риска в независимости от срока получения возврата средств, предоставленных в счет овердрафта. При регистрации события в качестве качественных потерь в соответствии с подпунктом 3.13.2 пункта 3.13 Положения № 716-П указывается возникновение источника кредитного риска.

При формировании резерва по техническому овердрафту, в случае если не удалось урегулировать задолженность с клиентом в срок, установленный внутренними документами и (или) договором, следует отражать данные потери в базе событий как прямые потери. В то же время рекомендуем при урегулировании с клиентом суммы технического овердрафта в период, предусмотренный внутренними документами и (или) договором, относить данные потери к потенциальным потерям.

Дополнительные комментарии по отражению в базе событий потенциальных потерь см. в вопросе 20.

23. При поступлении информации о подаче судебного иска к кредитной организации, в случае если данный иск связан с источником операционного риска, указанным в пункте 3.3 Положения № 716-П, рекомендуем рассматривать сам иск и юридические издержки по нему (в том числе госпошлины) как потенциальные потери в соответствии с абзацем третьим подпункта 3.13.3 пункта 3.13 Положения № 716-П.

24. Представленное в вопросе событие является событием операционного риска с потенциальными потерями.

Дополнительные комментарии по отражению в базе событий потенциальных потерь см. в вопросе 20.

25. Представленное в вопросе событие является событием операционного риска с потенциальными потерями.

Дополнительные комментарии по отражению в базе событий потенциальных потерь см. в вопросе 20.

26. В случае если реализация события операционного риска не привела к прямым потерям для кредитной организации, а ее результатом могло стать отражение в бухгалтерском учете дохода кредитной организации, данное событие операционного риска следует рассматривать как событие операционного риска с потенциальными потерями, определяемыми путем моделирования неблагоприятного исхода данного события с определенной вероятностью (сценарное моделирование). Для вышеуказанного события операционного риска рекомендуем в базе событий в разделе «описание события операционного риска», предусмотренном абзацем тринадцатым пункта 6.6 Положения № 716-П, указать, что в результате реализации данного события операционного риска кредитной организацией была получена прибыль, и в разделе «обоснование величины потери», предусмотренном абзацем тридцать третьим пункта 6.6 Положения № 716-П, отразить расчет величины данной потенциальной потери в рамках выбранного сценария и вероятности неблагоприятного исхода в соответствии с методикой, утвержденной во внутренних документах кредитной организации.

27. Представленное в вопросе событие является событием операционного риска с потенциальными потерями.

Дополнительные комментарии по отражению в базе событий потенциальных потерь см. в вопросе 20.

28. В случае реализации источников операционного риска, указанных в пункте 3.3 Положения № 716-П, и с учетом требований главы 9 Положения № 716-П данное событие операционного риска следует регистрировать в базе событий как событие операционного риска с потенциальными потерями.

Дополнительные комментарии по отражению в базе событий потенциальных потерь см. в вопросе 20.

29. Представленное в вопросе событие является событием операционного риска, результатом которого стало отражение в бухгалтерском учете дохода кредитной организации.

Дополнительные комментарии по отражению в базе событий операционного риска, результатом реализации которых является прибыль кредитной организации, см. в вопросе 26.

30. Относительно предотвращенных кредитной организацией событий социальной инженерии, не повлекших за собой убытка как для кредитной организации, так и для клиента, сообщаем, что Положение № 716-П не обязывает кредитные организации с учетом требований главы 9 Положения № 716-П регистрировать в базе событий события операционного риска, по которым отсутствуют прямые потери, определяемые в соответствии с пунктом 3.12 Положения № 716-П, и непрямые потери, определяемые в соответствии с пунктом 3.13 Положения № 716-П, при этом кредитная организация для целей соблюдения иных нормативных актов Банка России вправе самостоятельно определить необходимость регистрации событий операционного риска по отдельным видам операционного риска (например, инцидентов риска информационной безопасности), которые были предотвращены и которые не привели как к прямым, так и непрямым потерям.

31. Относительно событий внешнего мошенничества по отношению к клиентам кредитной организации в случае, если клиент самостоятельно сообщил сведения для возможности кражи его средств и украденные средства не были компенсированы клиенту кредитной организацией, сообщаем, что их следует относить к потенциальным потерям, определяемым в соответствии с абзацем вторым подпункта 3.13.3 пункта 3.13 Положения № 716-П, так как в последующем могут выявиться обстоятельства косвенной вины кредитной организации и предъявления к ней судебных исков о компенсации ущерба. Предположим, кредитная организация реализовала неэффективный процесс онлайн обслуживания и не предприняла все возможные меры, принятые в рыночной практике, по дополнительным идентификационным проверкам легитимности списания денежных средств со счетов клиента (например, проверки номера оборудования, с которого поступил запрос на списание).

32. В соответствии с подпунктом 3.12.3 пункта 3.12 Положения № 716-П компенсации потерь клиентов из-за действий третьих лиц, выплаченные кредитной организацией во внесудебном порядке, являются прямыми потерями от реализации операционного риска (например, в случае «социальной инженерии»), и должны регистрироваться в базе событий безотносительно того, принудительно или по собственной инициативе («доброй воле») кредитная организация осуществила данную компенсацию, с признанием или не признанием своей «вины». Кредитная организация вправе самостоятельно разработать в соответствии с пунктом 3.14 Положения № 716-П последующие уровни классификации потерь, указанных в подпункте 3.12.3 пункта 3.12 Положения № 716-П (например, по видам компенсаций, выплаченных в добровольном порядке или по иным основаниям, с признанием или не признанием своей «вины» кредитной организацией) для цели осуществления последующего анализа и контроля за уровнем и суммарной величиной таких выплат (например, путем установления для них соответствующих значений ключевых индикаторов риска в соответствии с абзацами десятым – двадцать первым подпункта 2.1.7 пункта 2.1 Положения № 716-П).

Прощение долга клиенту в случае его добросовестности и отсутствия источников операционного риска в возникновении данного долга, не является событием операционного риска, в случае, если правила процедуры прощения долга установлены во внутренних документах и соблюдены все условия ее реализации.

33. Представленное в вопросе событие является событием операционного риска с непрямыми потерями (например, в виде простоя).

Правила регистрации в базе событий с непрямыми потерями кредитная организация определяет самостоятельно с учетом требований главы 9 Положения № 716-П.

Для целей соблюдения иных нормативных актов Банка России вправе самостоятельно определить необходимость регистрации событий операционного риска по отдельным видам операционного риска (например, инцидентов риска информационной безопасности), которые были предотвращены и которые не привели как к прямым, так и непрямым потерям.

Печать

1. Распространяются ли требования Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), в том числе требования к отчетам по операционному риску, указанные в абзаце втором подпункта 4.2.2 пункта 4.2 Положения № 716-П, на иностранные дочерние банки банковской группы?

2. При формировании головной кредитной организацией банковской группы отчета по операционному риску в соответствии с абзацем вторым подпункта 4.2.2 пункта 4.2 Положения № 716-П допустимо ли использовать:

элементы классификации событий операционного риска иностранных дочерних банков в соответствии с главой 3 Положения № 716-П только первого уровня;

ограниченное количество показателей, перечисленных в подпункте 4.2.4 пункта 4.2 Положения № 716-П, в отношении событий операционного риска иностранных дочерних банков, а именно – включать в отчет только количество событий и сумму прямых и косвенных потерь?

3. Подлежит ли включению в отчет по операционному риску, формируемому в соответствии с подпунктом 4.2.2 пункта 4.2 Положения № 716-П, информация о событиях операционного риска участников банковской группы, не являющихся кредитными организациями?

от 17.09.2021 № 716-P-2021/35

1. Требования Положения № 716-П распространяются только на кредитные организации, указанные в пункте 1.1 Положения № 716-П.

Головная кредитная организация в целях реализации требований, указанных в пункте 6.3 Положения № 716-П, обязана предусмотреть во внутренних документах по управлению операционным риском банковской группы порядок ведения базы событий консолидировано по банковской группе с учетом потерь от реализации операционного риска у участников банковской группы. В случае если дочерние кредитные организации, в том числе иностранные дочерние банки, самостоятельно ведут собственные базы событий, головная кредитная организация должна на ежемесячной основе консолидировать данные о событиях операционного риска дочерних организаций с учетом требований, указанных в абзаце третьем пункта 6.3 Положения № 716-П.

В соответствии с абзацем третьим пункта 6.3 Положения № 716-П головная кредитная организация банковской группы обязана установить во внутренних документах банковской группы правила соотнесения классификации событий операционного риска дочерних кредитных организаций, в том числе иностранных дочерних банков, которые могут вести учет событий операционного риска по другим элементам классификации в соответствии с требованиями иностранных органов регулирования и надзора, с требованиями главы 3 Положения № 716-П и определить порядок предоставления отчетов дочерних кредитных организаций в головную кредитную организацию банковской группы с учетом правил соотнесения классификации.

Таким образом, иностранные дочерние организации могут предоставлять в головную кредитную организацию банковской группы данные о событиях операционного риска и потерях в соответствии с установленным во внутренних документах порядком, при этом отчеты, формируемые головной кредитной организацией банковской группы в соответствии с подпунктом 4.2.2 пункта 4.2 Положения № 716-П, должны соответствовать требованиям Положения № 716-П.

2. Головная кредитная организация банковской группы при формировании отчета в соответствии с абзацем вторым подпункта 4.2.2 пункта 4.2 Положения № 716-П обязана указывать в нем информацию о событиях операционного риска по банковской группе в разрезе направлений деятельности, в том числе в разрезе составляющих их процессов, типов событий операционного риска и источников операционного риска отдельно по видам операционного риска, включая показатели, указанные в подпункте 4.2.4 пункта 4.2 Положения № 716-П. Состав и порядок подготовки таких отчетов и степень их детализации, в том числе перечень процессов, типов событий и источников, в разрезе которых составляется отчет, головная кредитная организация определяет самостоятельно во внутренних документах по управлению операционным риском банковской группы в зависимости от характера и масштаба совершаемых операций, уровня и сочетания рисков, присущих процессам участников банковской группы.

3. В целях формирования отчета в соответствии с абзацем вторым подпункта 4.2.2 пункта 4.2 Положения № 716-П головная кредитная организация банковской группы самостоятельно устанавливает во внутренних документах банковской группы порядок сбора информации о событиях операционного риска и потерях от его реализации участников банковской группы, которые в том числе не являются кредитными организациями.

Печать

1. Правильно ли понимание, что небанковские кредитные организации (далее – НКО) обязаны осуществлять сбор и регистрацию информации по контрольным показателям операционного риска (далее – КПУР) только в части КПУР, указанных в абзацах втором и седьмом подпункта 1.1.1 пункта 1.1 и абзацах втором и девятом подпункта 1.2.1 пункта 1.2  приложения 1 к Положению Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) (при этом НКО с учетом порога регистрации обязана фиксировать в базе событий события операционного риска с прямыми потерями и потерями, указанными в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716-П)?

2. Каким образом следует учитывать однородные события операционного риска, объединенные в базе событий в группу?

3. При расчете КПУР в соответствии с подпунктом 1.1.1 приложения 1 Положения № 716-П показатели капитала (собственных средств), базового капитала участвуют в расчете без учета проводок по событиям после отчетной даты (далее – СПОД)? Если данные показатели участвуют в расчете без учета СПОД, есть ли необходимость в пересчете показателей уровня операционного риска с учетом значений капитала со СПОД и в какой срок после отчетной даты?

4. В КПУР, указанном в абзаце пятом подпункта 1.2.1 пункта 1.2 приложения 1 к Положению № 716-П, следует учитывать валовые прямые потери, понесенные кредитной организацией при выполнении функции участника платежной системы Банка России в результате реализации операционного риска в целом, или валовые прямые потери, понесенные в результате реализации риска информационной безопасности?

от 17.09.2021 № 716-P-2021/34

1. Для целей сбора и регистрации информации о внутренних событиях операционного риска и потерях от его реализации НКО в соответствии с пунктом 9.4 Положения № 716-П обязана соблюдать требования абзаца четырнадцатого подпункта 2.1.2 пункта 2.1 Положения № 716-П в отношении расчета и мониторинга контрольных показателей уровня операционного риска, указанных в абзацах втором и седьмом подпункта 1.1.1 и абзацах втором и девятом подпункта 1.2.1 пункта 1 приложения 1 к Положению № 716-П.

Банк России в соответствии с подпунктом 9.4.2 пункта 9.4 Положения № 716-П рекомендует НКО в дополнение к вышеуказанным КПУР предусмотреть во внутренних документах дополнительный перечень контрольных показателей уровня операционного риска, перечисленных в приложении 1 к Положению № 716-П, с установлением сигнальных и контрольных значений в соответствии с пунктом 5.1 Положения № 716-П. Дополнительный перечень КПУР должен быть утвержден решением коллегиального исполнительного органа НКО.

2. При расчете КПУР, указанного в абзаце седьмом подпункта 1.1.1 пункта 1.1 приложения 1 к Положению № 716?П, неучтенные события операционного риска, которые в базе событий объединены в группу на основании критериев однородности событий операционного риска в соответствии с требованиями пункта 6.12 Положения № 716-П, следует учитывать как одно событие операционного риска. В соответствии с пунктом 6.12 Положения № 716-П кредитная организация вправе самостоятельно определять во внутренних документах критерии однородности событий операционного риска для целей их отнесения в одну группу, при этом рекомендуем кредитной организации учитывать критерии однородности, указанные в абзаце втором пункта 6.12 Положения № 716-П.

Дополнительные комментарии Банка России относительно критериев определения связанности событий операционного риска размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий (часть 2)», вопрос № 1.

3. В соответствии с подпунктом 1.1.1 пункта 1.1 приложения 1 к Положению № 716-П показатели базового капитала, объема операционного риска кредитной организации, участвующие в расчете КПУР, рассчитываются на последнюю отчетную дату года. В соответствии с пунктом 5.2 Положения № 716-П совет директоров (наблюдательный совет) кредитной организации обязан на ежегодной основе утверждать сигнальные и контрольные значения (далее – целевые значения) КПУР на плановый годовой период. Таким образом, в расчете целевых значений КПУР следует использовать те данные, которые являются наиболее актуальными на момент их утверждения советом директоров (наблюдательным советом) на последнюю отчетную дату года.

Положение № 716-П не обязывает кредитные организации осуществлять пересчет целевых значений КПУР с учетом СПОД и заново утверждать их на совете директоров (наблюдательном совете). В то же время кредитная организация вправе осуществлять пересчет целевых значений КПУР на отчетную дату 1 июля отчетного года одновременно с пересчетом размера операционного риска, осуществляемым в соответствии с пунктом 1.4 Положения Банка России от 7 декабря 2020 года № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления надзора за его соблюдением». Необходимость пересчета целевых значений КПУР с учетом СПОД кредитная организация определяет для себя самостоятельно. В случае осуществления кредитной организацией данного пересчета рекомендуем кредитной организации при отправке в Банк России отчетности по форме 0409106 за 2 квартал отчетного года направлять в Банк России сообщение о пересчете целевых значений КПУР с учетом СПОД, содержащее следующую информацию: причину пересчета целевых значений КПУР, дату и номер решения совета директоров (наблюдательного совета) кредитной организации, на основании которого принято данное решение.

4. При расчете КПУР, указанного в абзаце пятом подпункта 1.2.1 пункта 1.2 приложения 1 к Положению № 716-П, необходимо учитывать валовые прямые потери, понесенные кредитной организацией при выполнении кредитной организацией функций участника платежной системы Банка России по причине реализации риска информационной безопасности.

Печать

В случае возложения обязанностей по управлению операционным риском на работников подразделений кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) не возникает ли конфликт интересов?

от 17.09.2021 № 716-P-2021/33

В соответствии с подпунктом 4.1.3 пункта 4.1 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» кредитная организация должна разработать внутренние документы, устанавливающие структуру и организацию системы управления операционным риском, в том числе полномочия и функции руководителей подразделения, ответственного за организацию управления операционным риском, специализированных подразделений, центров компетенций и других подразделений кредитной организации с учетом исключения конфликта интересов.

Печать

1. Правильно ли небанковская кредитная организация (далее – НКО) понимает, что пункты (абзацы, подпункты, главы, приложения), не перечисленные в пункте 9.4 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), не являются обязательными для выполнения НКО, в том числе если ссылки на них содержатся в каком-либо пункте, указанном в пункте 9.4 Положения № 716-П?

2. Правильно ли НКО понимает, что в соответствии с требованиями пункта 9.4 Положения № 716-П проведение ежегодной самооценки уровня операционного риска и форм (способов) контроля, направленных на снижение его уровня, на основе формализованных анкет в соответствии с требованиями абзацев восьмого – тринадцатого подпункта 2.1.5 пункта 2.1 Положения № 716-П, не являются обязательными для НКО?

3. Требуется подтвердить мнение, что под плановыми (целевыми) показателями уровня операционного риска, указанными в пункте 4.5 Положения № 716-П, понимаются лимиты по принятию решений в отношении операционного риска.

Просьба пояснить, что понимается под агрегированной оценкой уровня операционного риска?

4. Возможно ли считать ключевые индикаторы операционного риска (далее – КИР) лимитами риска?

от 17.09.2021 № 716-P-2021/32

1. В соответствии с Положением № 716-П кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация), которая на начало текущего отчетного года является НКО, обязана соблюдать требования, изложенные в пункте 9.4 Положения № 716?П, с учетом ссылок на иные нормы Положения № 716-П, содержащихся в них, так как в них содержится детализация и особенности применения требований, изложенных в пунктах с данными ссылками.

2. Кредитная организация, которая на начало текущего отчетного года является НКО, в целях выполнения процедуры идентификации операционного риска с учетом пункта 9.4 Положения № 716-П обязана соблюдать требования абзаца первого и второго подпункта 2.1.1 пункта 2.1 Положения № 716-П, а именно проведения в обязательном порядке анализа базы событий. В то же время НКО вправе не соблюдать иные требования подпункта 2.1.1 пункта 2.1 Положения № 716-П (например, по проведению самооценки операционного риска в качестве способа идентификации операционного риска).

Обращаем внимание, что НКО с учетом масштаба и характера деятельности вправе самостоятельно определить во внутренних документах дополнительные способы идентификации операционного риска, указанные в подпункте 2.1.1 пункта 2.1 Положения № 716-П, в разрезе отдельных процессов в зависимости от уровня их критичности для деятельности НКО.

3. В отношении плановых (целевых) показателей уровня операционного риска мнение подтверждаем.

Агрегированная оценка уровня операционного риска является оценкой получения ею непредвиденных потерь с определенной доверительной вероятностью и осуществляется кредитной организацией на основании методики, разработанной кредитной организацией исходя из характера и масштаба ее деятельности, с учетом требований абзаца второго подпункта 2.1.4 пункта 2.1 Положения № 716-П. Например, кредитная организация может в качестве методики оценки непредвиденных потерь от реализации операционного риска применять методику расчета величины операционного риска, установленную в применяемой кредитной организацией нормативных актах Банка России, например, в Положении Банка России от 7 декабря 2020 года № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банком России надзора за его соблюдением» (в этом случае в качестве агрегированной оценки уровня операционного риска кредитная организация может принять величину операционного риска, рассчитанную в соответствии с применяемым нормативным актом Банка России по расчету величины операционного риска).

В соответствии с абзацем вторым подпункта 2.1.4 пункта 2.1 Положения № 716-П кредитная организация для расчета агрегированной оценки уровня операционного риска вправе использовать иные количественные методы, применяемые в международной практике. В этом случае, целью агрегированной оценки уровня операционного риска является сопоставление достигнутых (фактических) и прогнозных значений количественных показателей уровня операционного риска, рассчитанных на основе анализа статистики количества событий операционного риска и потерь от их реализации, определенных кредитной организацией в базе событий, с установленным кредитной организацией пороговым значением уровня операционного риска, соответствующему принятой доверительной вероятности и с учетом возможности реализации с данной доверительной вероятностью части потенциальных потерь в виде прямых потерь.

При определении количественных показателей для целей агрегированной оценки уровня операционного риска, кредитная организация вправе использовать показатели, рассчитываемые для целей составления внутренних отчетов по операционному риску в соответствии с пунктом 4.2 Положения № 716-П.

4. КИР не являются лимитами риска. К указанным лимитам операционного риска могут быть отнесены плановые (целевые) показатели уровня операционных рисков, соотнесенных с плановыми (целевыми) объемами операций, подверженных операционным рискам, приведенных в пункте 4.5 Положения № 716-П.

Печать

Вправе ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) использовать для выявления событий кредитного риска, обусловленных операционным риском, следующие критерии:

наличие профессионального суждения о факте внешнего мошенничества (изначальное намерение заемщика не возвращать кредитные средства);

наличие профессионального суждения о факте внутреннего мошенничества (действия работников кредитной организации, направленные на одобрение кредитных средств заемщику, не намеренному их возвращать, в целях получения материальной выгоды)?

Могут ли быть у событий операционного риска, которые могут привести к реализации кредитного риска, другие источники, не связанные с мошенническими действиями со стороны заемщика и (или) со стороны работников кредитной организации?

от 29.01.2021 № 716-P-2021/31

В соответствии с абзацем четвертым подпункта 3.12.1 пункта 3.12 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) к прямым потерям от реализации событий операционного риска относится обесценение стоимости кредита в результате начисления дополнительных резервов в случае увеличения кредитного риска из-за реализации события операционного риска. Положение № 716-П не определяет список критериев для определения связи между событием операционного риска и кредитным риском, поскольку данный перечень индивидуален для каждого типа события и источника операционного риска.

Относительно примеров критериев, приведенных в вопросе, полагаем, что кредитная организация вправе использовать профессиональное суждение о наличии внешнего и (или) внутреннего мошенничества с целью выявления кредитного риска, обусловленного событием операционного риска, однако данный перечень критериев не является исчерпывающим. Рекомендуем осуществлять выявление критериев наличия внутреннего и внешнего мошенничества как на этапе предварительного контроля перед одобрением сделки, так и на этапе мониторинга или последующего контроля (например, силами внутреннего аудита или внутреннего контроля), анализируя причины отнесения ссуды к 4-й и 5-й категориям качества, по фактам существенного доначисления резерва.

Обращаем внимание, что источниками события операционного риска, которые могут привести к реализации кредитного риска, могут быть не только мошеннические действия как со стороны заемщика, так и со стороны работников кредитной организации, но также и ошибки работников кредитной организации (например, некачественное проведение кредитной экспертизы из-за халатности работника), недостатки в организации кредитного процесса (например, отсутствие контрольных функций на этапе выдачи кредита), внешние причины (например, если в случае какой-либо чрезвычайно ситуации заемщик не смог надлежащим образом обслуживать кредит) и сбои систем (например, если в случае сбоя в информационной системе кредитной организации не были своевременно начислено погашение кредита).

Таким образом, рекомендуем кредитной организации исходя из характера и масштаба деятельности расширить перечень критериев выявления событий, реализовавшихся в виде кредитного риска по причине источников операционного риска.

Дополнительные комментарии Банка России по вопросу критериев определения событий операционного риска, связанных с кредитным риском в кредитных процессах, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О событиях операционного риска, связанных с кредитным риском», вопрос 2.

Печать

В соответствии с пунктом 4.3 приложения 2 к Положению Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) в случае если у кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) отсутствуют данные о потерях от реализации событий операционного риска и (или) событий риска информационной безопасности за три года или накопленные данные не соответствуют требованиям главы 6 Положения Банка России № 716-П, кредитная организация не устанавливает нулевые значения компонентов Delta ki,ИБ и Delta ki,ОР и при определении объема капитала, выделяемого кредитной организацией на покрытие потерь от реализации событий операционного риска, должна определять значения данных компонентов с учетом сценарного анализа. Просьба пояснить, каким требованиям должен удовлетворять данный сценарный анализ?

от 27.01.2021 № 716-P-2021/30

В соответствии с пунктом 4.3 приложения 2 к Положению № 716-П кредитная организация в случае отсутствия данных, необходимых для определения значений показателей компонентов Delta ki,ИБ и Delta ki,ОР при расчете объема капитала, выделяемого кредитной организацией на покрытие потерь от реализации событий операционного риска, восполняет недостающие данные сценарным анализом.

Дополнительные комментарии Банка России по вопросу требований Положения № 716-П к проведению кредитными организациями сценарного анализа операционных рисков, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О процедурах управления операционным риском», ответ на вопрос 3.

Печать

1. Могут ли к центрам компетенций относиться подразделения кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация), в обязанности которых входит обслуживание клиентов и которые несут ответственность за достижение целевых показателей, в том числе выполнение планов по продажам продуктов и услуг кредитной организации?

Какие подразделения кредитной организации могут быть отнесены к подразделениям, обеспечивающим процессы кредитной организации, в соответствии с абзацем восьмым пункта 1.3 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

2. Могут ли следующие подразделения являться специализированными подразделениями по управлению отдельными видами операционного риска:

юридическое подразделение — правовым риском;

кадровое подразделение/подразделение по охране труда – риском ошибок управления персоналом;

подразделение информационной безопасности – риском информационной безопасности;  

подразделение информационных технологий – риском информационных систем?

3. Может ли специализированным подразделением по управлению риском ошибок в процессах осуществления внутреннего контроля в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения (далее – ПОД/ФТ) являться подразделение кредитной организации, ответственное за реализацию правил ПОД/ФТ, например, подразделение финансового мониторинга?

от 27.01.2021 № 716-P-2021/29

По вопросу 1.

К центрам компетенций для цели организации системы управления операционным риском относятся подразделения кредитной организации, отвечающие за осуществление операций и сделок в рамках осуществляемых ими процессов, которые выявляют события операционного риска на своих или смежных процессах и информируют о них.  В соответствии с абзацем восьмым пункта 1.3 Положения № 716-П к центрам компетенций могут относиться как подразделения головного офиса, ответственные за организацию процесса и его результаты в целом (например, кредитный департамент, операционный департамент), так и подразделения, обеспечивающие данные процессы (например, подразделения бухгалтерского учета, административно-хозяйственной деятельности). Положением № 716-П не устанавливается список обеспечивающих процессов. Кредитная организация должна самостоятельно отнести тот или иной обеспечивающий процесс к одному из типов процессов (критически важным, основным или прочим) в зависимости от характера и масштаба деятельности кредитной организации. Примеры подразделений кредитной организации, которые могут быть отнесены к подразделениям, обеспечивающим процессы, изложены в подпункте 3.9.9 пункта 3.9 Положения № 716-П.

Обращаем внимание, что специализированное подразделение может выполнять функции центра компетенции в отношении осуществляемых им операционных или бизнес-процессов в части выполнения функций, указанных в абзаце восьмом пункта 1.3 Положения № 716-П, таких как выявление событий операционного риска, информирование о них подразделение по управлению операционным риском, их оценку, разработку и проведение мероприятий, направленных на уменьшение негативного влияния. Дополнительные комментарии Банка России по вопросу выполнения специализированным подразделением функций центра компетенций размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ролях в системе управления операционным риском», вопрос 2.

По вопросу 2.

В случае если подразделения кредитной организации, перечисленные в вопросе, в рамках своих функциональных обязанностей выполняют процедуры управления операционным риском, указанные в подпунктах 2.1.2, 2.1.6 и 2.1.7 пункта 2.1 Положения № 716-П, в том числе в части отдельных видов операционного риска, определенных в пункте 1.4 Положения № 716-П, данные подразделения следует относить к специализированным подразделениям в соответствии с абзацем седьмым пункта 1.3 Положения № 716-П.

Обращаем внимание, что специализированное подразделение может выполнять функции центра компетенции в отношении осуществляемых им операционных или бизнес-процессов в части выполнения функций, указанных в абзаце восьмом пункта 1.3 Положения № 716-П. Дополнительные комментарии Банка России по вопросу выполнения специализированным подразделением функций центра компетенций размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ролях в системе управления операционным риском», вопрос 2.

По вопросу 3.

Кредитная организация самостоятельно определяет специализированное подразделение или несколько подразделений, ответственное (ответственных) за управление риском ошибок в процессах осуществления внутреннего контроля, связанных с нарушением правил внутреннего контроля в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма исходя из характера и масштабов своей деятельности, и вправе возложить функцию по управлению данным видом операционного риска в части деятельности по ПОД/ФТ на подразделение, ответственное за реализацию правил внутреннего контроля в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения, в том числе на подразделение финансового мониторинга.

В части иных видов деятельности кредитная организация вправе возложить функцию по управлению риском ошибок в процессах осуществления внутреннего контроля, например, на службу внутреннего контроля.  

Печать

По какой дате следует относить к отчетному периоду потери от реализации операционного риска и возмещения по ним в целях расчета показателей, указанных в подпункте 4.2.4 пункта 4.2 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

от 27.01.2021 № 716-P-2021/28

Прямые потери от событий операционного риска следует учитывать по дате ее отражения на счетах бухгалтерского учета. В случае если в текущем отчетном периоде было выявлено событие операционного риска, прямые потери по которому были отражены на счетах бухгалтерского учета в прошлом отчетном периоде, сумма данной потери будет учтена в показателе «нарастающим итогом с начала года».

Косвенные потери и потенциальные потери следует относить к отчетному периоду на основании даты регистрации события операционного риска в базе событий в соответствии с абзацем четвертым пункта 6.6 Положения банка России № 716-П.

При расчете показателей, связанных с возмещениями по прямым потерям от реализации события операционного риска, возмещения учитываются следующим образом:

при расчете показателей за отчетный период учитываются возмещения, относящиеся к прямым потерям, которые были отражены на счетах бухгалтерского учета в отчетном периоде. Например, при составлении отчета за 1 квартал, если данные по потере от реализации события операционного риска были отражены на счетах бухгалтерского учета в 1 квартале, а возмещения по ним были отражены на счетах бухгалтерского учета только во 2 квартале, то при расчете показателей отчетности за 1 квартал данные возмещения не должны учитываться.

при расчете показателей нарастающим итогом с начала года учитываются возмещения, относящиеся к прямым потерям, которые были отражены на счетах бухгалтерского учета в году, к которому относится отчетный период.

Печать

С какой даты кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) вправе утвердить и ввести в действие внутренние документы кредитной организации, регламентирующие процесс управления операционным риском в соответствии с требованиями Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

от 27.01.2021 № 716-P-2021/27

В соответствии с пунктом 10.2 Положения № 716-П система управления операционным риском подлежит приведению в соответствие с требованиями Положения № 716-П кредитными организациями в срок до 1 января 2022 года, при этом если кредитная организация привела отдельные элементы своей системы управления операционным риском (например, ведение базы событий) в соответствие с требованиями Положения № 716-П ранее вышеуказанной даты, она вправе утвердить и ввести в действие внутренние документы, регламентирующие выполнение этих элементов системы управления операционным риском, ранее 1 января 2022 года и начать их применять ранее этой даты.

Печать

В случае если у кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) отсутствуют статистические данные о событиях операционного риска за период 10 лет или база событий содержит не все данные, необходимые для расчета сигнальных и контрольных значений контрольных показателей уровня операционного риска, указанных в приложении 1 к Положению Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), каким образом кредитной организации следует осуществлять расчет данных показателей?

от 27.01.2021 № 716-P-2021/26

В соответствии с пунктом 10.2 Положения № 716-П кредитные организации обязаны привести свои системы управления операционным риском в соответствие с требованиями Положения № 716-П в срок до 1 января 2022 года. Это означает, что кредитная организация может начать применять отдельные нормы Положения № 716-П ранее 2022 года для достижения своей готовности к началу полного выполнения всех норм Положения № 716-П с 1 января 2022 года.

Например, кредитная организация обязана начать расчет сигнальных и контрольных значений контрольных показателей уровня операционного риска с 1 января 2022 года. Кредитной организации следует рассчитывать сигнальные и контрольные значения контрольных показателей уровня операционного риска на основе накопленной статистики, которая соответствует требованиям Положения № 716-П, ежегодно прибавляя к статистике данные последующих лет до накопления периода наблюдения 10 лет. Обращаем внимание, что если кредитная организация воспользуется своим правом привести в соответствие с требованиями Положения № 716-П статистические данные по операционному риску за прошлые учетные периоды, в том числе начинать сбор необходимых данных для этого с более раннего периода (например, с 2021 года), тогда к 1 января 2022 года кредитная организация уже сможет иметь накопленную статистку как минимум за один год.

Печать

1. В соответствии с абзацем пятым пункта 1.4 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) одним из видов операционного риска является риск ошибок в управлении проектами, состоящий в недостатках и нарушениях организации процессов управления проектной деятельностью, направленных на изменение систем функционирования и поддержания работоспособности кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация). Просьба пояснить, что понимается под проектной деятельностью, а также системами функционирования и поддержания работоспособности.

2. Вправе ли кредитная организация считать, что ее деятельность не подвержена модельному риску в значении, определенном в абзаце восьмом пункта 1.4 Положения № 716-П, если она не планирует использовать методы оценки операционного риска, отличные от установленных Положением Банка России от 3 сентября 2018 года № 652-П «О порядке расчета размера операционного риска»?

3. Вправе ли кредитная организация считать, что ее деятельность не подвержена риску платежной системы в значении, определенном в абзаце одиннадцатом пункта 1.4 Положения № 716-П, если она не является оператором платежной системы или оператором услуг платежной инфраструктуры в соответствии со статьей 3 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе»?

от 27.01.2021 № 716-P-2021/25

По вопросу 1.

Положением № 716-П не устанавливается определение проектной деятельности в кредитной организации, в том числе проектов по развитию кредитной организации и (или) поддержания ее работоспособности. Кредитная организация в целях определения данных понятий вправе использовать текущие международные стандарты в области управления проектной деятельности. В зависимости от характера и масштаба деятельности кредитная организация самостоятельно определяет перечень систем функционирования и поддержания работоспособности кредитной организации в случае, если кредитная организация осуществляет проектную деятельность.

В случае если кредитная организация считает, что она не реализует собственных проектов (например, по своему развитию, совершенствованию систем функционирования), то она вправе не определять данный вид операционного риска как присущий в своей деятельности.

По вопросу 2.

Модельный риск возникает на всех разрабатываемых и применяемых банком количественных моделях, а не только используемых для целей оценки операционного риска. В случае если кредитная организация использует модели количественной оценки иных видов риска (например, кредитного риска), кредитная организация должна применять процедуры управления модельным риском, содержащие методы выявления и оценки риска ошибок процессов разработки, проверки, адаптации, приемки, применения методик количественных и качественных моделей оценки активов, рисков и иных показателей, используемых в принятии управленческих решений (модельный риск).

Дополнительные комментарии Банка России по вопросу определения специализированного подразделения, ответственного за управление модельным риском, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О видах операционного риска 2», вопрос 2.

По вопросу 3.

Кредитная организация подвержена операционному риску, связанному с работой в платежной системе, независимо от того, является ли она оператором платежной системы или оператором услуг платежной инфраструктуры, так как она может нести потери как участник платежной системы (например, в случае если в результате сбоя, компьютерной атаки, намеренных действий персонала при оформлении платежного рейса платежи, осуществляемые кредитной организацией через платежные системы, содержат ошибки, неверные реквизиты, задвоение платежа).

Печать

1. В случае если событие регуляторного риска повлекло прямые потери, связанные с реализацией операционного риска, вправе ли работник службы внутреннего контроля заводить информацию о событии регуляторного риска, связанного с операционным риском, в базу событий с соблюдением требований пункта 6.6 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

2. Распространяются ли требования к ведению базы событий, указанные в пункте 6.6 Положения № 716-П, на ведение баз событий отдельных видов операционного риска, указанных в пункте 1.4 Положения № 716-П, а также событий регуляторного риска и(или) событий других нефинансовых рисков, которые ведутся в кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) разделено?

3. В какие сроки с даты регистрации должно быть завершено заполнение информации, предусмотренной пунктом 6.6 Положения № 716-П, в отношении каждого события операционного риска?

4. Что означает фраза «порог регистрации в базе событий составляет не более 20 тысяч рублей», указанная в пункте 6.5 Положения № 716-П?

от 27.01.2021 № 716-P-2021/24

По вопросу 1.

В соответствии с пунктом 6.21 Положения № 716-П кредитная организация должна самостоятельно определить во внутренних документах перечень должностей работников кредитной организации, ответственных за предоставление информации о событиях операционного риска и ведение базы событий.

Таким образом, в функциональные обязанности работников специализированных подразделений кредитной организации (например, работников службы внутреннего контроля) может входить ввод в базу событий информации о событиях операционного риска или других нефинансовых рисков (например, регуляторного риска), повлекших прямые потери, связанные с реализаций операционного риска, по алгоритмизированным правилам, установленным кредитной организацией во внутренних документах, с соблюдением требований пункта 6.6 Положения № 716-П.

По вопросу 2.

В соответствии с пунктом 6.9 Положения № 716-П кредитная организация ведет учет потерь от реализации событий всех видов операционного риска и событий других нефинансовых рисков в составе общей базы событий либо раздельно, обеспечивая при этом единый подход к сбору и регистрации, а также классификации событий отдельных видов операционного риска и событий других нефинансовых рисков и оценке потерь от них в соответствии с главами 2 и 3 Положения № 716-П, исключающий дублирование и пропуски информации.

Кроме того, информация, регистрируемая по событиям отдельных видов операционного риска, регуляторного риска и (или) событий других нефинансовых рисков, включаемая ежемесячно в состав базы событий операционного риска в соответствии с требованиями пункта 6.9 Положения № 716-П, должна содержать всю необходимую информацию, предусмотренную пунктом 6.6 Положения № 716-П, а также порядок учета потерь от реализации вышеуказанных событий и возмещения по ним должен соответствовать требованиям пунктов 6.7–6.19 Положения № 716-П.

По вопросу 3.

Кредитная организация самостоятельно устанавливает срок завершения заполнения информации о событии операционного риска исходя из масштабов и характера своей деятельности в соответствии с внутренними документами кредитной организации, устанавливающими порядок ведения базы событий. В соответствии с абзацем тринадцатым подпункта 2.1.2 пункта 2.1 Положения № 716-П информации об идентифицированных событиях операционного риска должна быть предоставлена центрами компетенций в подразделение, ответственное за организацию управления операционным риском, не позднее пяти рабочих дней с момента идентификации события операционного риска, за исключением событий операционного риска, загружаемых в базу событий программно-аппаратными средствами.

По вопросу 4.

В соответствии с абзацем первым пункта 6.5 Положения № 716-П порог регистрации – это величина прямых и непрямых потерь от реализации события операционного риска, при достижении или превышении которой кредитная организация обязана регистрировать событие операционного риска в базе событий. Таким образом, фраза «порог регистрации в базе событий составляет не более 20 тысяч рублей», означает, что по данным событиям операционного риска кредитная организация вправе установить порог регистрации 20 тыс. руб. или менее данной величины и регистрировать в базе событий события операционного риска с величиной потерь, равной или превышающей установленный порог регистрации. Кредитная организация вправе установить порог регистрации менее 20 тыс. руб. (например, ноль) и регистрировать в базе событий все события операционного риска.

Дополнительные комментарии Банка России по вопросу определения порога регистрации, размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий 2», абзац первый ответа на вопрос 10.

Печать

Вправе ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) в целях соблюдения нормы, указанной в подпункте 4.1.6 пункта 4.1 Положения от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) установить во внутренних документах следующие способы мотивации работников кредитной организации в участии в управлении операционным риском:

уменьшение годового нефиксированного вознаграждения на определенный процент в случае выявления фактов непредъявления информации о событии операционного риска с прямыми потерями, превышающими 20 тыс. руб. в случае нарушения установленных контрольных показателей уровня операционного риска;

применение к работнику Банка мер дисциплинарного взыскания в случае выявления фактов непредоставления информации о событиях операционного риска с прямыми и непрямыми потерями, превышающими 1 млн руб.;

вынесение благодарности работникам центов компетенций Банка, активно участвующих в течение года в системе управления операционным риском.

от 20.01.2021 № 716-P-2021/23

Положение № 716-П не устанавливает способы мотивации работников кредитной организации, в том числе способы взысканий и поощрений работников кредитной организации, связанных с их участием в управлении операционным риском.

В соответствии с абзацем седьмым подпункта 4.1.6 пункта 4.1 Положения № 716-П кредитная организация самостоятельно определяет во внутренних документах способы мотивации работников кредитной организации в участии в управлении операционным риском, а также категории работников, на которые они распространяются, в соответствии с трудовым законодательством Российской Федерации.

В целях эффективного управления операционным риском рекомендуем разработать сбалансированную систему мотивации работников кредитной организации к качественному выполнению требований Положения № 716-П, а также к их эффективному участию в управлении операционным риском кредитной организации. Способы мотивации, представленные в качестве примера в вопросе, представляются несбалансированными, так как поощрение представлено нематериальной формой мотивации в виде благодарности, тогда как для случаев нарушений предусматриваются более жесткие формы мотивации в виде снижения денежного вознаграждения или дисциплинарных взысканий. Обращаем также внимание, что при определении негативных форм мотивации необходимо соблюдать права работников на справедливую оценку их труда и не допускать применения к ним мер дисциплинарного воздействия за нарушения требований Положения № 716-П, причиной которых могут быть не действия или бездействие работника, а низкое качество операционной среды, процессов и технологий кредитной организации, внутреннего взаимодействия, препятствующих, например, своевременному выявлению событий операционного риска и (или) информированию о них.

Печать

1. Просьба привести примеры прямых потерь от реализации события операционного риска в виде начисления амортизационных расходов по причине операционного риска.

2. Просьба пояснить определение потенциальных потерь от реализации события операционного риска, в том числе потерь (в том числе хищение) средств клиентов, контрагентов, работников и третьих лиц, которые не были компенсированы кредитной организацией (головной кредитной организации банковской группы) (далее – кредитная организация).

3. Как следует учитывать потери, которые понесли кредитные организации от пандемии COVID—19? Просьба привести примеры подобных расходов, которые следует регистрировать в базе событий?

4. Какие из нижеприведенных примеров можно учитывать в качестве прямых потерь от отрицательной переоценки стоимости торгового портфеля и (или) финансового инструмента в части, обусловленной нарушением правил совершения сделок и операций с инструментами торгового портфеля, правил совершения операций, определенных во внутренних документах кредитной организации:  

пример 1 — отрицательный финансовый результат по сделкам, заключенным с нарушением лимитов;

пример 2 — отрицательный финансовый результат при заключении разнонаправленных сделок с целью манипулирования финансовыми результатами;

пример 3 — отрицательный финансовый результат при исправлении ошибок бухгалтерского учета в результате некорректно введенного курса иностранной валюты при переоценке средств в иностранной валюте (ошибки со стороны системы или сотрудника);

пример 4 — отрицательный финансовый результат при исправлении ошибок бухгалтерского учета в результате некорректно введенной котировки при оценке справедливой стоимости ценных бумаг, ПФИ (ошибки со стороны системы или сотрудника);

пример 5 — отрицательный финансовый результат, полученный при исправлении некорректного расчета финансового результата от купли-продажи ценных бумаг, заключения сделок ПФИ и купли-продажи иностранной валюты (ошибки со стороны системы или сотрудника).

5. Просьба привести примеры прямых потерь от реализации операционного риска, связанных с поиском возможности возврата ошибочного платежа, в соответствии с абзацем четвертым подпункта 3.12.5 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П).

6. Допускается ли для учета потерь, относящихся к конфиденциальной информации (например, зарплаты работников или представителей кредитной организации) использование усредненных значений?

7. В соответствии с пунктами 6.17 и 6.18 Положения № 716-П при расчете чистых потерь от реализации событий операционного риска не учитываются возмещения, полученные от физических и юридических лиц, способных оказать влияние на деятельность кредитной организации. Просьба пояснить, могут ли возмещения, полученные от работников кредитной организации (например, кассиров) учитываться в целях расчета чистых потерь?

Просьба уточнить критерии для определения физических и юридических лиц, способных оказать влияние на деятельность кредитной организации?

8. Просьба уточнить порядок учета потерь в следующих полях базы событий в соответствии с пунктом 6.6 Положения № 716-П: агрегированная сумма валовых потерь, агрегированная сумма прямых потерь, агрегированная сумма косвенных потерь. Участвуют ли значения полей вышеуказанных потерь при расчете контрольных показателей уровня операционного риска и риска информационной безопасности?

9. Относятся ли расходы кредитной организации, связанные с выплатой денежных средств работнику кредитной организации при расторжении трудовых отношений, в случае если трудовые отношения расторгаются по причине события операционного риска, к потерям от реализации операционного риска и подлежат ли данные потери регистрации в базе событий?

10. В случае если по событию операционного риска, связанному с нарушением кредитной организацией законодательства РФ по причине операционного риска, к кредитной организации были предъявлены штрафные санкции в следующем отчетном году и в сумме, меньшей размера потенциальных потерь, определенных кредитной организацией при регистрации события в базе событий, каким образом кредитной организации следует скорректировать величину потерь в базе событий?

11. Является ли закрытым перечень источников получения возмещения по потерям от реализации события операционного риска, указанный в пункте 6.6 Положения № 716-П?

12. Следует ли кредитной организации при расчете валовых потерь от реализации событий операционного риска руководствоваться подпунктом 4.2.4 пункта 4.2 Положения № 716-П и приложением 1 к Положению № 716-П?

от 20.01.2021 № 716-P-2021/22

По вопросу 1.

Абзац десятый подпункта 3.12.1 пункта 3.12 Положения № 716-П распространяется на случаи доначисления амортизации на материальные активы до 100% (путем дебетования счета расходов) после реализации события операционного риска перед их списанием. Указанный абзац распространяется в том числе и на ускоренную амортизацию из-за реализации событий операционного риска, результатом которых стало утеря, хищение, утрата потребительских свойств материальных активов (дебет счета расходов – прямые потери). Поступившее затем страховое возмещение следует учитывать отдельно как возмещение, относящееся к данному событию операционного риска.

Покупка кредитной организацией нового оборудования взамен списанного, не осуществлённые непосредственно с дебетованием счета расходов, не относится к потерям, указанным в абзаце десятом подпункта 3.12.1 пункта 3.12 Положения № 716-П.

В зависимости от обстоятельств реализованного события операционного риска кредитной организации необходимо определить тип и источник операционного риска, так как причины утраты материальных активов могут носить как внешние, так и внутренние причины.

Предлагаем для целей выявления событий операционного риска анализировать в рамках процедур последующего контроля случаи внепланового (ускоренного) доначисления амортизации до 100% и списания с баланса материальных активов.

По вопросу 2.

Основное определение потенциальных потерь приведено в пункте 3.13 Положения № 716-П. В подпункте 3.13.3 пункта 3.13 Положения № 716-П приведено разделение этого вида потерь на 2 группы:

потери (в том числе хищение) средств клиентов, контрагентов, работников и третьих лиц, которые не были компенсированы кредитной организацией, с учетом положений абзаца восьмого пункта 6.5 Положения № 716-П, включая потери средств физических лиц, в том числе индивидуальных предпринимателей, юридических лиц, штрафы, наложенные на должностных лиц кредитной организации (далее – потери клиентов, некомпенсированные кредитной организацией);

другие потенциальные потери.

Потери клиентов, некомпенсированные кредитной организацией, следует относить к потенциальным потерям, так как при определенном стечении обстоятельств кредитная организация может быть обязана выплатить компенсацию, которая будет отнесена к прямым потерям (например, в случае если клиент обратится в суд и решение будет принято в его пользу).

Рекомендуем учитывать случаи, когда кредитная организация выплачивает компенсацию потери клиента, которую ранее отказывался компенсировать, то есть когда такие потенциальные потери становятся прямыми потерями, чтобы определить статистику подобных случаев.

По вопросу 3.

Кредитные организации должны осуществлять мероприятия по обеспечению непрерывности и восстановлению деятельности (далее – ОНиВД), разрабатывать планы ОНиВД в соответствии с Положением Банка России от 16 декабря 2003 года № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах», формировать бюджеты на непредвиденные расходы, связанные с реализацией ОНИВД, в том числе в результате эпидемий и пандемий, прочих чрезвычайных ситуаций. Поэтому расходы кредитной организации на обеспечение текущей деятельности, в том числе на поддержание непрерывности деятельности в условиях пандемии (например, COVID—19) не должны относиться к прямым потерям от реализации операционного риска. Таким образом закупка средств индивидуальной защиты (масок, перчаток, антисептиков) и прочие расходы для целей обеспечения непрерывности деятельности не относятся к прямым потерям от реализации операционного риска.

К прямым потерям от реализации операционного риска вследствие COVID 19 необходимо относить потери от событий операционного риска, вызванных недостатками организации работы в условиях пандемии (например, выплату штрафов за нарушение перчаточно-масочного режима в офисах банка по результатам проверки Роспотребнадзора, что является событием операционного риска).

По вопросу 4.

В части примера 1: отрицательный финансовый результат учитывается как прямые потери. Если произойдет положительная переоценка финансового результата по этим сделкам, которые ранее были зафиксированы как отрицательные с нарушением лимитов, то они должны учитываться в базе событий операционного риска как возмещение с даты отражения проводки в бухгалтерском учете.

В части примера 2: если соответствующими правилами бизнес-процесса предусмотрены стоп-лоссы, то потери в рамках реализации лимитов стоп-лосс являются потерями от рыночного риска и не относятся к операционному риску. Если же сделки были несанкционированными, совершенными с нарушением регламентов принятия (управления) рыночным риском (например, лимитов) или при неправильном отражении в учете, некорректном предоставлении документов, то фиксация отрицательного финансового результата по таким сделкам является событием операционного риска. Такие события следует выявлять в рамках процедур последующего контроля (например, проверок СВА порядка совершения операций с инструментами торгового портфеля).

В части примеров 3—5: отрицательный финансовый результат при исправлении ранее допущенной ошибки в учете, приведшей к положительному финансовому результату, следует классифицировать как потенциальные потери. Данные ошибки должны быть зафиксированы в базе событий операционного риска. В случае если ошибка не привела к прямым потерям, а результатом послужило отражение в бухгалтерском учете неправомерного дохода, ошибка не признается прямой потерей, и, соответственно, ее следует относить к потенциальной потере.

По вопросу 5.

Примерами потерь от ошибочных платежей, связанных с поиском возможности возврата ошибочного платежа, указанных в абзаце четвертом подпункта 3.12.5 Положения № 716-П, являются:

случаи, когда ошибочный платеж проведен через платежную систему, правилами которой предусмотрены комиссии за возврат;

случаи, когда возврат платежной системой не может быть осуществлен инструментами урегулирования претензий внутри платежной системы и возврат осуществляется следственными и(или) судебными процедурами с соответствующими расходами на эти процедуры.

По вопросу 6.

Считаем возможным для определения потерь, в которых должна фигурировать заработная плата сотрудников (например, осуществляющих действия по возврату мошеннического кредита или платежа), использовать усредненные или обезличенные значения, но не менее реальных значений заработной платы.

По вопросу 7.

Возмещения, полученные от работников кредитной организацией (например, от кассиров для покрытия недостачи), необходимо учитывать в качестве возмещения при условии, что данные возмещения не осуществляются за счет средств (например, кредитов), предоставленных кредитной организацией этому работнику для цели покрытия недостачи, или предоставленных связанным с кредитной организацией лицом, определённым в соответствии с критериями пункта 8.2 Инструкции Банка России от 29 ноября 2019 года № 199-И «Об обязательных нормативах и надбавках к нормативам достаточности капитала банков с универсальной лицензией» (далее – Инструкция № 199-И).

Критерии связности физических и юридических лиц с кредитной организацией определяются в соответствии с критериями пункта 8.2 Инструкции № 199-И.

По вопросу 8.

В поле базы событий «агрегированная сумма валовых потерь» указывается совокупная величина всех прямых потерь с учетом требований подпунктов 6.7.1 – 6.7.3 пункта 6.7 Положения № 716-П и всех косвенных потерь, определяемых в соответствии с пунктом 3.13 Положения № 716-П. Данная величина рассчитывается до учета возмещений потерь, реализованных вследствие события операционного риска.

В поле базы событий «агрегированная сумма прямых потерь» указывается совокупная величина всех прямых потерь, определяемых в соответствии с пунктом 3.12 Положения № 716-П, рассчитываемая до учета возмещений потерь, реализованных вследствие события операционного риска.

В поле базы событий «агрегированная сумма косвенных потерь» указывается совокупная величина всех косвенных потерь, определяемых в соответствии с пунктом 3.13 Положения № 716-П, рассчитываемая до учета возмещений потерь, реализованных вследствие события операционного риска.

В контрольных показателях уровня операционного риска, определяемых в соответствии с приложением 1 к Положению № 716-П, суммы потерь рассчитываются суммарно по всем событиям операционного риска за определенный период, в то время как в полях базы событий «агрегированная сумма валовых потерь», «агрегированная сумма прямых потерь», «агрегированная сумма косвенных потерь» указываются совокупные потери, реализованные в рамках одного события операционного риска.

По вопросу 9.

Расходы кредитной организации, связанные с выплатой денежных средств работнику кредитной организации при расторжении трудовых отношений в соответствии с трудовым законодательством (даже если трудовые отношения расторгаются по причине события операционного риска), являются затратами на персонал и относятся к текущей деятельности процессов управления персоналом кредитной организации. Указанные расходы не являются потерями от операционного риска и не подлежат регистрации в базе событий.

По вопросу 10.

В случае регистрации кредитной организацией события операционного риска, связанного с нарушением кредитной организацией законодательства Российской Федерации, размер штрафных санкций, которые могут быть наложены на кредитную организацию в связи с данным нарушением, следует рассматривать в качестве потенциальных потерь от данного события операционного риска, при этом сумма фактически уплаченных кредитной организацией штрафных санкций должна быть отражена в базе событий как прямая потеря от события операционного риска и относиться к тому отчетному периоду, в котором данная потеря была отражена на счетах бухгалтерского учета. При регистрации прямой потери от реализации операционного риска рекомендуем не корректировать ранее отраженную величину потенциальных потерь и указать в базе событий, например, в поле «обоснование величины потери», что данные прямая и потенциальная потери связаны между собой.

По вопросу 11.

Подтверждаем, что перечень источников получения возмещения по потерям от реализации события операционного риска, указанный в пункте 6.6 Положения № 716-П, не является закрытым и может быть дополнен кредитной организацией исходя их характера и масштаба своей деятельности.

По вопросу 12.

Подпункт 4.2.4 пункта 4.2 Положения № 716-П и приложение 1 к Положению № 716-П не устанавливают порядок расчета валовых потерь от реализации операционного риска для их отражения в базе событий. Подпункт 4.2.4 пункта 4.2 Положения № 716-П устанавливает требования к информации о событиях операционного риска, включаемых во внутренние отчеты по операционному риску, а приложение 1 к Положению № 716-П устанавливает требования к перечню контрольных показателей уровня операционного риска и риска информационной безопасности в целом по кредитной организации.

Печать

Для события операционного риска, связанного со сбоем в информационной системе, какое подразделение кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) будет являться подразделением, в котором произошло данное событие операционного риска (подразделение, ответственное за обеспечение функционирования информационных систем, или подразделение, использующее в своей деятельности информационную систему, в которой произошел сбой)?

от 20.01.2021 № 716-P-2021/21

В случае если сбой информационной системы произошел в процессе функционирования отдельного подразделения и (или) направления деятельности кредитной организации, данное событие операционного риска следует отнести к тому направлению деятельности, в котором оно произошло, в соответствии с классификацией, изложенной в пункте 3.9 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П). Например, если сбой произошел в информационной системе процесса кредитования физических лиц, данное событие операционного риска необходимо отнести к направлению деятельности «розничное банковское обслуживание» в соответствии с подпунктом 3.9.3 пункта 3.9 Положения № 716-П.

В случае если сбой информационной системы, произошедший в кредитной организации, затронул всю ее деятельность, данное событие операционного риска следует отнести к направлению деятельности «обеспечение деятельности кредитной организации» в соответствии с подпунктом 3.9.9 пункта 3.9 Положения № 716-П.

Рекомендуем организовать процесс сбора информации о событиях операционного риска таким образом, чтобы информация о событии операционного риска, связанном со сбоем информационных систем, предоставлялась в подразделение, ответственное за организацию управления операционным риском, как подразделением (подразделениями), чью деятельность затронул данный сбой, так и специализированным подразделением, ответственным за организацию управления риском информационных систем в соответствии с абзацем третьим пункта 1.4 Положения № 716-П (при наличии данного подразделения). При регистрации события операционного риска, связанного со сбоем информационных систем, в базе событий следует осуществить сверку информации, полученной из разных источников, с целью исключения дублирования и пропуска информации в соответствии с пунктом 6.10 Положения № 716-П.

Печать

1. Просьба уточнить порядок расчета показателя «Среднеквадратичное отклонение (сигма) величины прямых потерь» по группе событий операционного риска.

2. Следует ли включать в отчеты по операционному риску, указанные в подпункте 4.2.2 пункта 4.2 Положения от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), информацию о событиях операционного риска, зарегистрированных в базе событий с учетом порога регистрации?

от 20.01.2021 № 716-P-2021/20

По вопросу 1.

Показатель «Среднеквадратичное отклонение (сигма) величины прямых потерь» следует рассчитывать по каждой группе событий операционного риска в случае, если количество событий в группе превышает 100 случаев за год.

По вопросу 2.

В отчеты по операционному риску, указанные в подпункте 4.2.2 пункта 4.2 Положения № 716-П, следует включать информацию о событиях операционного риска, зарегистрированных в базе событий с учетом порога регистрации, определенного кредитной организацией в соответствии с пунктом 6.5 Положения № 716-П.

Печать

1. Каким образом следует рассчитывать величину потерь в виде обесценения стоимости кредита в результате начисления дополнительных резервов в случае увеличения кредитного риска из-за реализации события операционного риска?

2. Просьба привести примеры критериев определения событий операционного риска, связанных с кредитным риском в кредитных процессах.

3. Просьба уточнить порядок учета потерь по операционному риску, связанному с кредитным риском, для розничных кредитов, для которых проводки по резервам формируются портфельно. Корректно ли при отражении резерва по отдельному кредиту указывать сумму проводки, относящейся к конкретному кредиту?

от 20.01.2021 № 716-P-2021/19

По вопросу 1.

В соответствии с абзацем четвертым подпункта 3.12.1 пункта 3.12 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) в качестве прямых потерь необходимо учитывать обесценение стоимости основного долга. Недополученные проценты, пени и неустойки, как и недополученные доходы, следует относить к косвенным потерям, указанным в абзацах втором и третьем подпункта 3.13.1 пункта 3.13 Положения № 716-П, так как по своему экономическому содержанию они являются доходами кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация), не полученными из-за реализации события операционного риска.

Поэтому бухгалтерская проводка по формированию резервов на начисленные, но не полученные проценты не является прямой потерей. В целях Положения № 716-П понятие «обесценение стоимости кредита» относится к обесценению стоимости основного долга и в него не включаются резервы на недополученные доходы (проценты, пени).

По вопросу 2.

Событие операционного риска в кредитном процессе может быть реализовано на всех этапах процесса отбора заемщиков, подготовки, одобрения, выдачи, мониторинга и сопровождения кредитных требований (кредитного договора). В соответствии со сложившейся практикой кредитования кредитная организация может идентифицировать и описать типичные случаи реализации событий операционного риска, связанных с кредитным риском в кредитных процессах, например:

пример 1 — кредит признается мошенническим при получении заемщиком кредитных средств без намерения последующего возврата путем введения кредитной организации в заблуждение, при этом мошенническими кредиты могут быть как по причине действий заемщика, так и по причине недостатков внутренних процессов превентивного распознавания таких случаев, в том числе и по причине внутреннего мошенничества. Например, критериями внешнего мошенничества являются намеренное представление недостоверной отчетности для цели одобрения кредита, не надлежащего залога или информации о залоге. Примерами случаев внутреннего мошенничества являются сознательное изменение сотрудниками кредитной организации условий сделки, игнорирование очевидных стоп факторов, не доведение информации в кредитном заключении до органов управления кредитной организации, принимающих решение о выдаче ссуд. Рекомендуем осуществлять выявление критериев наличия внутреннего и внешнего мошенничества как на этапе предварительного контроля перед одобрением сделки, так и на этапе мониторинга или последующего контроля, например, силами внутреннего аудита или внутреннего контроля, анализируя причины отнесения ссуды к 4—5 категории качества, по фактам существенного доначисления резерва;

пример 2 — выдача ссуды, которая привела к существенному доначислению резерва (например, по фактам отнесения ссуды к 4—5 категории качества) в связи с нарушениями порядка выдачи кредита, нарушениями органами принятия решения о выдаче ссуд полномочий или процедур рассмотрения (например, при отсутствии кворума) либо плохого качества кредитного заключения (ошибки в заключении или игнорирование стоп-факторов, например, не проведение проверки в картотеках арбитражных судов сведений о наличии исков о признании потенциального заемщика банкротом или  большого объема требований со стороны кредиторов  заемщика). Критерий нарушения – если бы эти стоп-факторы были отражены в кредитном заключении, то одобрение ссуды при объективном рассмотрении лицами, принимающими решение, не произошло (например, сотрудники банка должны были выехать на место для проверки предмета залога, но не сделали этого, при этом оформили положительное заключение о предмете залога);

пример 3 — уполномоченный орган по одобрению кредита принимает решение о выдаче с нарушениями установленных стоп-факторов и критериев (например, не учитывает (не принимает во внимание) связанность заемщиков, не показывает перекредитование на группу заемщиков).

По вопросу 3.

Считаем возможным указывать в базе событий сумму проводки, относящейся к конкретному кредиту, на котором реализовалось событие операционного риска (например, данный кредит признан мошенническим), при этом в базе событий по такой потере может быть занесена ссылка на сводную проводку начисления резервов, в которую включен резерв по данной ссуде.

Печать

1. Можно ли считать владельцев процессов кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) центрами компетенции в значении, определенном в абзаце восьмом пункта 1.3 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

2. На какой периметр банковской группы распространяются требования Положения № 716-П: только кредитные организации банковской группы, финансовые организации банковской группы, иное?

от 20.01.2021 № 716-P-2021/18

По вопросу 1.

В соответствии с абзацем восьмым пункта 1.3 Положения № 716-П к центрам компетенции в рамках системы управления операционным риском относятся:

подразделения, ответственные за осуществление операций и сделок и за результаты процесса;

подразделения, обеспечивающие процессы кредитной организации.

Кредитная организация вправе признавать владельцев процессов центрами компетенций, в случае если понятие «владелец процесса», используемое во внутренних документах кредитной организации, не противоречит определению центров компетенций, указанному в абзаце восьмом пункта 1.3 Положения № 716-П.

По вопросу 2.

Положение № 716-П распространяет действие на кредитные организации в банковской группе, включая головную кредитную организацию банковской группы, которые поднадзорны Банку России.

В отношении иных участников банковской группы головная кредитная организация, поднадзорная Банку России, должна определить во внутренних документах по управлению операционным риском группы основные принципы и правила, которые соответствуют требованиям Положения № 716-П.

Печать

Планируется ли Банком России разработка и утверждение регуляторной отчетности по управлению операционным риском?

от 20.01.2021 № 716-P-2021/17

Регуляторная отчетность по операционному риску планируется издать в рамках внесения изменений в Указанием Банка России от 8 октября 2018 года № 4927-У «О перечне, формах и порядке составления и представления форм отчетности кредитных организаций в Центральный банк Российской Федерации» в виде форм отчетности по управлению операционным риском с вводом в действие с 01 апреля 2022 года и представлением первой отчетности с 01 июля 2022 года. Для заполнения форм отчетности по управлению операционным риском кредитным организациям необходимо будет использовать тот же состав информации, который они обрабатывают и используют для составления внутренних отчетов по операционному риску в соответствии с требованиями пункта 4.2 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе».

Печать

1. Требования к расчету объема капитала на покрытие потерь от реализации событий операционного риска, указанные в приложении 2 к Положению Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П), вступают в силу с 2022 года независимо от текущего подхода к расчету регуляторного капитала? Применимы ли данные подходы после перехода на новый стандартизированный подход к расчету регуляторного капитала?

2. Какие источники должна использовать кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) для получения информации о потерях других кредитных организаций для ведения базы по внешним событиям операционного риска для оценки объема капитала, выделяемого на покрытие потерь от реализации событий операционного риска?

от 20.01.2021 № 716-P-2021/16

По вопросу 1.

Приложение 2 к Положению № 716-П устанавливает подходы к расчету экономического капитала на покрытие операционного риска и не заменяет подхода к расчету регуляторного капитала (расчета размера операционного риска в целях определения нормативов достаточности капитала). Вышеуказанные подходы к расчету экономического капитала на покрытие операционного риска не отменяются в связи с внедрением нового стандартизированного подхода к расчету размера операционного риска в соответствии со стандартом «Basel III: Finalising post-crisis reforms (December 2017)».

После ввода в действие нового Положения Банка России от 07.12.2020 № 744-П «О порядке расчета размера операционного риска («Базель III») и осуществления Банком России надзора за его соблюдением) (далее – Положение № 744-П) в приложение 2 к Положению № 716-П будут внесены соответствующие уточнения и ссылки на Положение № 744-П.

По вопросу 2.

Положение № 716-П не устанавливает требований к сбору и использованию внешней информации о потерях от реализации операционного риска других кредитных организаций.

В целях соблюдения требований к управлению операционным риском в соответствии с Положением № 716-П кредитная организация исходя из характера и масштаба совершаемых операций, вправе самостоятельно определить необходимость использования внешней информации о потерях от реализации операционного риска других кредитных организаций (например, для целей качественной оценки уровня операционного риска методом сценарного анализа в соответствии абзацем четвертым подпункта 2.1.5 пункта 2.1 Положения № 716-П (дополнительные комментарии по данному вопросу размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О процедурах управления операционным риском», ответ на вопрос 3), состав и источники ее получения. Например, в качестве источников внешней информации о потерях от реализации операционного риска других кредитных организаций могут использоваться средства массовой информации, а также специализированные сервисы, предоставляющую подобную информацию.

Печать

Обязан ли банк с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., соблюдать требование по ведению реестра операционных рисков?

от 20.01.2021 № 716-P-2021/15

В соответствии с подпунктом 9.2.1 пункта 9.1 Положения от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) банк с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., не обязан соблюдать требование по ведению реестра операционных рисков, указанное в абзаце одиннадцатом подпункта 2.1.1 пункта 2.1 Положения № 716-П. Обращаем внимание, что соответствии с терминологией, используемой в рамках Положения № 716-П, реестр операционных рисков не является базой событий, а представляет собой систематизированное описание видов, источников, типов событий операционного риска с качественной оценкой вероятности их реализации и существенности возможных (потенциальных) потерь от них, в разрезе присущих им бизнес-процессов.

Печать

1. На основании каких данных базы событий следует рассчитывать показатель «общая сумма валовых прямых потерь», используемый при расчете контрольных показателей уровня операционного риска и риска информационной безопасности, указанных в приложении 1 к Положению от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П).

2. События операционного риска с каким статусом оценки потерь следует использовать при расчете контрольных показателей уровня операционного риска в соответствии с приложением 1 к Положению № 716-П, а также показателей, указанных в отчетах по операционному риску в соответствии с подпунктом 4.2.4 пункта 4.2 Положения № 716-П?

3. Вправе ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) осуществлять количественную оценку уровня операционного риска в соответствии с подпунктом 2.1.4 пункта 2.1 Положения № 716-П посредством мониторинга контрольных показателей уровня операционного риска, определяемых кредитной организацией в соответствии с пунктом 5.1 Положения 716-П.

от 20.01.2021 № 716-P-2021/14

По вопросу 1.

Показатель «общая сумма валовых прямых потерь» (общая сумма прямых потерь до учета возмещений), используемый при расчете контрольных показателей уровня операционного риска и риска информационной безопасности, указанных в приложении 1 к Положению № 716-П, рассчитывается с учетом требований подпунктов 6.7.1 – 6.7.3 пункта 6.7 Положения № 716-П путем суммирования данных поля базы событий «агрегированная сумма прямых потерь в рублях», указанного в абзаце тридцать пятом пункта 6.6 Положения № 716-П, по всем событиям операционного риска (риска информационной безопасности) за период, за который рассчитывается контрольный показатель уровня операционного риска.

По вопросу 2.

Кредитной организации следует учитывать при расчете контрольных показателей уровня операционного риска и риска информационной безопасности, разрабатываемых в соответствии с приложением 1 к Положению № 716-П, а также при расчете показателей, указанных в подпункте 4.2.4 пункта 4.2 Положения № 716-П, суммы потерь от реализации событий операционного риска, полученные (в случае прямых потерь – отраженные в бухгалтерском учете) в периоде, за который рассчитываются указанные показатели, как со статусом «оценка потерь от реализации события операционного риска завершена», так и со статусом «оценка потерь от реализации события операционного риска не завершена».

По вопросу 3.

Способы проведения кредитной организацией количественной оценки уровня операционного риска изложены в подпункте 2.1.4 пункта 2.1 Положения № 716-П. В соответствии с подпунктом 9.2.1 пункта 9.2 Положения № 716-П банк с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., обязан проводить агрегированную оценку уровня операционного риска в соответствии с требованиями абзаца второго подпункта 2.1.4 пункта 2.1 Положения № 716-П (далее – агрегированная оценка уровня операционного риска), а также оценку объема капитала, выделяемого в рамках внутренних процедур оценки достаточности капитала, на покрытие потерь от реализации событий операционного риска в соответствии с требованиями абзаца третьего подпункта 2.1.4 пункта 2.1 Положения № 716-П и приложения 2 к Положению № 716-П.

Обращаем внимание, что контроль за уровнем операционного риска на основании контрольных показателей уровня операционного риска в соответствии с главой 5 Положения № 716-П является отдельным независимым процессом от процедуры количественной оценки уровня операционного риска. Агрегированная оценка уровня операционного риска осуществляется на основании индивидуальной методики, разработанной кредитной организацией исходя из характера и масштаба ее деятельности, с учетом требований абзаца второго подпункта 2.1.4 пункта 2.1 Положения № 716-П. Целью агрегированной оценки уровня операционного риска является сопоставление показателей уровня операционного риска, определенных кредитной организацией во внутренних документах, с пороговым значением приемлемого для кредитной организации уровня операционного риска, при этом агрегированная оценка уровня операционного иска может быть как фактической, так и прогнозной, с учетом возможности реализации части потенциальных потерь в виде прямых потерь.

Печать

1. Является ли закрытым перечень видов операционного риска, изложенный в пункте 1.4 Положения Банка России от 8 апреля 2020 года № 716 П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П)?

2. Какие подразделения кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) наиболее полно отвечают критериям специализированного подразделения по управлению модельным риском в соответствии с абзацем восьмым пункта 1.4 Положения № 716-П?

3. В случае если кредитной организацией принято решение не продолжать трудовые отношения с работником по итогам прохождения испытательного срока, является ли данный факт основанием для занесения в базу событий операционного риска по виду операционного риска в соответствии с пунктом 1.4 Положения 716-П – риск ошибок процесса управления персоналом?

4. Относятся ли действия заемщиков кредитной организации, связанные с получением ими кредитных средств без намерения последующего возврата путем введения кредитной организации в заблуждение, к событиям операционного риска, которые подлежат регистрации в базе событий? К какому виду операционного риска согласно пункту 1.4 Положения № 716-П относятся данные события?

5. К какому из видов операционного риска, указанных в пункте 1.4 Положения № 716-П, относится событие операционного риска, связанное с ошибками работников кредитной организации, которые привели или могут привести негативным последствиям для кредитной организации?  

от 20.01.2021 № 716-P-2021/13

По вопросу 1.

Пункт 1.4 Положения № 716-П не устанавливает классификацию видов операционного риска, процедуры управления по которым в кредитной организации выполняются специализированными подразделениями при участии подразделения, ответственного за организацию управления операционным риском, а использует данный перечень для целей унификации управления операционным риском.

Перечень видов операционного риска не является закрытым и будет дополняться Банком России по мере накопления примеров из банковской практики по выделению в организационных структурах кредитных организаций специализированных подразделений, обособленно от служб управления рисками (далее – СУР), управляющих отдельными видами операционного риска, в том числе ведущих обособленный учет событий операционного риска.

Кредитная организация вправе в дополнение к видам операционного риска, указанным в пункте 1.4 Положения № 716-П, определить в рамках системы управления операционным риском иные виды операционного риска, в случае если они управляются в кредитной организации специализированным подразделением.

Также кредитная организация вправе не передавать управление отдельными видами операционного риска, перечисленными в пункте 1.4 Положения № 716-П, специализированным подразделениям (в том числе не создавать их специально для цели «соблюдения» требований Положения № 716-П), и может оставлять их под управлением СУР.

По вопросу 2.

Кредитная организация самостоятельно определяет подразделение или несколько подразделений, ответственное (ответственных) за управление модельным риском в зависимости от характера и масштабов деятельности.

Рекомендуем обеспечить при управлении модельным риском функционирование подразделений, ответственных за независимую валидацию моделей, регулярную проверку, оценку и непрерывный мониторинг модельного риска, а также предоставление независимого анализа и утверждения показателей эффективности модели, включая подразделения валидации, подразделения, ответственного за организацию управления операционным риском и прочие виды рисков. Уполномоченное подразделение кредитной организации (например, внутренний аудит) должно обеспечивать оценку эффективности управления модельным риском, а также оценку соответствия владельцев и пользователей моделей политикам и процедурам, установленным во внутренних документах кредитной организации.

Дополнительные комментарии по данному вопросу размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О видах операционного риска 2», последний абзац ответа на вопрос 1.

По вопросу 3.

Расторжение трудовых отношений с работником кредитной организации по итогам прохождения испытательного срока относится к текущей деятельности процессов управления персоналом кредитной организации и не является событием операционного риска, и, следовательно, не подлежит регистрации в базе событий. В случае если расторжение трудовых отношений с работником кредитной организации по итогам прохождения испытательного срока произошло по причине совершенных им нарушений или ошибок, которые привели к реализации события операционного риска, данный факт расторжения трудовых отношений является следствием реализации события операционного риска и его следует отметить в базе событий в качестве меры, направленной на уменьшение негативного влияния операционного риска, в соответствии с абзацем двадцать пятым пункта 6.6 Положения № 716-П.

По вопросу 4.

Действия заемщиков кредитной организации, связанные с получением ими кредитных средств без намерения последующего возврата путем введения кредитной организации в заблуждение (например, при предоставлении недостоверной отчетности для цели одобрения кредита или заведомо некорректной информации о залоге), относятся к событиям операционного риска и подлежат регистрации в базе событий.

Пункт 1.4 Положения № 716-П устанавливает перечень видов операционного риска, процедуры управления по которым в кредитной организации могут выполняться специализированными подразделениями, не входящими в структуру службы управления рисками. Рекомендуем использовать вышеуказанный перечень для целей унификации управления операционным риском в рамках единой системы управления операционным риском кредитной организации. Перечень видов операционного риска не является закрытым и будет дополняться Банком России по мере накопления примеров из банковской практики по выделению в организационных структурах кредитных организаций специализированных подразделений, управляющих отдельными видами операционного риска обособленно от службы управления рисками, в том числе ведущих раздельный учет событий операционного риска. Кредитная организация вправе в дополнение к видам операционного риска, указанным в пункте 1.4 Положения № 716-П, определить в рамках системы управления операционным риском иные виды операционного риска, в случае если они управляются в кредитной организации специализированным подразделением. В соответствии с абзацем семнадцатым пункта 6.6 Положения № 716-П в случае если кредитная организация затрудняется классифицировать отдельное событие операционного риска к одному из видов операционного риска, указанному в пункте 1.4 Положения № 716-П, то кредитная организация может не заполнять соответствующее поле для этого события в базе событий операционного риска.

Относительно приведенного в вопросе примера события операционного риска, связанного с мошенническими действиями третьих лиц с целью получения кредита без намерения его возврата, отмечаем, что данное событие не является отдельным видом операционного риска и его следует классифицировать по типу события операционного риска «преднамеренные действия третьих лиц», определяемому в соответствии с подпунктом 3.6.2 пункта 3.6 Положения № 716 П, а поле базы событий, указанное в абзаце семнадцатом пункта 6.6 Положения № 716-П, не заполнять.

Обращаем внимание, что подпункт 6.7.3 пункта 6.7 Положения № 716-П регламентирует порядок расчета валовых потерь от событий операционного риска и не отменяет требование о регистрации в базе событий информации о событии операционного риска, относящегося к типу события операционного риска «преднамеренные действия третьих лиц», определяемому в соответствии с подпунктом 3.6.2 пункта 3.6 Положения № 716-П, для которого в соответствии с абзацем третьим пункта 6.5 Положения № 716-П порог регистрации в базе событий не устанавливается.

Сумма доначисленных резервов на возможные потери по ссудам, ссудной и приравненной к ней задолженности по причине реализации операционного риска должна учитываться в качестве прямых потерь по данным событиям операционного риска, безотносительно того, реализовались ли данные события с участием работников кредитной организации или без него.

По вопросу 5.

Ошибки работников кредитной организации могут возникнуть в любом процессе деятельности кредитной организации и могут как относиться, так и не относиться к одному из видов операционного риска, указанных в пункте 1.4 Положения № 716-П. Каждое событие операционного риска, связанное с ошибками работников кредитной организации, следует рассматривать индивидуально и классифицировать в соответствии с главой 3 Положения № 716-П.

Обращаем внимание, что Положение № 716-П не содержит требования о том, чтобы событие операционного риска обязательно должно быть отнесено к одному из видов операционного риска, указанных в пункте 1.4 Положения № 716-П (дополнительные комментарии Банка России по данному вопросу размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О видах операционного риска 2», абзац второй ответа на вопрос 4.

Печать

1. Допускается ли регистрация в базе событий часто встречающихся событий операционного риска (например, недостач в кассе) агрегировано в рамках однородных групп событий (например, по одному материально ответственному лицу)?

2. Просьба привести примеры критериев изменения статуса события операционного риска «оценка потерь от реализации события операционного риска не завершена». В случае невозможности определения суммы потерь по событию операционного риска на момент регистрации в базе событий, какой статус оценки потерь необходимо указать в базе событий?

3. Допускается ли при отражении в базе событий информации о бухгалтерской записи по потере от реализации события операционного риска агрегирование проводок (например, возможно ли не отражать все проводки по резервам по валютным кредитам за каждый день, а брать только дельту изменений)?

4. Просьба уточнить порядок корректировки значений потерь и возмещения в базе событий в соответствии с пунктом 6.19 Положения от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П) в зависимости от периода учета данных потерь и возмещения.

5. Просьба уточнить особенности отражения в базе событий информации о величине потерь от реализации события операционного риска в соответствии с абзацем двадцать девятым пункта 6.6 Положения № 716-П, а также особенности учета показателей, в расчете которых участвуют значения «суммы прямых потерь» и «суммы косвенных потерь», включаемых в отчеты по операционному риску в соответствии с подпунктом 4.2.4 пункта 4.2 Положения № 716-П.

6. В случае корректировки в базе событий величины прямых потерь, связанных с перерасчетом величины прямых потерь от реализации события операционного риска прошлого периода, в соответствии с абзацем третьим подпункта 6.7.1 пункта 6.7 Положения № 716-П, требуется ли регистрация в базе событий нового события операционного риска для отражения вышеуказанной корректировки?

7. Какую информацию о бухгалтерской записи суммы потери и(или) возмещения следует отражать в базе событий в соответствии с абзацами тридцать первым и сорок четвертым пункта 6.6 Положения № 716-П?

8. В случае если потери от реализации операционного риска или возмещения по ним отражены на счетах бухгалтерского учета в разные отчетные периоды, следует ли кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) регистрировать в базе событий данные потери и (или) возмещения в рамках одного события операционного риска или создавать отдельную карточку события операционного риска?

9. Следует ли банку с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., регистрировать в базе событий выявленные факты нарушения кредитной организацией законодательства РФ по причине операционного риска, которые могут привести к потенциальным потерям для кредитной организации (например, штрафам)?

10. Обязана ли кредитная организация регистрировать в базе событий события операционного риска с величиной потерь менее порога регистрации, установленного в соответствии с пунктом 6.5 Положения № 716-П (например, жалоба клиента Банка о недоступности мобильного приложения, при возможности использования других каналов получения информации и не приводящих к негативным последствиям для клиента, сбои в информационных системах, устраненные в течение короткого промежутка времени и не приводящие к негативным последствиям для Банка)?

11. Является ли факт потери кредитной организацией кредитного досье заемщика событием операционного риска, которое подлежит регистрации в базе событий? Как рассчитать потери по данному событию?

12. Просьба уточнить следующие вопросы относительно регистрации в базе событий события операционного риска, связанного с предъявлением к кредитной организации судебного иска некредитного характера:  

на какую дату регистрировать событие (дата подачи иска, на дату получения решения суда по иску, на дату оплаты исполнительных документов);

каким образом следует производить учет потерь по данному событию?

13.   Каковы критерии определения даты окончания события операционного риска? Может ли дата окончания события операционного риска устанавливаться в следующих случаях:

по истечении срока исковой давности по взысканию потенциального штрафа, определенного при регистрации события операционного риска в базе событий;

по истечении срока исковой давности по факту подачи искового заявления третьим лицом в суд о привлечении кредитной организации к ответственности;

по факту фактической оплаты штрафных санкций или отсутствия решений надзорных органов о их применении после проведения встречных мероприятий в течение 6 месяцев – 1 года;

погашение ссудной задолженности и восстановление доначисленных резервов на возможные потери по ссудам;

по факту выполнения мероприятий по уменьшению последствий реализации событий операционного риска?

14. К какому виду потенциальных потерь следует относить потенциальные потери кредитной организации, связанные с возможными штрафными санкциями, которые могут быть применены к кредитной организации в результате реализованного события операционного риска?  

15. Является ли факт наличия исправительной записи по счетам бухгалтерского учета событием операционного риска, в том числе при фактическом отсутствии потерь со стороны кредитной организации/клиента (например, в результате сбоя в информационной системе кредитной организации были излишне начислены пени/проценты и списаны со счета клиента Банка, при обнаружении инцидента были произведены исправительные проводки)?

16. Следует ли считать событие операционного риска, связанное с нарушением законодательства РФ по причине операционного риска (например, несвоевременную отправку отчетности в государственные органы из-за сбоя в информационной системе или ошибки работка кредитной организации) событием операционного риска, которое связано с регуляторным риском, и подлежит ли данное событие отражению в отчетах по управлению операционным риском и в отчетах по управлению регуляторным риском?

17. Каким образом следует отразить в базе событий корректировку величины потерь или возмещений в случае проведения исправительных бухгалтерских записей (красное сторно)?

18. Следует ли регистрировать в базе событий инциденты, связанные с реализацией угрозы информационной безопасности из-за действий клиента или контрагента кредитной организации или действий третьих лиц в результате компрометации им или третьими лицами данных?

19. Факты недостачи, которые были выявлены и урегулированы в течение 48 часов, следует считать событиями операционного риска, которые подлежат регистрации в базе событий, или индикаторами эффективности контрольных процедур? Следует ли относить данные события к потенциальным потерям от реализации операционного риска?

от 20.01.2021 № 716-P-2021/12

По вопросу 1.

Кредитная организация вправе группировать отдельные мелкие события операционного риска в группу событий в соответствии с пунктом 6.12 Положения № 716-П по однородным признакам (например, по месту реализации, по одному и тому же работнику на одной и той же операции/процессе), определив четкие критерии во внутренних документах.

Для приведенного примера кредитная организация вправе определить во внутренних документах правила выявления недостач в разрезе материально ответственных лиц и регистрировать такие события операционного риска по мере превышения накопленным итогом порога регистрации, установленного в соответствии с пунктом 6.5 Положения № 716-П, а также вправе определять порог регистрации по таким событиям меньше порога, установленного в соответствии с пунктом 6.5 Положения № 716-П.

По вопросу 2.

Обращаем внимание, что Положение № 716-П не устанавливает статусы события операционного риска, кроме статусов «оценка потерь от реализации события операционного риска завершена» и «оценка потерь от реализации события операционного риска не завершена». Кредитная организация вправе самостоятельно определить дополнительные виды статусов события операционного риска.

Любые проводки в бухгалтерском учете по списанию актива осушевляются в соответствии с учетной политикой кредитной организации в корреспонденции с дебетованием либо пассивного счета ранее сформированных резервов (сформированных в корреспонденции со счетами расходов), либо напрямую с активными счетами расходов/убытков. В соответствии с пунктом 3.12 Положения № 716-П в качестве прямых потерь необходимо отражать суммы проводок непосредственно по дебету счета расходов/убытков, которые осуществлены в связи с событием операционного риска.

Статус «оценка потерь от реализации события операционного риска завершена» присваивается событию операционного риска в том случае, когда кредитная организация признает, что новых потерь (как прямых, так и косвенных) не возникнет и что не ожидается получение возмещений по этому событию операционного риска. В случае невозможности определения суммы потерь по событию операционного риска на момент регистрации события операционного риска в базе событий должен указываться статус «оценка потерь от реализации события операционного риска не завершена».

Например, в случае если событие операционного риска связано с реализацией кредитного риска, то статус «оценка потерь от реализации события операционного риска завершена» необходимо указывать в базе событий после восстановления резервов, когда ссуда либо полностью погашена, либо списана с бухгалтерского баланса, учитывая, что наличие ссуды на бухгалтерском балансе даже при наличии 100% сформированного резерва может приводить к дополнительным убыткам, связанным с дальнейшими затратами на ее взыскание, реализацию залога, юридическими расходами, которые также следует относить к прямым потерям от события операционного риска в отношении данной ссуды в соответствии с абзацем восьмым подпункта 3.12.1 пункта 3.12 Положения № 716-П).

По вопросу 3.

Допускается накопление (агрегирование) проводок по изменению резервов в связи с курсовыми изменениями валютного кредита, на котором реализовалось событие операционного риска (например, признание кредита мошенническим) на внутримесячные даты с отражением агрегированных (накопленных) изменений резерва на месячную отчетную дату.

По вопросу 4.

Информация о суммах потерь и возмещений обновляется в базе событий по мере ее поступления, вне зависимости от периода учета, при условии обеспечения сохранности предыдущих значений в соответствии с требованиями пункта 6.19 Положения № 716-П.

По вопросу 5.

В поле базы событий «величина потери от реализации события операционного риска в рублях» в соответствии с абзацем двадцать девятым пункта 6.6 Положения № 716-П указывается величина каждой потери, реализованной в рамках одного события операционного риска, в зависимости от ее вида, определяемого пунктом 3.11 Положения № 716-П. В случае если в рамках одного события операционного риска было реализовано несколько потерь одного вида, то в данном поле должно быть отражено соответствующее количество строк, в которых отдельно отражается информация по каждой потере данного вида. В то же время при расчете показателей в рамках отчетов по управлению операционным риском, указанных в подпункте 4.2.4 пункта 4.2 Положения № 716-П, учитываются суммы потерь от событий операционного риска, отраженных в бухгалтерском учете (для прямых потерь) и в базе событий (для косвенных потерь) с начала года до отчетной даты и в отчетном периоде, за который рассчитываются данные показатели.

По вопросу 6.

В соответствии с абзацем третьим подпункта 6.7.1 пункта 6.7 Положения № 716-П кредитной организации следует указывать за текущий календарный год корректировку стоимости прямых потерь, связанных с перерасчетом величины прямых потерь от реализации события операционного риска прошлого периода, в случае, если эта корректировка прошла в бухгалтерском учете в текущем календарном году. Таким образом, в данном случае для цели отражения в базе событий указанной корректировки регистрировать новое событие операционного риска в базе событий не требуется.

По вопросу 7.

В рамках Положения № 716-П под «информацией о бухгалтерской записи (записях) суммы прямой потери (суммы косвенной потери при возможности ее определения) и суммы возмещения» понимается уникальный номер бухгалтерской записи, присваиваемый автоматизированной учетной системой кредитной организации (например, номер бухгалтерской проводки), либо иной уникальный номер, который позволит идентифицировать прямую (или косвенную) потерю и(или) возмещение и связать их с событием операционного риска в базе событий.

По вопросу 8.

В случае если потери от реализации операционного риска или возмещения по ним отражены на счетах бухгалтерского учета в разные отчетные периоды, кредитной организации следует регистрировать в базе событий данные потери и (или) возмещения в рамках одного события операционного риска, не создавая отдельную карточку события.

По вопросу 9.

В соответствии с подпунктом 9.2.1 пункта 9.2 Положения № 716-П банк с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., не обязан регистрировать в базе событий потенциальные потери от событий операционного риска, за исключением потенциальных потерь, указанных в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716-П. Кредитная организация вправе самостоятельно определить необходимость регистрации событий операционного риска с потенциальными потерями исходя из характера и масштаба своей деятельности, уровня операционного риска (например, частоты данных событий), качества процессов и технологий, объема трудоемкости и иных затрат на их регистрацию, в том числе уровня автоматизации процесса выявления и регистрации указанных событий в базе событий. В целях накопления соответствующих данных для анализа вероятности перехода потенциальных потерь в прямые потери рекомендуем кредитной организации регистрировать события операционного риска с потенциальными потерями в базе событий в случае их выявления в рамках текущей деятельности (например, в ходе мероприятий внутреннего контроля или аудиторских проверок).

По вопросу 10.

В соответствии с пунктом 6.5 Положения № 716-П кредитная организация должна установить во внутренних документах порог регистрации событий операционного риска в базе событий не более 20 тыс. руб., за исключением событий операционного риска, указанных в абзацах третьем и четвертом пункта 6.5 Положения № 716-П, а также потерь, указанных в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716-П, для которых порог регистрации не устанавливается. Кредитная организация вправе установить порог регистрации менее 20 тыс. руб., а также самостоятельно определить необходимость регистрации событий операционного риска с прямыми и непрямыми потерями ниже порога регистрации исходя из характера и масштаба своей деятельности, уровня операционного риска, качества процессов и технологий.

Относительно примера, приведенного в вопросе, сообщаем, что Положение № 716-П не регулирует процесс регистрации жалоб и обращений как клиентов, так и сотрудников кредитной организации, в том числе поступающих в связи с произошедшими сбоями в информационных системах. Кредитная организация вправе самостоятельно определить во внутренних документах процесс регистрации и рассмотрения жалоб и обращений клиентов как с целью обработки и решения возникших у клиентов проблем, так и с целью последующего выявления событий операционного риска и проведения мониторинга операционного риска. Жалобы и обращения клиентов, связанные со сбоями информационных систем, относятся к риску информационных систем, определяемому в соответствии с абзацем третьим пункта 1.4 Положения № 716-П.

Обращаем внимание, что в соответствии с пунктами 6.9 – 6.10 Положения № 716-П в случае если в кредитной организации ведется отдельная база событий по данному виду операционного риска, кредитной организации следует включать события риска информационных систем, повлекшим прямые потери, в состав базы событий операционного риска с учетом исключения пропусков и дублирования потерь, связанных с раздельным ведением баз событий с учетом порога регистрации, установленного пунктом 6.5 Положения № 716-П.

По вопросу 11.

Утеря кредитной организацией кредитного досье является событием операционного риска, которое следует регистрировать в базе событий с учетом порога регистрации, определяемого в соответствии с пунктом 6.5 Положения № 716-П, при этом суммой прямой потери будет являться сумма доначисленного резерва по возможным потерям по ссуде до 100% в соответствии с требованиями Положения Банка России от 28.06.2017 № 590-П «О порядке формирования кредитными организациями резервов на возможные потери по ссудам, ссудной и приравненной к ней задолженности», а восстановление данного резерва при погашении ссуды следует рассматривать как возмещение по данной потере от реализации события операционного риска с отражением этого возмещения в базе событий. Таким образом, после погашения ссуды и восстановления резерва чистые потери с учетом возмещения от данного события операционного риска могут равняться нулю, но сама запись о данном событии операционного риска должна присутствовать в базе событий.

По вопросу 12.

Предъявление к кредитной организации судебного иска является событием правового риска, который является видом операционного риска в соответствии с абзацем четвертым пункта 1.4 Положения № 716-П. Рекомендуем регистрировать в базе событий факт предъявления к кредитной организации судебного иска на дату подачи данного иска, при этом размер искового требования к кредитной организации рассматривать в качестве потенциальных потерь до даты формирования резервов по обязательствам некредитного характера по данному исковому требованию (в случае их формирования). Вышеуказанные резервы следует относить к прямым потерям от реализации операционного риска в соответствии с абзацем пятым подпункта 3.12.6 пункта 3.12 Положения № 716-П. В случае если судом по исковому требованию будет принято решение в пользу кредитной организации, восстановление резерва по данному иску следует рассматривать как возмещение по прямой потере от реализации события операционного риска.

В случае когда по исковому требованию резерв по обязательствам некредитного характера не был сформирован (например, в случае отказа судом первой инстанции в удовлетворении иска или его возврата истцу до рассмотрения по существу), данное событие не следует удалять из базы событий, оставив его как событие операционного риска с потенциальной потерей.

По вопросу 13.

Положение № 716-П не содержит критериев для определения даты окончания события операционного риска, так как данные критерии индивидуальны для каждого конкретного события операционного риска. Обращаем внимание, что в соответствии с абзацем девятым пункта 6.6 Положения № 716-П дату окончания события следует указывать в базе событий в случае, если наличие такой информации определяется характером события операционного риска. Таким образом, дату окончания события следует указывать в базе событий для событий операционного риска, имеющих продолжительный по времени характер (например, простой офиса кредитной организации в результате сбоя), при этом по единовременным событиям операционного риска дата окончания события операционного риска должна совпадать с датой реализации и может не совпадать с датой окончания завершения оценки потерь от события операционного риска. Статус оценки потерь в результате события операционного риска указывается в отдельном поле базы событий в соответствии с абзацем десятым пункта 6.6 Положения № 716-П. В целом полагаем, что оценку потерь события операционного риска следует считать завершенной, когда были реализованы последние потери и (или) возмещение потерь по данному событию операционного риска и прекращено негативное влияние данного события операционного риска на деятельность кредитной организации.

Каждый из примеров, приведенных в вопросе, может быть критерием окончания периода оценки потерь от события в зависимости от его характера и особенностей при условии отсутствия иных потерь или возмещения по данному событию операционного риска.

По вопросу 14.

Потенциальные потери, связанные с возможными штрафными санкциями, которые могут быть применены к кредитной организации в результате реализованного события операционного риска, следует относить к «другим потенциальным потерям», определяемым в соответствии с абзацем третьим подпункта 3.13.3 пункта 3.13 Положения № 716-П.

По вопросу 15.

Примеры, приведенные в вопросе, относятся к событиям операционного риска с потенциальными потерями. В соответствии с подпунктом 9.2.1 пункта 9.2 Положения № 716-П банк с универсальной лицензией, размер активов которого составляет менее 500 млрд руб., не обязан регистрировать в базе событий потенциальные потери от событий операционного риска, за исключением потенциальных потерь, указанных в абзаце втором подпункта 3.13.3 пункта 3.13 Положения № 716-П (дополнительные комментарии Банка России по вопросу регистрации события операционного риска в базе событий размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О ведении базы событий 2», вопрос 9.

По вопросу 16.

События операционного риска, связанные нарушением кредитной организацией законодательства РФ по причине операционного риска, следует регистрировать в базе событий как события операционного риска, связанные с регуляторным риском. Кредитной организации следует отражать данные события как в отчетах по управлению операционным риском, так и в отчетах по управлению регуляторным риском.

По вопросу 17.

В соответствии с пунктом 6.19 Положения № 716-П при корректировке значения потерь и возмещений в базе событий предыдущее значение потерь кредитной организацией не исправляется, а добавляется новая информация с новым значением. В случае внесения корректировки значений потерь и возмещений в результате внесения исправительных бухгалтерских записей (красное сторно), необходимо обеспечить данную корректировку путем добавления суммы исправительной бухгалтерской записи со знаком минус.

По вопросу 18.

Инциденты, связанные с реализацией угрозы информационной безопасности из-за действий клиента или контрагента кредитной организации или действий третьих лиц в результате компрометации им или третьими лицами данных, в том числе осуществленные переводы или попытки переводов денежных средств со счетов клиентов или контрагентов, относятся к риску информационной безопасности и должны регистрироваться в базе событий.

Дополнительные комментарии по данному вопросу размещены на официальном сайте Банка России в следующем разделе: «Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора», «№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», «О видах риска информационной безопасности», вопрос 1.

По вопросу 19.

В случае если сумма недостачи была отражена на счетах бухгалтерского учета, она признается прямой потерей, которую необходимо регистрировать в базе событий операционного риска. Поступившие затем деньги в целях компенсации (закрытия) данной недостачи следует отражать в базе событий как возмещение по данному событию операционного риска.

В случае если недостача была предотвращена до отражения проводки на счетах бухгалтерского учета средствами внутреннего контроля, сумма недостачи относится к потенциальным потерям.

Кредитная организация вправе для целей управления операционным риском разработать отдельный подвид ключевых индикаторов операционного риска по событиям операционного риска, которые были предотвращены до закрытия операционного дня для оценки эффективности последующего контроля и мер, направленных на уменьшение негативного влияния операционного риска.

Печать

1. Являются ли случаи хищения денежных средств у клиентов кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) без использования программных и(или) программно-аппаратных средств, направленных на объекты информационной инфраструктуры кредитной организации (например, социальная инженерия, фишинг, хищения, связанные с заменой SIM-карт, хищения в случае несанкционированного физического доступа третьих лиц к банковской карте или мобильному устройству клиента) риском информационной безопасности, а также к какой категории источников риска они относятся в соответствии с пунктом 2 приложения 5 к Положению Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П)?

Кроме того, какие риски следует относить к другим видам риска, указанным в абзаце втором пункта 7.2 Положения Банка России № 716-П?

2. Соответствует ли определение «компьютерная атака», используемое в Положении Банка России № 716-П, определению термина «компьютерная атака», используемому в следующий стандартах: Р 50.1.053—2005, Р 51275—2006, Р 50.1.056—2005?

3. Согласно пункту 4.1 приложения 5 к Положению Банка России № 716-П к прямым потерям от реализации событий риска информационной безопасности, в том числе киберриска, относятся выплаты компенсаций клиентам и контрагентам в результате осуществления переводов денежных средств без согласия клиента. Просим пояснить, относятся ли данные компенсации клиентам и контрагентам, выполняемые кредитной организацией на добровольной основе, к прямым потерям от реализации событий риска информационной безопасности, в том числе киберриска?

4. Какие события риска информационной безопасности, в том числе киберриска, могут привести к качественным потерям, указанным в пункте 4.3 приложения 5 к Положению Банка России № 716-П, в частности к «возникновению уязвимостей в объектах информационной инфраструктуры, программном обеспечении и приложениях, банковских процессах», а также какие потери могут быть отнесены к виду «другие потери качества объектов информационной инфраструктуры кредитной организации»?

5. Каким образом следует учитывать в соответствии с требованиями Положения Банка России № 716-П риск информационной безопасности, который не был реализован, но в то же время может являться источником потерь в будущем?

от 11.11.2020 № 716-P-2020/11

По вопросу 1.

Перечисленные случаи хищения денежных средств у клиентов кредитной организации относятся к «другим видам риска информационной безопасности, связанным с обработкой (хранением, уничтожением) информации без использования объектов информационной инфраструктуры», указанному в абзаце третьем пункта 7.2 Положения Банка России № 716-П, то есть не являются событиями киберриска, определенными в абзаце втором пункта 7.2 Положения Банка России № 716-П, так как они совершаются без преднамеренных действий в целях нарушения или прекращения функционирования объектов информационной инфраструктуры кредитной организации, а только лишь используют работающую инфраструктуру кредитной организации для целей хищения путем применения незаконно полученных кодов авторизации операций, доступа или иных критериев идентификации вне информационной инфраструктуры кредитной организации. Кредитная организация вправе самостоятельно разработать в соответствии с пунктом 3.4 Положения Банка России № 716-П дополнительную классификацию видов (способов) несанкционированного получения клиентских кодов авторизации или идентификации в рамках дополнительной классификации источников событий риска информационной безопасности по источнику «внешние причины» в соответствии с пунктом 2.4 приложения 5 к Положения Банка России № 716-П, а также самостоятельно разработать в соответствии с пунктом 3.8 Положения Банка России № 716-П для разновидностей этих случаев последующие уровни классификации в рамках типа события «преднамеренные действия третьих лиц», указанного в подпункте 3.6.2 пункта 3.6 Положения Банка России № 716-П.

По вопросу 2.

Термин «компьютерная атака» применяется в Положении Банка России № 716-П в значении, определенном в перечисленных в вопросе ГОСТах.

По вопросу 3.

В соответствии с подпунктом 3.12.3 пункта 3.12 Положения Банка России № 716-П компенсации потерь клиентов из-за действий третьих лиц, выплаченные кредитной организацией во внесудебном порядке, являются прямыми потерями от реализации операционного риска и должны регистрироваться в базе событий безотносительно того, принудительно или по собственной инициативе («доброй воле») кредитная организация осуществила данную компенсацию, с признанием или не признанием своей «вины».

Кредитная организация вправе самостоятельно разработать в соответствии с пунктом 3.14 Положения Банка России № 716-П последующие уровни классификации потерь, указанных в подпункте 3.12.3 пункта 3.12 Положения Банка России № 716?П, например, по видам компенсаций, выплаченных в добровольном порядке или по иным основаниям, с признанием или не признанием своей «вины» кредитной организацией для цели осуществления последующего анализа и контроля за уровнем и суммарной величиной таких выплат, например, путем установления для них соответствующих значений ключевых индикаторов риска в соответствии с абзацами десятым – двадцать первым подпункта 2.1.7 пункта 2.1 Положения Банка России № 716?П.

По вопросу 4.

Примером события риска информационной безопасности, приводящего к качественным потерям, является DDOS-атака, которая может остановить выполнение бизнес-процесса кредитной организации или нарушить его функционирование, нарушить целостность информации, хранящейся в информационных базах.

Обращаем внимание, что категория «другие потери качества объектов информационный инфраструктуры кредитной организации» создана для того, чтобы кредитные организации могли относить к данной категории другие потери, не перечисленные в приложении 5 к Положению Банка России № 716-П.

По вопросу 5.

В целях регулирования работы кредитной организации с операционными рисками, которые не реализовались в настоящий момент, но могут реализоваться в будущем, Положением Банка России № 716-П предусмотрены процедуры управления операционным риском, определяемые в соответствии с подпунктом 2.1.1 пункта 2.1 Положения банка России № 716-П (идентификация операционного риска), подпунктом 2.1.4 пункта 2.1 Положения банка России № 716-П (например, оценка ожидаемых потерь от операционного риска), подпункта 2.1.5 пункта 2.1 Положения банка России № 716-П (качественная оценка операционного риска, которая предусматривает проведение самооценки операционного риска, где есть возможность анализировать вероятность и влияние не реализовавшихся рисков, но которые могут реализоваться). Также подпункт 2.1.5 пункта 2.1 Положения банка России № 716-П предусматривает проведение сценарного анализа операционного риска в отношении операционных рисков, а также их источников,  которые не реализовались в кредитной организации, но у которых есть вероятность реализации с высоким уровнем потерь или других последствий.

Все вышеперечисленные процедуры применимы к управлению риском информационной безопасности как части операционного риска.

Обращаем внимание, что организатором и ответственным за методологию данных процедур является подразделение, ответственное за организацию управления операционным риском.

Печать

1. Подлежат ли регистрации в базе событий кредитной организации (головной кредитной организации) (далее – кредитная организация) события операционного риска, по которым отсутствуют прямые и непрямые потери?

 

2. Обязан ли банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, регистрировать в базе событий информацию о качественных потерях от реализации операционного риска и потенциальных потерях, указанных в абзаце третьем подпункта 3.13.3 пункта 3.13 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П)?

3. В случае если, по мнению кредитной организации, событие операционного риска реализовалось в рамках нескольких направлений деятельности кредитной организации согласно классификации, указанной в пункте 3.6 Положения Банка России № 716-П, в базе событий следует регистрировать информацию по одному направлению деятельности или по всем направлениям деятельности, в рамках которых реализовалось данное событие операционного риска?

4. Может ли кредитная организация не отражать в базе событий направления деятельности в разрезе составляющих их процессов в случае, если событие операционного риска затрагивает направление в целом, а не один из его процессов?

5. Обязан ли банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, внедрить специальное программное обеспечение, которое обеспечит функционирование системы управления операционным риском, или кредитная организация, если характер и масштаб ее деятельности не предусматривает наличие большого объема операций и транзакций в единицу времени, вправе использовать для учета сбора и хранения данных о событиях операционного риска такие программные продукты Microsoft Office, как Excel или Access?

6. Какую информацию должно содержать поле базы событий «величина потери от реализации события операционного риска» в соответствии с абзацем двадцать девятым пункта 6.6 Положения Банка России № 716-П?

7. Обязана ли кредитная организация в соответствии с абзацем третьим подпункта 6.7.1 пункта 6.7 Положения Банка России № 716-П корректировать сумму валовых потерь от реализации события операционного риска в зависимости от реальных потерь, понесенных кредитной организацией, на дату отражения записи в базе событий?

8. Согласно пункту 6.6 Положения Банка России № 716-П «в случае, если сумма возмещений в рублях, рассчитанная в соответствии с курсом иностранной валюты, установленным Банком России, превышает сумму потерь в рублях, в базе событий должна быть отражена сумм потерь в рублях». Что в данном случае имеется в виду, учитывая тот факт, что сумма потерь в рублях и так необходимо отразить в базе событий?

от 30.10.2020 № 716-P-2020/10

По вопросу 1.

Положение Банка России № 716-П не обязывает кредитные организации регистрировать события операционного риска, по которым отсутствуют прямые потери, определяемые в соответствии с пунктом 3.12 Положения Банка России № 716-П, и непрямые потери, определяемые в соответствии с пунктом 3.13 Положения Банка России № 716?П, в базе событий, при этом кредитная организация для целей соблюдения иных нормативных актов Банка России вправе самостоятельно определить необходимость регистрации событий операционного риска по отдельным видам операционного риска (например, инцидентов риска информационной безопасности), которые были предотвращены и которые не привели как к прямым, так и непрямым потерям.

По вопросу 2.

Глава 3 Положения банка России № 716-П регламентирует классификацию событий операционного риска для всех кредитных организаций, на которые распространяется действие Положения Банка России № 716-П. Обращаем внимание, что в рамках главы 9 Положения Банка России № 716-П установлен дифференцированный подход к соблюдению требований Положения Банка России № 716-П различными видами кредитных организаций.

В соответствии с подпунктом 9.2.1 пункта 9.2 Положения Банка России № 716-П банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, регистрирует в базе событий, с учетом порога регистрации, события операционного риска с прямыми и (или) косвенными потерями, а также с потерями средств клиентов, контрагентов, работников и третьих лиц, которые не были компенсированы кредитной организацией, указанными в абзаце втором подпункта 3.13.3 пункта 3.13 Положения Банка России № 716-П. Таким образом, необходимость регистрации событий операционного риска с иными видами потерь (например, качественными потерями) банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, вправе определить самостоятельно.

По вопросу 3.

В соответствии с пунктом 3.9 Положения Банка России № 716-П события операционного риска классифицируются кредитной организацией по основным направлениям деятельности первого уровня, изложенным в подпунктах 3.9.1—3.9.9 пункта 3.9 Положения Банка России № 716-П. В случае если, по мнению кредитной организации, событие операционного риска реализовалось в рамках нескольких направлений деятельности кредитной организации, рекомендуем предусмотреть возможность отражения в базе событий нескольких направлений деятельности кредитной организации, относящихся к данному событию операционного риска, с указанием основного (наиболее значимого) направления деятельности, в отношении (разрезе) которого это событие будет отражено в отчетности по операционному риску.

По вопросу 4.

В соответствии с подпунктом 4.1.1 пункта 4.1 Положения Банка России № 716-П одним из элементов системы управления операционным риском является перечень процессов кредитной организации, отнесенных к направлениям деятельности, указанным в пункте 3.9 Положения Банка России № 716-П. Таким образом, при отражении в базе событий информации по направлению деятельности кредитной организации также необходимо указать процесс кредитной организации, относящийся к направлению деятельности, в рамках которого произошло событие операционного риска.

Если кредитная организация считает, что событие операционного риска реализовалось в рамках нескольких процессов, относящихся к одному направлению деятельности кредитной организации, или не может выделить конкретный процесс в рамках данного направления деятельности, кредитная организация вправе указать в базе событий операционного риска, что данное событие относится ко всем процессам в рамках данного направления деятельности, предусмотрев соответствующее значение в классификации процессов во внутренних документах кредитной организации.

По вопросу 5.

Положение Банка России № 716-П не устанавливает требований к автоматизированной информационной системе кредитной организации, обеспечивающей функционирование системы управления операционным риском. Кредитная организация, исходя из объемов проводимых операций и (или) действующих процессов, характера и масштаба деятельности (в том числе наличия соответствующих ресурсов на развитие информационной инфраструктуры), самостоятельно определяет требования к автоматизированной информационной системе при условии соблюдения требований абзаца десятого пункта 1.3 Положения Банка России № 716-П.

По вопросу 6.

Перечень информации, которая должна содержаться в базе событий кредитной организации, представлен в пункте 6.6 Положения Банка России № 716-П. В соответствии с абзацем двадцать девятым пункта 6.6 Положения Банка России № 716-П под величиной потерь от реализации события операционного риска, определяемой в соответствии с внутренними документами кредитной организации, понимается величина потерь в зависимости от их вида, определяемого пунктом 3.11 Положения Банка России № 716-П. В случае если кредитная организация фиксирует в базе событий информацию по прямым потерям, то указывается величина прямых потерь до учета возмещений; в случае косвенных потерь – их оценочная величина до учета возмещения. Экспертная оценка качественных потерь от реализации события операционного риска кредитной организацией фиксируется в базе событий отдельно в соответствии с абзацем тридцать вторым пункта 6.6 Положения Банка России № 716-П, при этом кредитная организация вправе в дополнение к перечню информации, представленной в пункте 6.6 Положения Банка России № 716-П, предусмотреть отражение в базе событий иной информации.

Обращаем внимание, что в соответствии с пунктом 6.6 Положения Банка России № 716-П кредитная организация определяет каждый вид потерь в соответствии с пунктом 3.11 Положения Банка России № 716-П по каждому событию операционного риска в базе событий раздельно и не суммирует величины потерь разных видов (прямые и непрямые) в одном поле базы событий. Для целей управления операционным риском, определения уровня операционного риска, а также расчета контрольных показателей уровня операционного риска в соответствии с абзацем тридцать четвертым пункта 6.6 Положения Банка России № 716-П в базе событий должно быть предусмотрено поле «агрегированная сумма валовых потерь в рублях», в которой указывается сумма валовых прямых и косвенных потерь от реализации события операционного риска.

По вопросу 7.

В соответствии с пунктом 6.7 Положения Банка России № 716-П кредитная организация при актуализации информации по событиям операционного риска со статусом «оценка потерь от реализации события операционного риска не завершена» обязана на отчетную дату (в случае регистрации в базе событий новой информации о потерях и возмещениях), проводить перерасчет величины валовых потерь, в том числе с учетом положений абзаца третьего подпункта 6.7.1 пункта 6.7 Положения Банка России № 716-П.

 

По вопросу 8.

В случае если сумма возмещений в рублях, рассчитанная по официальному курсу иностранной валюты, установленному Банком России, превышает сумму потерь в рублях, в базе событий должна быть отражена полная сумма полученного возмещения в рублях, но при расчете чистых прямых потерь в целях расчета размера операционного риска для нормативов достаточности капитала должна учитываться только сумма возмещения в рублях, не превышающая сумму потерь в рублях.

Печать

1. Может ли кредитная организация (головная кредитная организация) (далее – кредитная организация), исходя из масштаба и характера деятельности, не определять должностное лицо, ответственное за функционирование системы обеспечения информационной безопасности, а возложить его функции на коллегиальный исполнительный орган?

 

2. Может ли должностным лицом, ответственным за функционирование системы обеспечения информационной безопасности, быть руководитель службы информационной безопасности, не участвующий в совершении операций, сделок, организации бухгалтерского и управленческого учета, обеспечении функционирования информационных систем, с прямым подчинением лицу, осуществляющему функции единоличного исполнительного органа кредитной организации?

от 29.10.2020 № 716-P-2020/9

По вопросу 1.

В соответствии с пунктом 7.7. Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П) кредитная организация должна назначить должностное лицо (лицо, его замещающего), ответственное за функционирование системы обеспечения информационной безопасности (с прямым подчинением лицу, осуществляющему функции единоличного исполнительного органа кредитной организации, или его заместителю) и не участвующее в совершении операций, сделок, организации бухгалтерского и управленческого учета, обеспечении функционирования информационных систем.

При этом норма подпункта 7.9.2 пункта 7.9 Положения Банка России № 716-П касается только порядка составления и рассмотрения отчетов по событиям риска информационной безопасности.

По вопросу 2.

Кредитная организация, исходя из характера и масштаба деятельности, вправе возложить функции должностного лица, ответственного за функционирование системы обеспечения информационной безопасности, на руководителя службы информационной безопасности, не участвующего в совершении операций, сделок, организации бухгалтерского и управленческого учета, обеспечении функционирования информационных систем, при условии прямого подчинения лицу, осуществляющему функции единоличного исполнительного органа кредитной организации, в соответствии с пунктом 7.7. Положения Банка России № 716-П.

Печать

1. Просьба подтвердить понимание банком значения термина «управленческие процессы» как процессов принятия управленческих решений коллегиальным единоличным исполнительными управления и/или кредитным комитетом кредитной организации (головной кредитной организации) (далее – кредитная организация).

 

2. Какое подразделение кредитной организации может выполнять процедуры управления риском ошибок в управленческих процессах?

от 28.10.2020 № 716-P-2020/8

По вопросу 1.

В соответствии с абзацем шестым пункта 1.4 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» кредитная организация для целей унификации управления операционным риском в качестве одного из видов операционного риска выделяет риск ошибок в управленческих процессах. Управленческие процессы в кредитной организации – это не только процессы принятия решений коллегиальным исполнительным органом и (или) единоличным исполнительным органом управления, но и процессы принятия решений иными коллегиальными органами и(или) должностными лицами кредитной организации, на которых возложены полномочия по принятию решений в рамках внутренних процессов кредитной организации.

 

По вопросу 2.

Кредитная организация самостоятельно определяет специализированное подразделение или несколько подразделений, ответственное (ответственных) за управление риском ошибок в управленческих процессах в зависимости от характера и масштабов деятельности, организационной структуры управления, организации внутренних процессов принятия решений и распределения полномочий и вправе возложить функцию по управлению (координацию) риском ошибок в управленческих процессах в целом на подразделение, ответственное за организацию управления операционным риском, или службу управления рисками.

Печать

Если операционный риск признан как значимый, с какой периодичностью должны формироваться отчеты по управлению операционным риском в целях их предоставления на рассмотрение коллегиального исполнительного органа и (или) совета директоров (наблюдательного совета) кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация)?

от 27.10.2020 № 716-P-2020/7

Отчеты, предусмотренные подпунктом 4.2.2 пункта 4.2 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П), формируются в целях управления операционным риском и предоставляются на рассмотрение коллегиальному исполнительному органу кредитной организации на ежеквартальной основе (безотносительно того, признает ли кредитная организация операционный риск значимым или нет).

Кредитная организация вправе включать отчеты по управлению операционным риском (или их элементы), разработанные в соответствии с требованиями Положения Банка России № 716-П, в состав иных отчетов по управлению рисками (в том числе в отчеты о значимых рисках), предусмотренных другими нормативными актами, для целей оптимизации состава отчетных форм и недопущения дублирования внутренних отчетов в отношении одной и той же области деятельности. В этом случае сроки, состав и порядок составления и предоставления подобных внутренних отчетов в части операционного риска должен соответствовать требованиям как Положения Банка России № 716-П, так и иных нормативных актов, в соответствии с которыми эти отчеты (или их элементы) включаются кредитной организацией в состав отчетов, требуемых иными нормативными актами.

Печать

1. Следует ли включать данные о фактических значениях контрольных показателей уровня операционного риска, определяемых в соответствии с абзацами третьим – шестым подпункта 1.1.1 приложения 1 к Положению Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П), в ежеквартальные отчеты по управлению операционным риском или только в годовой отчет?

 

2. Может ли кредитная организация (головная кредитная организация банковской группы) (далее – кредитная организация) утверждать контрольные и сигнальные значения контрольных показателей уровня операционного риска в целом по кредитной организации на совете директоров (наблюдательном совете), а в разрезе направлений деятельности кредитной организации, в том числе в разрезе составляющих их процессов, и подразделений, ответственных за осуществление операций и сделок и за результаты процесса, — на ином коллегиальном органе кредитной организации, уполномоченном на это (например, комитете по рискам)?

 

3. Может ли кредитная организация установить сигнальные и контрольные значения контрольных показателей уровня операционного риска на период не менее одного года?

от 26.10.2020 № 716-P-2020/6

По вопросу 1.

В соответствии с подпунктом 4.2.2 пункта 4.2 Положения Банка России № 716-П кредитная организация должна рассчитывать и отражать в отчетах по операционному риску на ежеквартальной основе фактические значения контрольных показателей уровня операционного риска, указанных в абзацах третьем – шестом подпункта 1.1.1 приложения 1 к Положению Банка России № 716-П.

Кредитная организация ежеквартально рассчитывает значения контрольных показателей уровня операционного риска, изложенных в абзацах третьем-шестом подпункта 1.1.1 приложения 1 к Положению Банка России № 716-П, следующим образом:

в показателе «отношение общей суммы валовых прямых потерь от реализации событий операционного риска за вычетом потерь от реализации событий риска информационной безопасности, понесенных кредитной организацией за годовой период, к базовому капиталу кредитной организации на последнюю отчетную дату года» значения валовых прямых потерь от реализации событий операционного риска за вычетом потерь от реализации событий риска информационной безопасности суммируются за календарный год на отчетную дату нарастающим итогом (например, при предоставлении отчета за 3 квартал 2020 года, сумма потерь рассчитывается за период с 1 квартала 2020 года по 3 квартал 2020 года включительно);

в показателе «отношение общей суммы чистых (фактических) прямых потерь (включая чистые (фактические) прямые потери от реализации событий риска информационной безопасности), понесенных кредитной организацией за год, к показателю объема операционного риска в виде показателя Д, рассчитанного в соответствии с пунктом 3 Положения Банка России № 652-П на последнюю отчетную дату (далее – показатель объема операционного риска)» значения чистых (фактических) прямых потерь (включая чистые (фактические) прямые потери от реализации событий риска информационной безопасности) суммируются за календарный год на отчетную дату нарастающим итогом;

в показателе «отношение общей суммы валовых прямых потерь от реализации событий операционного риска за вычетом потерь от реализации событий риска информационной безопасности, понесенных кредитной организацией за год, к показателю объема операционного риска» значения валовых прямых потерь (включая валовые прямые потери от реализации событий риска информационной безопасности) суммируются за календарный год на отчетную дату нарастающим итогом;

в показателе «отношение суммы чистых (фактических) прямых потерь от реализации событий операционного риска, рассчитанных в соответствии с пунктом 6.18 настоящего Положения, понесенных кредитной организацией за год, за вычетом потерь от реализации событий риска информационной безопасности к показателю объема операционного риска» значения чистых (фактических) прямых потерь (включая чистые (фактические) прямые потери от реализации событий риска информационной безопасности) суммируются за календарный год на отчетную дату нарастающим итогом.

По вопросу 2.

Абзац второй пункта 5.2 Положения Банка России № 716-П относит к компетенции совета директоров (наблюдательного совета) кредитной организации утверждение сигнальных и контрольных значений контрольных показателей уровня операционного риска на плановый годовой период как в целом по кредитной организации, так и в разрезе направлений деятельности, в том числе в разрезе составляющих их процессов, и подразделений, ответственных за осуществление операций и сделок и за результаты процесса.

Указанный абзац не регулирует порядок утверждения советом директоров (наблюдательным советом) кредитной организации состава и значений контрольных показателей уровня операционного риска. Кредитная организация, в соответствии с пунктом 1 приложения 1 к Положению Банка России № 716-П вправе самостоятельно определить во внутренних документах порядок установления контрольных показателей уровня операционного риска и принять решение о количестве и составе контрольных показателей уровня операционного риска, направляемых на утверждение как совета директоров (наблюдательного совета) кредитной организации, так и иных коллегиальных органов кредитной организации (при условии делегирования им советом директоров (наблюдательным советом) соответствующих полномочий).

Например, кредитная организация может определить во внутренних документах, что совет директоров (наблюдательный совет) ежегодно рассматривает и утверждает только значения контрольных показателей уровня операционного риска в целом по кредитной организации, указанных в приложении 1 к Положению Банка России № 716-П, а также методику распределения (аллокации) контрольных показателей уровня операционного риска по направлениям деятельности, в том числе в разрезе составляющих их процессов и подразделений, ответственных за осуществление операций и сделок и за результаты процессов, и делегировать их утверждение иному коллегиальному органу кредитной организации при условии соблюдения, установленных советом директоров (наблюдательным советом) значений контрольных показателей уровня операционного риска в целом по кредитной организации и методики распределения (аллокации) контрольных показателей уровня операционного риска.

По вопросу 3.

В соответствии с абзацем вторым пункта 5.1 Положения Банка России № 716-П совет директоров кредитной организации утверждает сигнальные и контрольные значения контрольных показателей уровня операционного риска на плановый годовой период. Утверждение сигнальных и контрольных значений контрольных показателей уровня операционного риска на периоды менее одного года Положением Банка России № 716-П не требуется, что относится к усмотрению кредитной организации.

Печать

1. Требуется ли ежегодное рассмотрение советом директоров (наблюдательным советом) кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) вопроса о необходимости внесения изменений в требования политики управления операционным риском, политики информационных систем и в требования к информационным системам или достаточно рассмотрения данного вопроса коллегиальным исполнительным органом кредитной организации?

 

2. В соответствии с абзацем вторым подпункта 4.1.4 пункта 4.1 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П) кредитной организации необходимо определить во внутренних документах правила привлечения внешних экспертов для оценки эффективности функционирования системы управления операционным риском. Достаточно ли банку, размер активов которого менее 500 млрд рублей, определить во внутренних документах, что в качестве внешнего эксперта для проведения данной оценки может быть привлечена независимая аудиторская компания (например, аудиторская компания, которая проводит периодические проверки кредитной организации в соответствии с установленным нормативными документами Банка России порядком), в случае принятия советом директоров  (наблюдательным советом) кредитной организации решения о необходимости проведения оценки эффективности функционирования системы управления операционным риском?

от 23.10.2020 № 716-P-2020/5

По вопросу 1.

Внутренние документы кредитной организации, разрабатываемые кредитной организацией в соответствии с требованиями Положения Банка России № 716-П в целях эффективного функционирования системы управления операционным риском, являются частью внутренних документов, регламентирующих управление рисками кредитной организации в целом. В соответствии с пунктом 4.6 Положения Банка России № 716-П коллегиальный исполнительный орган кредитной организации принимает решение о необходимости внесения изменений во внутренние документы, регламентирующие вопросы управления операционным риском (в том числе указанные в вопросе). Положение Банка России № 716-П не содержит требования об утверждении или пересмотре указанных документов со стороны совета директоров (наблюдательного совета). Кредитная организация вправе самостоятельно определить, относятся ли вопросы утверждения и пересмотра указанных документов к компетенции совета директоров (наблюдательного совета), определив это в уставе и(или) в положении о совете директоров.

Кредитная организация вправе включать внутренние документы (или их элементы), разработанные в соответствии с требованиями Положения Банка России № 716-П, в состав иных комплектов документов, предусмотренных другими нормативными актами, для целей оптимизации документационного состава и недопущения дублирования внутренних документов в отношении одной и той же области деятельности. В этом случае порядок утверждения и пересмотра подобных внутренних документов должен соответствовать требованиям как Положения Банка России № 716-П, так и иных нормативных актов, в соответствии с которыми эти документы (или их элементы) включаются кредитной организацией в состав указанных комплектов документов.

По вопросу 2.

В соответствии с подпунктом 4.1.4 пункта 4.1 Положения Банка России № 716-П кредитная организация самостоятельно определяет во внутренних документах правила привлечения внешних экспертов для оценки эффективности функционирования системы управления операционным риском. Кредитная организация вправе установить во внутренних документах, что в качестве внешнего эксперта по оценке эффективности функционирования системы управления операционным риском по решению совета директоров (наблюдательного совета) кредитной организации может быть привлечена независимая аудиторская компания, при этом установив в данных внутренних документах критерии, которым должна соответствовать такая компания (например, независимая аудиторская компания должна быть способна подтвердить наличие у нее опыта проведения оценок эффективности системы управления операционным риском).

Печать

Может ли, исходя из масштабов деятельности кредитной организации (головной кредитной организации) (далее – кредитная организация), одно и то же должностное лицо быть ответственным за обеспечение функционирования информационных систем и за обеспечение непрерывности функционирования информационных систем?

Может ли, исходя из масштабов деятельности кредитной организации, одно и то же подразделение одновременно быть ответственным за обеспечение функционирования информационных систем и за обеспечение непрерывности функционирования информационных систем?

от 22.10.2020 № 716-P-2020/4

Нормами Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П) не запрещено совмещение функций по обеспечению функционирования информационных систем и по обеспечению непрерывности функционирования информационных систем. В связи с этим кредитная организация в зависимости от характера и масштабов деятельности в целях оптимизации затрат вправе объединить в одном структурном подразделении кредитной организации функции по обеспечению функционирования информационных систем и обеспечению непрерывности функционирования информационных систем, а также возложить ответственность за обеспечение непрерывности функционирования информационных систем на должностное лицо, ответственное за информационные системы.

Обращаем внимание, что в соответствии с подпунктом 8.8.10 пункта 8.8 Положения Банка России № 716-П в кредитной организации должно быть назначено должностное лицо, ответственное за обеспечение непрерывности функционирования информационных систем. Полагаем, что кредитной организации, в зависимости от характера и масштаба деятельности и сложности используемых ею информационных систем, целесообразно разделить функции по обеспечению функционирования информационных систем и обеспечению непрерывности функционирования информационных систем и отнести их к компетенции различных структурных подразделений и разных должностных лиц, поскольку функция обеспечения непрерывности функционирования информационных систем в большей степени относится к функции по обеспечению непрерывности деятельности кредитной организации.

Печать

В соответствии с абзацем тринадцатым подпункта 3.12.2 пункта 3.12 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П) кредитная организация (головная кредитная организация) (далее – кредитная организация) должна провести оценку значимости качественных потерь от реализации события операционного риска в соответствии с установленной во внутренних документах кредитной организации шкалой качественных оценок. Просим подтвердить возможность соотнесения шкалы на уровне «очень высокие», «высокие», «средние» и «низкие».

от 21.10.2020 № 716-P-2020/3

В соответствии с абзацами двенадцатым-тринадцатым подпункта 3.13.2 пункта 3.13 Положения Банка России № 716-П кредитная организация самостоятельно устанавливает во внутренних документах шкалу качественных оценок (в том числе количество ее градаций), критерии шкалы качественных оценок и методику определения оценок для качественных потерь от реализации операционного риска, включая критерии соотнесения шкалы качественных оценок с количественными потерями. В случае если во внутренних документах кредитной организации установлена четырехуровневая шкала качественных оценок («очень высокие», «высокие», «средние», «низкие»), кредитной организации необходимо установить во внутренних документах критерии соотнесения указанной шкалы с количественными потерями.

Печать

1. Устанавливает ли Положение Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П) требование для банка с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, идентифицировать операционный риск способом анализа динамики ключевых индикаторов риска (далее – КИР), устанавливать и осуществлять мониторинг КИР, определять во внутренних документах требования к КИР и к их документированию?

2. Может ли кредитная организация (головная кредитная организация) (далее – кредитная организация) использовать контрольные показатели уровня операционного риска в качестве КИР?

3. Устанавливает ли Положение Банка России № 716-П требование для банка с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, не использующий методы оценки величины риска и общей потребности в капитале, отличные от установленных Банком России в соответствии с пунктом 5.1 Указания Банка России от 15 апреля 2015 № 3624-У «О требованиях к системе управления рисками и капиталом кредитной организации и банковской группы» (далее – Указание Банка России № 3624-У), проводить качественную оценку уровня операционного риска с применением сценарного анализа операционного риска?

4. Устанавливает ли Положение Банка России № 716-П требование для банка с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, не использующий методы оценки величины риска и общей потребности в капитале, отличные от установленных Банком России в соответствии с пунктом 5.1 Указания Банка России № 3624-У, проводить стресс-тестирование операционного риска и зависит ли данная обязанность от признания операционного риска значимым в отчетном периоде?

5. Может ли банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, не использующий методы оценки величины риска и общей потребности в капитале, отличные от установленных Банком России в соответствии с пунктом 5.1 Указания Банка России № 3624-У, не использовать другие способы управления операционным риском из указанных в пункте 2.1 Положения Банка России № 716-П, в дополнение к способам управления операционным риском, указанным в абзаце третьем подпункта 9.2.1 пункта 9.2 Положения Банка России № 716-П?

от 20.10.2020 № 716-P-2020/2

По вопросу 1.

В соответствии с подпунктом 9.2.1 пункта 9.2. Положения Банка России № 716-П банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, обязан соблюдать требования по проведению процедуры мониторинга операционного риска, указанные в подпункте 2.1.7 пункта 2.1 Положения Банка России № 716?П, в том числе способом установления и мониторинга КИР для цели контроля уровня операционного риска путем контроля не превышения текущего значения КИР его порогового значения, установленного в соответствии с абзацем семнадцатым подпункта 2.1.7 пункта 2.1 Положения Банка России № 716?П. При этом банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, вправе не использовать анализ динамики КИР для идентификации операционного риска, указанный в абзаце четвертом подпункта 2.1.1 пункта 2.1 Положения Банка России № 716?П.

По вопросу 2.

В соответствии с подпунктом 2.1.7 пункта 2.1 Положения Банка России № 716-П кредитные организации обязаны проводить процедуру мониторинга операционного риска, в том числе с помощью установления и мониторинга КИР. Обращаем внимание, что кредитным организациям следует разрабатывать КИР индивидуально для выявленных операционных рисков в разрезе направлений деятельности, в том числе составляющих их бизнес процессов и(или) подразделений, прошедших процедуры качественной и количественной оценки, которые необходимо контролировать для цели мониторинга операционного риска. Кредитная организация самостоятельно устанавливает требования к КИР и к их документированию во внутренних документах кредитной организации в соответствии с абзацами десятым – двадцать первым подпункта 2.1.7 пункта 2.1 Положения Банка России № 716-П, указывая наименования и элементы классификации операционных рисков, которые отслеживают КИР.

Контрольные показатели уровня операционного риска, разрабатываемые в соответствии с приложением 1 к Положению Банка России № 716-П, определяют уровень операционного риска в целом по кредитной организации. Кредитная организация вправе использовать некоторые контрольные показатели уровня операционного риска в разрезе направлений деятельности, в том числе в разрезе составляющих их бизнес-процессов и (или) подразделений, в качестве КИР для операционных рисков, присущих этим направлениям деятельности, бизнес-процессам и (или) подразделениям, при соблюдении требований, указанных в абзацах десятом – двадцать первом подпункта 2.1.7 пункта 2.1 Положения Банка России № 716-П. В то же время в данном случае состав КИР не должен ограничиваться только контрольными показателями уровня операционного риска.

По вопросу 3.

В соответствии с подпунктом 9.2.1 пункта 9.2 Положения Банка России № 716-П банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, обязан соблюдать требование о проведении сценарного анализа операционных рисков в качестве способа качественной оценки уровня операционного риска, указанное в абзаце четвертом подпункта 2.1.5 пункта 2.1 Положения Банка России № 716-П. В этом случае сценарный анализ уровня операционного риска осуществляется для целей идентификации угроз и негативных последствий реализации операционного риска на уровне процессов кредитной организации, включая выявление недостатков и пробелов в них, разработку мероприятий по их устранению и предотвращению реализации угроз, оценку эффективности (результативности) данных мероприятий, а также качественную оценки уровня операционного риска до и после реализации этих мероприятий путем определение уровня остаточного риска. Указанные процедуры сценарного анализа банк вправе включить в состав процедур стресс-тестирования операционного риска, в случае если банк обязан это делать в соответствии с требованиями иных нормативных актов.

По вопросу 4.

Положение Банка России № 716-П не устанавливает требований к проведению стресс-тестирования операционного риска для целей управления капиталом, необходимого на покрытие потерь от реализации событий операционного риска (в том числе для оценки его достаточности), но при этом устанавливает требования к проведению сценарного анализа для целей качественной оценки операционного риска (безотносительно того, признает ли кредитная организация операционный риск значимым или нет), который кредитная организация вправе включить в состав процедур стресс-тестирования операционного риска, в случае признания его значимым. См. ответ по вопросу 3.

По вопросу 5.

Банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, с учетом масштаба и характера деятельности вправе самостоятельно определить во внутренних документах дополнительные способы управления операционным риском, указанные в пункте 2.1 Положения Банка России № 716-П.

Печать

1. Может ли кредитная организация (головная кредитная организация) (далее – кредитная организация), исходя из масштаба и характера деятельности, не выделять в составе службы управления рисками отдельное структурное подразделение, ответственное за организацию управления операционным риском?

 

2. Могут ли специализированные подразделения кредитной организации одновременно являться центрами компетенций?

 

3. Могут ли подразделения кредитной организации, организационно входящие в состав службы управления рисками, являться центрами компетенций?

 

4. Может ли банк с универсальной лицензией, размер активов которого составляет менее 500 млрд рублей, не создавать отдельного подразделения в службе управления рисками, а назначить работника службы управления рисками, ответственного за организацию управления операционным риском?

от 19.10.2020 № 716-P-2020/1

По вопросу 1.

В случае если в организационной структуре службы управления рисками кредитной организации не предусмотрено выделение внутренних подразделений по управлению различными видами рисков, кредитная организация вправе не выделять отдельное подразделение, ответственное за организацию управления операционным риском, в составе службы управления рисками, а назначить работника (работников) службы управления рисками, ответственного (ответственных) за организацию управления операционным риском. Данным работником может быть назначен в том числе руководитель службы управления рисками кредитной организации.

 

По вопросу 2.

Специализированное подразделение кредитной организации может выполнять функции центра компетенций, указанные в абзаце восьмом пункта 1.3 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение Банка России № 716-П). В этом случае полномочия работников специализированного подразделения, выполняющих функции центра компетенций, должны быть определены во внутренних документах кредитной организации с учетом исключения конфликта интересов в соответствии с требованиями подпункта 4.1.3 пункта 4.1 Положения Банка России № 716?П.

По вопросу 3.

Если в состав функций службы управления рисками кредитной организации входят иные функции, чем управление рисками, в части выполнения данных функций служба управления рисками может являться центром компетенций. В этом случае полномочия работников службы управления рисками, выполняющих функции центра компетенций, должны быть определены во внутренних документах кредитной организации с учетом исключения конфликта интересов в соответствии с требованиями подпункта 4.1.3 пункта 4.1 Положения Банка России № 716-П.

 

По вопросу 4.

См. ответ на вопрос 1.

Печать