ΚΕΝΤΡΙΚΗ ΤΡΑΠΕΖΑ ΤΗΣ ΚYΠΡΟY ΕYΡΩΣYΣΤΗΜΑ ΙΕΥΘΥΝΣΗ ΡΥΘΜΙΣΕΩΣ ΚΑΙ ΕΠΟΠΤΕΙΑΣ ΤΡΑΠΕΖΙΚΩΝ Ι ΡΥΜΑΤΩΝ ΚΑΤΕΥΘΥΝΤΗΡΙΕΣ ΓΡΑΜΜΕΣ ΠΡΟΣ ΤΙΣ ΤΡΑΠΕΖΕΣ ΑΝΑΦΟΡΙΚΑ ΜΕ ΤΗ ΙΑΧΕΙΡΙΣΗ ΤΟΥ ΛΕΙΤΟΥΡΓΙΚΟΥ ΚΙΝ ΥΝΟΥ ΜΑΡΤΙΟΣ 2008
1. ΕΙΣΑΓΩΓΗ Η απελευθέρωση των αγορών και η παγκοσµιοποίηση των χρηµατοοικονοµικών υπηρεσιών σε συνάρτηση µε την αναπτυσσόµενη περιπλοκότητα της χρηµατοοικονοµικής τεχνολογίας καθιστούν τις δραστηριότητες των τραπεζών πιο πολύπλοκες και δηµιουργούν νέους κινδύνους οι οποίοι διαφοροποιούν το προφίλ κινδύνου τους. Ενδεικτικές πηγές των αναδυόµενων κινδύνων περιλαµβάνουν την εισαγωγή/χρήση συστηµάτων αυτοµατοποίησης προηγµένης τεχνολογίας, τη µεγαλύτερη εξάρτηση από κεντροποιηµένα συστήµατα, την ανάπτυξη του ηλεκτρονικού εµπορίου, των µεγάλης κλίµακας εξαγορών, συγχωνεύσεων και ενοποιήσεων, την εµπλοκή σε τεχνικές µείωσης κινδύνου και την ανάθεση εκτέλεσης εργασιών σε τρίτα µέρη. Ο ολοκληρωµένος κατάλογος των εν λόγω κινδύνων εντάσσεται στο κεφάλαιο «λειτουργικός κίνδυνος». Η Επιτροπή Τραπεζικής Εποπτείας της Βασιλείας έχει ορίσει το λειτουργικό κίνδυνο ως τον «κίνδυνο ζηµιών οφειλοµένων στην ανεπάρκεια ή στην αποτυχία εσωτερικών διαδικασιών, ατόµων και συστηµάτων ή σε εξωτερικά γεγονότα». Ο ορισµός περιλαµβάνει το νοµικό κίνδυνο αλλά εξαιρεί το στρατηγικό κίνδυνο και τον κίνδυνο φήµης. Οι τράπεζες πρέπει να έχουν σαφή αντίληψη της έννοιας «λειτουργικός κίνδυνος». Είναι σηµαντικό η ερµηνεία που αποδίδουν στον όρο να λαµβάνει υπόψη την πλήρη έκταση του λειτουργικού κινδύνου της τράπεζας και να καλύπτει όλες τις σηµαντικές πηγές ενδεχόµενων σηµαντικών λειτουργικών ζηµιών. Η ανεπαρκής αναγνώριση και διαχείριση του λειτουργικού κινδύνου δύναται να έχει ως αποτέλεσµα την υποτίµηση του προφίλ κινδύνου της τράπεζας και την έκθεσή της σε σηµαντικές ζηµιές που να θέτουν σε κίνδυνο την βιωσιµότητά της. Η σηµασία του λειτουργικού κινδύνου, ως σηµαντικού χωριστού τραπεζικού κινδύνου, αναγνωρίζεται και στο νέο πλαίσιο κεφαλαιακών απαιτήσεων (Basel II), το οποίο απαιτεί, µεταξύ άλλων, κεφαλαιακές απαιτήσεις για το λειτουργικό κίνδυνο στα πλαίσια του Πυλώνα 1. Η σχετική Οδηγία της Ευρωπαϊκής Ένωσης για τις κεφαλαιακές απαιτήσεις, οι πρόνοιες της οποίας έχουν υιοθετηθεί 2
στην Οδηγία της Κεντρικής Τράπεζας της Κύπρου για τον Υπολογισµό των Κεφαλαιακών Απαιτήσεων και των Μεγάλων Χρηµατοδοτικών Ανοιγµάτων, υιοθετεί τον ορισµό του λειτουργικού κινδύνου και τις κατηγορίες ζηµιογόνων γεγονότων που έχει ορίσει η Επιτροπή Τραπεζικής Εποπτείας της Βασιλείας (ίδετε Ενότητα Α παράγραφοι 46 έως 49 και παράρτηµα Χ της προαναφερθείσας Οδηγίας της Κεντρικής Τράπεζας της Κύπρου). Η Κεντρική Τράπεζα της Κύπρου απαιτεί από τις εποπτευόµενες τράπεζες όπως αναγνωρίζουν την ύπαρξη και σηµαντικότητα του λειτουργικού κινδύνου σε σχέση µε τη διασφάλιση της ασφάλειας και βιωσιµότητάς τους, και αναπτύσσουν κατάλληλο πλαίσιο διαχείρισης του λειτουργικού κινδύνου που ενέχεται σε όλες τις δραστηριότητές τους. Όσον αφορά τα εντός Κύπρου Καταστήµατα τραπεζών που έχουν συσταθεί εκτός της Κυπριακής ηµοκρατίας, η Κεντρική Τράπεζα της Κύπρου αναµένει όπως αυτά εφαρµόζουν ανάλογες αρχές διαχείρισης του λειτουργικού κινδύνου στα πλαίσια εφαρµογής της πολιτικής και διαδικασιών που καθορίζεται από τις τράπεζές τους. Το παρόν έγγραφο εκδίδεται για τον καθορισµό των βασικών αρχών που πρέπει να διέπουν το πλαίσιο διαχείρισης του λειτουργικού κινδύνου των τραπεζών, και για να τονιστεί η σηµασία που αποδίδει η Κεντρική Τράπεζα της Κύπρου στην αποτελεσµατική διαχείριση του λειτουργικού κινδύνου, ως ανεξάρτητη κατηγορία κινδύνου. 2. BAΣΙΚΕΣ ΑΡΧΕΣ ΙΑΧΕΙΡΙΣΗΣ ΤΟΥ ΛΕΙΤΟΥΡΓΙΚΟΥ ΚΙΝ ΥΝΟΥ Ανάπτυξη κατάλληλου περιβάλλοντος για τη διαχείριση του λειτουργικού κινδύνου. Το ιοικητικό Συµβούλιο και η Ανώτερη ιεύθυνση κάθε τράπεζας έχουν ευθύνη για την ανάπτυξη κατάλληλης επιχειρηµατικής κουλτούρας η οποία να προϋποθέτει ψηλά πρότυπα ηθικής συµπεριφοράς σε όλα τα επίπεδα της τράπεζας και να θέτει σε ψηλή προτεραιότητα την αποτελεσµατική διαχείριση του λειτουργικού κινδύνου και τη συµµόρφωση µε επαρκή συστήµατα εσωτερικού ελέγχου. 3
Ευθύνες ιοικητικού Συµβουλίου. Το ιοικητικό Συµβούλιο πρέπει να γνωρίζει τις σηµαντικές πτυχές του λειτουργικού κινδύνου της τράπεζας και να αντιµετωπίζει το λειτουργικό κίνδυνο ως ανεξάρτητη κατηγορία κινδύνου για την ασφάλεια και βιωσιµότητα της τράπεζας. Το ιοικητικό Συµβούλιο εγκρίνει και περιοδικά επανεξετάζει το πλαίσιο διαχείρισης του λειτουργικού κινδύνου της τράπεζας, παρέχει προς την Ανώτερη ιεύθυνση σαφή κατεύθυνση και καθοδήγηση αναφορικά µε τις υποκείµενες αρχές του πλαισίου και εγκρίνει τις σχετικές πολιτικές που αναπτύσσει η Ανώτερη ιεύθυνση. Το πλαίσιο διαχείρισης λειτουργικού κινδύνου πρέπει να περιλαµβάνει σαφή και περιεκτικό ορισµό του λειτουργικού κινδύνου και να καθορίζει τις πολιτικές που διέπουν την αναγνώριση, αξιολόγηση, παρακολούθηση και έλεγχο/µείωση του λειτουργικού κινδύνου. Καθορίζει, επίσης, τη διάθεση ανάληψης κινδύνου και τα όρια ανοχής της τράπεζας αναφορικά µε το λειτουργικό κίνδυνο καθώς και το βαθµό και τους µηχανισµούς µεταφοράς λειτουργικού κινδύνου σε τρίτα µέρη. Η µορφή και πολυπλοκότητα του πλαισίου πρέπει να είναι ανάλογα µε το προφίλ κινδύνου της τράπεζας. Το ιοικητικό Συµβούλιο έχει την ευθύνη για τη δηµιουργία κατάλληλης οργανικής δοµής, η οποία να περιλαµβάνει ανεξάρτητη µονάδα διαχείρισης του λειτουργικού κινδύνου, για την αποτελεσµατική εφαρµογή του πλαισίου διαχείρισης του λειτουργικού κινδύνου. Το ιοικητικό Συµβούλιο της τράπεζας πρέπει, επίσης, να διασφαλίζει ότι το πλαίσιο διαχείρισης λειτουργικού κινδύνου υπόκειται σε αποτελεσµατικό και περιεκτικό εσωτερικό έλεγχο από λειτουργικά ανεξάρτητη µονάδα εσωτερικού ελέγχου η οποία διαθέτει κατάλληλα καταρτισµένο και ικανό προσωπικό. Η µονάδα εσωτερικού ελέγχου πρέπει να είναι ανεξάρτητη από τη µονάδα διαχείρισης του λειτουργικού κινδύνου. Eυθύνες Ανώτερης (Εκτελεστικής) ιεύθυνσης. 4
Η Ανώτερη ιεύθυνση της τράπεζας έχει ευθύνη για την υλοποίηση του πλαισίου διαχείρισης του λειτουργικού κινδύνου που εγκρίνει το ιοικητικό Συµβούλιο και για τη διασφάλιση ότι το πλαίσιο εφαρµόζεται µε συνέπεια σε όλα τα επίπεδα της τράπεζας ή, ανάλογα, του τραπεζικού οµίλου, περιλαµβανοµένων των θυγατρικών των οποίων οι εργασίες δεν είναι αναπόσπαστα συνδεδεµένες µε τραπεζικές εργασίες (π.χ. ασφαλιστικές εταιρείες). Στα πλαίσια αυτά, η Ανώτερη ιεύθυνση καθορίζει και τεκµηριώνει εγγράφως σαφείς πολιτικές και διαδικασίες για τη διαχείριση του λειτουργικού κινδύνου, σε σχέση µε όλα τα σηµαντικά προϊόντα, δραστηριότητες, διαδικασίες και συστήµατα της τράπεζας, και διασφαλίζει ότι η τράπεζα διαθέτει τους απαραίτητους ποιοτικούς και ποσοτικούς πόρους για την αποτελεσµατική διαχείριση του λειτουργικού κινδύνου. Οι σχετικές διαδικασίες πρέπει να απεικονίζουν ευκρινώς τις γραµµές εξουσίας, ευθύνης, αναφοράς και λογοδοσίας. Επίσης, πρέπει να διασφαλίζεται ότι η πολιτική της τράπεζας αναφορικά µε τη διαχείριση του λειτουργικού κινδύνου διαβιβάζεται µε σαφήνεια σε όλα τα επίπεδα του προσωπικού, των µονάδων και υπηρεσιών που αναλαµβάνουν λειτουργικό κίνδυνο και ότι το προσωπικό κατανοεί πλήρως τις ευθύνες του αναφορικά µε τη διαχείριση του λειτουργικού κινδύνου. Τα ανοίγµατα σε λειτουργικό κίνδυνο καθώς και οι ζηµιές από τον εν λόγω κίνδυνο πρέπει να αποτελούν αντικείµενο τακτικών εκθέσεων και να υπάρχουν γραπτώς τεκµηριωµένες διαδικασίες για τη λήψη κατάλληλων µέτρων, όπου αυτό προκύπτει από το περιεχόµενο των πιο πάνω εκθέσεων. ιαχείριση κινδύνου: Αναγνώριση, αξιολόγηση, παρακολούθηση και έλεγχος/µείωση. Αναγνώριση και αξιολόγηση Οι τράπεζες πρέπει να αναγνωρίζουν και να αξιολογούν το λειτουργικό κίνδυνο που εµπεριέχεται σε όλα τα σηµαντικά προϊόντα, δραστηριότητες, διαδικασίες και συστήµατά τους. Πρέπει, επίσης, να διασφαλίζουν ότι πριν την εισαγωγή ή/και ανάληψη νέων προϊόντων, δραστηριοτήτων, διαδικασιών και συστηµάτων ο ενεχόµενος λειτουργικός κίνδυνος υπόκειται σε επαρκείς διαδικασίες αξιολόγησης. 5
Η αναγνώριση του κινδύνου είναι υψίστης σηµασίας για την ανάπτυξη κατάλληλου συστήµατος παρακολούθησης και ελέγχου του λειτουργικού κινδύνου. Η αποτελεσµατική αναγνώριση του κινδύνου λαµβάνει υπόψη τόσο εσωτερικούς παράγοντες όσον και εξωτερικούς παράγοντες µε δυνητικά αρνητικές επιπτώσεις. Πέραν της αναγνώρισης των πιθανών κινδύνων, οι τράπεζες πρέπει να αξιολογούν το βαθµό στον οποίο είναι ευάλωτες στους κινδύνους αυτούς. Η αξιολόγηση αυτή πρέπει να στοχεύει στην καλύτερη κατανόηση του προφίλ κινδύνου της τράπεζας και στην αποτελεσµατικότερη χρήση των διαθέσιµων πόρων διαχείρισης κινδύνων. Η Κεντρική Τράπεζα απαιτεί από τις εποπτευόµενες τράπεζες την υιοθέτηση και χρήση κατάλληλων εργαλείων για την αναγνώριση και αξιολόγηση του λειτουργικού τους κινδύνου. Τα εν λόγω εργαλεία αποφασίζονται από τις ίδιες τις τράπεζες λαµβάνοντας υπόψη τη φύση, το µέγεθος και την πολυπλοκότητα των δραστηριοτήτων τους. Πιθανά εργαλεία είναι η «αυτό-αξιολόγηση κινδύνου», η «χαρτογράφηση κινδύνου», οι «δείκτες κινδύνου» και η «µέτρηση κινδύνου». Τα γενικά χαρακτηριστικά των εν λόγω εργαλείων περιγράφονται στην παράγραφο 25 του εγγράφου Sound Practices for the Management and Supervision of Operational Risk που έκδωσε η Επιτροπή Τραπεζικής Εποπτείας της Βασιλείας το Φεβρουάριο του 2003. Στα πλαίσια της αναγνώρισης και αξιολόγησης του λειτουργικού κινδύνου, η Κεντρική Τράπεζα της Κύπρου απαιτεί, επίσης, όπως οι τράπεζες διατηρούν παρατηρήσεις ιστορικών εσωτερικών και εξωτερικών δεδοµένων ζηµιάς. Ειδικότερα, για τις τράπεζες που χρησιµοποιούν την Τυποποιηµένη Μέθοδο ή την Εξελιγµένη Μέθοδο Μέτρησης για τον υπολογισµό των κεφαλαιακών απαιτήσεων για τον λειτουργικό κίνδυνο, τα απαιτούµενα ιστορικά δεδοµένα ζηµιάς πρέπει να είναι σύµφωνα µε τους «επιχειρηµατικούς τοµείς» και τις «κατηγορίες ζηµιογόνων γεγονότων» που ορίζονται στο Μέρος 2 και 4 αντίστοιχα του παραρτήµατος Χ της Ενότητας Α της Οδηγίας της Κεντρικής Τράπεζας της Κύπρου για τον Υπολογισµό των Κεφαλαιακών Απαιτήσεων και των Μεγάλων Χρηµατοδοτικών Ανοιγµάτων. Για το σκοπό αυτό, οι τράπεζες πρέπει να διατηρούν σύστηµα εντοπισµού και καταγραφής της συχνότητας, σοβαρότητας 6
και άλλων σχετικών πληροφοριών αναφορικά µε τα χωριστά ζηµιογόνα γεγονότα, περιλαµβανοµένων της ηµεροµηνίας του σχετικού γεγονότος, περιγραφής των παραγόντων ή των αιτιών του ζηµιογόνου γεγονότος καθώς και τυχόν επανακτήσεων έναντι της ζηµιάς που έχουν υποστεί. Παρακολούθηση Οι τράπεζες πρέπει να εφαρµόζουν διαδικασίες συστηµατικής παρακολούθησης του προφίλ λειτουργικού κινδύνου και των σηµαντικών ανοιγµάτων τους σε ζηµιές. Πρέπει επίσης, να γίνεται τακτική αναφορά των σχετικών πληροφοριών στην Ανώτερη ιεύθυνση και το ιοικητικό Συµβούλιο για προληπτική διαχείριση του λειτουργικού κινδύνου. Η Κεντρική Τράπεζα της Κύπρου απαιτεί από τις τράπεζες την εφαρµογή αποτελεσµατικών διαδικασιών συστηµατικής παρακολούθησης του λειτουργικού κινδύνου, οι οποίες να διασφαλίζουν ότι εντοπίζονται και διορθώνονται έγκαιρα τυχόν αδυναµίες στις πολιτικές και διαδικασίες διαχείρισης του λειτουργικού κινδύνου ούτως ώστε να µειώνεται σηµαντικά η πιθανότητα, η συχνότητα και η σοβαρότητα των ζηµιογόνων γεγονότων. Πρόσθετα της παρακολούθησης των ζηµιογόνων γεγονότων, ενδείκνυται όπως χρησιµοποιούνται κατάλληλοι δείκτες παροχής έγκαιρων ενδείξεων αυξηµένου κινδύνου για µελλοντικές ζηµιές όπως π.χ. σε σχέση µε ραγδαία ανάπτυξη δραστηριοτήτων, εισαγωγή νέων προϊόντων, ποσοστό παραιτήσεων/απολύσεων προσωπικού, ανεπάρκεια επεξεργασίας συναλλαγών, δυσλειτουργία συστηµάτων κτλ. Ο καθορισµός ορίων σε σχέση µε τους δείκτες αυτούς σε συνδυασµό µε µία αποτελεσµατική διαδικασία παρακολούθησης δύναται να βοηθήσει στον εντοπισµό και αντιµετώπιση σηµαντικών κινδύνων. Η παρακολούθηση του λειτουργικού κινδύνου πρέπει να αποτελεί αναπόσπαστο µέρος των διαδικασιών καθηµερινής παρακολούθησης/διαχείρισης των κινδύνων της τράπεζας. Η συχνότητα της παρακολούθησης πρέπει να είναι ανάλογη µε τους ενεχόµενους κινδύνους και τη συχνότητα και φύση των εξελίξεων στο επιχειρησιακό περιβάλλον της τράπεζας. Τα αποτελέσµατα της παρακολούθησης 7
πρέπει να περιλαµβάνονται στις τακτικές αναφορές προς το ιοικητικό συµβούλιο, την Ανώτερη διεύθυνση καθώς και τα αρµόδια τµήµατα της τράπεζας. Η Ανώτερη ιεύθυνση πρέπει να λαµβάνει τακτικές αναφορές από όλες τις µονάδες και υπηρεσίες της τράπεζας που έχουν σχέση µε το λειτουργικό κίνδυνο, αναφορικά µε όλα τα γεγονότα και συνθήκες που έχουν σχέση µε την λήψη αποφάσεων. Οι εκθέσεις πρέπει να εντοπίζουν το χώρο του ενδεχόµενου προβλήµατος και να υποκινούν έγκαιρα διορθωτικά µέτρα. Η Ανώτερη ιεύθυνση πρέπει να διασφαλίζει την έγκαιρη πληροφόρηση, ακρίβεια και σχετικότητα του συστήµατος αναφοράς και, γενικότερα, των εσωτερικών ελέγχων. Για την αξιολόγηση της χρησιµότητας και εγκυρότητας των εσωτερικών αναφορών, η Ανώτερη ιεύθυνση δύναται να λαµβάνει επίσης, υπόψη τις σχετικές εκθέσεις από εξωτερικές πηγές π.χ. εξωτερικών ελεγκτών και αρµόδιων εποπτικών αρχών. Το ιοικητικό Συµβούλιο πρέπει να τυγχάνει έγκαιρης και επαρκούς ενηµέρωσης για το λειτουργικό κίνδυνο ούτως ώστε να έχει πλήρη αντίληψη του προφίλ κινδύνου της τράπεζας και να επικεντρώνει τη προσοχή του στη διαχείριση των σηµαντικών και στρατηγικής σηµασίας επιπτώσεων επί των εργασιών της τράπεζας. Έλεγχος/µείωση. Οι τράπεζες πρέπει να διαθέτουν πολιτικές και διαδικασίες για τον έλεγχο ή/και µείωση των σηµαντικών λειτουργικών κινδύνων. Πρέπει, επίσης, περιοδικά να επανεξετάζουν τις στρατηγικές περιορισµού και ελέγχου του κινδύνου τους και να προσαρµόζουν το προφίλ του λειτουργικού τους κινδύνου εφαρµόζοντας κατάλληλες στρατηγικές υπό το φως του συνολικού τους προφίλ κινδύνου και της διάθεσης για ανάληψη κινδύνων. Για τους σηµαντικούς κινδύνους που αναγνωρίζουν, οι τράπεζες πρέπει να αποφασίζουν κατά πόσο θα προβούν σε κατάλληλες διαδικασίες για µείωση/µετριασµό του κινδύνου ή αν θα αναλάβουν οι ίδιες το ενεχόµενο κίνδυνο. Για τους κινδύνους που δεν δύνανται να ελεγχθούν/µειωθούν αποτελεσµατικά οι 8
τράπεζες πρέπει να αποφασίζουν κατά πόσον ο κίνδυνος είναι αποδεκτός, ή αν θα πρέπει να µειώσουν ή να αποσυρθούν εντελώς από την υποκείµενη δραστηριότητα. Στις περιπτώσεις που η τράπεζα αποφασίσει να αναλάβει από µόνη της σηµαντικούς λειτουργικούς κινδύνους, η απόφαση για την ανάληψη των κινδύνων πρέπει να είναι διαφανής και να συνάδει µε την συνολική επιχειρησιακή στρατηγική και διάθεση ανάληψης κινδύνων της τράπεζας. Οι τράπεζες πρέπει να διαθέτουν πολιτικές και διαδικασίες για τον έλεγχο ή/και µείωση των σηµαντικών λειτουργικών κινδύνων οι οποίες να είναι τεκµηριωµένες εγγράφως. Οι τράπεζες πρέπει να διαθέτουν, επίσης, σύστηµα το οποίο να διασφαλίζει συµµόρφωση µε τις εν λόγω πολιτικές και διαδικασίες και γενικότερα το σύστηµα διαχείρισης του κινδύνου. Ενδεικτικά αναφέρεται ότι ένα τέτοιο σύστηµα πρέπει να καλύπτει: (α) την επιθεώρηση σε ανώτατο επίπεδο της προόδου έναντι των καθορισθέντων στόχων, (β) την επαλήθευση της συµµόρφωσης µε τους ελέγχους διαχείρισης, (γ) τις πολιτικές και διαδικασίες αναφορικά µε την εξέταση, το χειρισµό και την επίλυση των περιπτώσεων µη συµµόρφωσης και (δ) το σύστηµα τεκµηριωµένων εγκρίσεων για να διασφαλισθεί η λογοδοσία στα αρµόδια επίπεδα της ιεύθυνσης. Ασφάλιση/µεταφορά λειτουργικού κινδύνου σε τρίτους Από τη φύση τους, ορισµένοι σηµαντικοί λειτουργικοί κίνδυνοι έχουν χαµηλή πιθανότητα πραγµατοποίησης αλλά µεγάλες οικονοµικές επιπτώσεις σε περίπτωση που θα επισυµβούν. Επίσης, ορισµένα ζηµιογόνα γεγονότα, µε δυνητικά σηµαντικές ζηµιές, δεν είναι δυνατόν να ελεγχθούν αποτελεσµατικά από την ίδια την τράπεζα. Για τους εν λόγω κινδύνους οι τράπεζες δύνανται να χρησιµοποιούν µηχανισµούς µείωσης του λειτουργικού κινδύνου π.χ. µεταφέροντας τον ενεχόµενο κίνδυνο σε τρίτα µέρη µέσω ασφαλιστικής κάλυψης ή ανάθεσης δραστηριοτήτων σε τρίτους. Η χρήση µηχανισµών µείωσης του κινδύνου πρέπει να συµπληρώνει και όχι να αντικαθιστά τις εσωτερικές διαδικασίες για τη διαχείριση και τον έλεγχο του λειτουργικού κινδύνου. Όταν η ασφαλιστική κάλυψη χρησιµοποιείται ως µέσο µείωσης/ελέγχου του λειτουργικού κινδύνου η τράπεζα πρέπει να εξετάζει προσεκτικά τους όρους και 9
το βαθµό κάλυψης ούτως ώστε να επιτυγχάνεται πραγµατικά µείωση του κινδύνου και να αποφεύγεται η δηµιουργία νέων κινδύνων. Η ασφάλιση πρέπει να παρέχεται από τρίτα µέρη και όχι από οντότητες του οµίλου στον οποίον ανήκει η τράπεζα. Η ανάθεση εξειδικευµένων εργασιών και δραστηριοτήτων σε τρίτα µέρη µε µεγαλύτερη εµπειρία και κλίµακα διαχείρισης κινδύνων µπορεί, επίσης, να αποτελέσει αποτελεσµατικό µέσο µεταφοράς κινδύνου και µείωσης του προφίλ λειτουργικού κινδύνου της τράπεζας. Η τράπεζα πρέπει να καθορίζει και να τεκµηριώνει εγγράφως την πολιτική της αναφορικά µε τη διαχείριση των κινδύνων που σχετίζονται µε την ανάθεση δραστηριοτήτων σε τρίτους. Επισηµαίνεται ότι η ανάθεση εργασιών/δραστηριοτήτων σε τρίτους δεν µειώνει την ευθύνη της τράπεζα για διεξαγωγή των εν λόγω εργασιών/δραστηριοτήτων µε ασφαλή και σωστό τρόπο και σύµφωνα µε την εφαρµοζόµενη νοµοθεσία. Συνεπώς, οι διευθετήσεις ανάθεσης εργασιών/δραστηριοτήτων σε τρίτους πρέπει να βασίζονται σε εύρωστες συµφωνίες και συµβάσεις που να διασφαλίζουν σαφή κατανοµή ευθυνών µεταξύ της τράπεζας και του τρίτου µέρους. Η τράπεζα αναλαµβάνει τη διαχείριση του υπολειπόµενου κινδύνου (residual risk) που προκύπτει από διευθετήσεις ανάθεσης εργασιών σε τρίτους, περιλαµβανοµένης της διακοπής των υπηρεσιών. Η τράπεζα πρέπει να κατανοεί πλήρως τις επιπτώσεις στις δραστηριότητές της, καθώς και των πελατών της, από ενδεχόµενες ελλείψεις στην εκ µέρους της παροχή υπηρεσιών από τρίτους. Για το σκοπό αυτό η τράπεζα πρέπει να διασφαλίζει ότι οι προσδοκίες και υποχρεώσεις κάθε µέρους καθορίζονται σαφώς και είναι κατανοητές και νοµικά εκτελεστέες. Η τράπεζα πρέπει επίσης, να εξετάζει λεπτοµερώς την ευθύνη και την οικονοµική δυνατότητα του τρίτου µέρους να αποζηµιώσει την τράπεζα, αν χρειαστεί, για τα εκ µέρους του τυχόν λάθη, παραλείψεις, αµέλεια κ.τ.λ. Τέλος, για σηµαντικές δραστηριότητες που ανατίθενται σε τρίτους, η τράπεζα πρέπει να διαθέτει σχέδια άµεσων εναλλακτικών λύσεων σε περίπτωση αποτυχίας του εν λόγω τρίτου µέρους. 10
Περιβάλλον Εσωτερικού ελέγχου. Το ιοικητικό Συµβούλιο και η Ανώτερη ιεύθυνση κάθε τράπεζας έχουν ευθύνη για τη διαµόρφωση ισχυρής κουλτούρας εσωτερικού ελέγχου στα πλαίσια της οποίας οι δραστηριότητες του εσωτερικού ελέγχου αποτελούν αναπόσπαστο µέρος των συνήθων δραστηριοτήτων της τράπεζας, προάγοντας υγιείς πρακτικές διαχείρισης κινδύνων και διασφαλίζοντας την έγκαιρη ανταπόκριση και προσαρµογή στις µεταβαλλόµενες συνθήκες για την αποφυγή αχρείαστων ζηµιών. Το σύστηµα εσωτερικού ελέγχου πρέπει να διασφαλίζει κατάλληλο διαχωρισµό καθηκόντων για αποφυγή δηµιουργίας σύγκρουσης συµφερόντων που θα επέτρεπε το ενδεχόµενο απόκρυψης ζηµιών, λαθών ή ανεπίτρεπτων ενεργειών. Πρέπει επίσης, να προϋποθέτει την εφαρµογή εσωτερικών πρακτικών για τον περιορισµό του λειτουργικού κινδύνου, όπως (α) τη στενή παρακολούθηση της συµµόρφωσης µε τα καθορισµένα όρια ανάληψης κινδύνου ((β) τη διασφάλιση της πρόσβασης και χρήσης των περιουσιακών στοιχείων και εγγράφων της τράπεζας, (γ) την κατάλληλη κατάρτιση και εξειδίκευση του προσωπικού, (δ) τον εντοπισµό επιχειρηµατικών κλάδων ή προϊόντων, η απόδοση των οποίων είναι κάτω της αναµενόµενης και (ε) την τακτική εξακρίβωση και επαλήθευση των πράξεων και λογαριασµών της τράπεζας. Πρόσθετα των πιο πάνω, οι δραστηριότητες του εσωτερικού ελέγχου πρέπει να καλύπτουν µε ιδιαίτερη προσοχή τις περιπτώσεις κατά τις οποίες η τράπεζα αναλαµβάνει νέες δραστηριότητες ή αναπτύσσει νέα προϊόντα ή διεισδύει σε άγνωστες αγορές ή αναλαµβάνει εργασίες σε περιοχές οι οποίες είναι γεωγραφικά αποµακρυσµένες από τα κεντρικά της γραφεία. Η µονάδα εσωτερικού ελέγχου πρέπει να είναι ανεξάρτητη από τη µονάδα διαχείρισης του λειτουργικού κινδύνου. Η µονάδα εσωτερικού ελέγχου δύναται να έχει ανάµειξη στην αρχική ανάπτυξη του συστήµατος διαχείρισης λειτουργικού κινδύνου και στη συνέχεια να παρέχει χρήσιµα στοιχεία χωρίς, ωστόσο, η ίδια να έχει άµεση ευθύνη στη διαχείριση του λειτουργικού κινδύνου. Η συχνότητα και η 11
έκταση του εσωτερικού ελέγχου πρέπει να είναι ανάλογες µε το βαθµό ανοίγµατος της τράπεζας σε λειτουργικό κίνδυνο. Ο εσωτερικός έλεγχος πρέπει να διασφαλίζει ότι το πλαίσιο διαχείρισης του λειτουργικού κινδύνου και οι λειτουργικές πολιτικές και διαδικασίες εφαρµόζονται αποτελεσµατικά σε όλη την τράπεζα. Σχέδια ανάκαµψης από καταστροφή και συνέχειας εργασιών Οι τράπεζες πρέπει να διαθέτουν σχέδια ανάκαµψης από καταστροφή και συνέχειας εργασιών για διασφάλιση της δυνατότητας λειτουργίας τους σε συνεχή βάση και περιορισµό των ζηµιών σε περίπτωση σοβαρής διακοπής των εργασιών τους. Για το σκοπό αυτό, η Κεντρική Τράπεζα της Κύπρου απαιτεί την πλήρη συµµόρφωση µε τις πρόνοιες της Οδηγίας της «Πλαίσιο Αρχών Λειτουργίας & Κριτηρίων Αξιολόγησης της Οργανωτικής οµής, Εσωτερικής ιακυβέρνησης και των Συστηµάτων Εσωτερικού Ελέγχου» που αφορούν την εκπόνηση σχεδίων συνέχειας εργασιών και ανάκαµψης από καταστροφή. ιαφάνεια Οι τράπεζες πρέπει να δηµοσιοποιούν επαρκείς πληροφορίες που να επιτρέπουν στην αγορά να αξιολογεί την προσέγγισή τους αναφορικά µε τη διαχείριση του λειτουργικού κινδύνου. Οι δηµοσιοποιήσεις πρέπει να είναι ανάλογες µε το µέγεθος, το προφίλ κινδύνου και την περιπλοκότητα των δραστηριοτήτων της τράπεζας. Κατ ελάχιστο οι δηµοσιοποιήσεις πρέπει να ικανοποιούν τις σχετικές πρόνοιες του Παραρτήµατος ΧΙ της Ενότητας Α της Οδηγίας της Κεντρικής Τράπεζας της Κύπρου για τον Υπολογισµό των Κεφαλαιακών Απαιτήσεων και των Μεγάλων Χρηµατοδοτικών Ανοιγµάτων. 3. ΕΠΟΠΤΕΙΑ ΑΠΟ ΤΗΝ ΚΕΝΤΡΙΚΗ ΤΡΑΠΕΖΑ ΤΗΣ ΚΥΠΡΟΥ. Η Κεντρική Τράπεζα της Κύπρου απαιτεί από όλες τις εποπτευόµενες τράπεζες την υιοθέτηση και εφαρµογή των πάνω κατευθυντήριων γραµµών στα πλαίσια 12
εφαρµογής του πλαισίου διαχείρισης του λειτουργικού τους κινδύνου. Αναµένει, επίσης, όπως το πλαίσιο διαχείρισης λειτουργικού κινδύνου κάθε εποπτευόµενης τράπεζας είναι ανάλογο µε το µέγεθος, την πολυπλοκότητα και το προφίλ κινδύνου της και αποτελεί αναπόσπαστο µέρος της συνολικής προσέγγισης της τράπεζας για τη διαχείριση κινδύνων. Η Κεντρική Τράπεζα της Κύπρου θα επιθεωρεί και θα αξιολογεί τις πολιτικές, διαδικασίες και πρακτικές των εποπτευοµένων τραπεζών σε σχέση µε το λειτουργικό κίνδυνο, καθώς και την εφαρµογή του πλαισίου διαχείρισης του λειτουργικού τους κινδύνου, στα πλαίσια της Εποπτικής Εξέτασης και Αξιολόγησης (Supervisory Review and Evaluation Process) του Πυλώνα 2 της Οδηγίας για τις κεφαλαιακές απαιτήσεις. Η αξιολόγηση από την Κεντρική Τράπεζα της Κύπρου περιλαµβάνει, µεταξύ άλλων, (α) την αποτελεσµατικότητα της διαδικασίας διαχείρισης κινδύνου και του γενικότερου περιβάλλοντος ελέγχου αναφορικά µε το λειτουργικό κίνδυνο, (β) τις µεθόδους παρακολούθησης και αναφοράς του προφίλ λειτουργικού κινδύνου περιλαµβανοµένων δεδοµένων αναφορικά µε τις λειτουργικές ζηµιές και ενδείξεις για πιθανό λειτουργικό κίνδυνο, (γ) τις διαδικασίες για έγκαιρη και αποτελεσµατική επίλυση συµβάντων που εκθέτουν την τράπεζα σε λειτουργικό κίνδυνο,(δ) τις διαδικασίες εσωτερικού ελέγχου καθώς και τις επιθεωρήσεις και ελέγχους για διασφάλιση της ακεραιότητας της ολικής διαδικασίας διαχείρισης του λειτουργικού κινδύνου, (ε) την αποτελεσµατικότητα των ενεργειών της τράπεζας για µείωση του λειτουργικού κινδύνου, όπως η λήψη ασφαλιστικής κάλυψης, (ζ) την ποιότητα και περιεκτικότητα των σχεδίων ανάκαµψης από καταστροφή και συνέχειας εργασιών και (η) τη διαδικασία της τράπεζας για αξιολόγηση της ολικής κεφαλαιακής επάρκειας για λειτουργικό κίνδυνο σε συσχετισµό µε το προφίλ κινδύνου της και τους στόχους για εσωτερικά κεφάλαια. Όταν η εποπτευόµενη τράπεζα αποτελεί µέρος τραπεζικού ή χρηµατοοικονοµικού οµίλου η διαχείριση του λειτουργικού της κίνδυνου πρέπει να αποτελεί αναπόσπαστο µέρος της συνολικής διαχείρισης του λειτουργικού κινδύνου του οµίλου στον οποίο ανήκει. Στις περιπτώσεις αυτές, στα πλαίσια της εκ µέρους της αξιολόγησης, η Κεντρική Τράπεζα της Κύπρου θα συνεργάζεται και θα 13
ανταλλάσσει πληροφορίες µε τις εποπτικές αρχές που εµπλέκονται στην εποπτεία άλλων οντοτήτων του οµίλου. Για τυχόν αδυναµίες ή/και ελλείψεις που εντοπίζονται κατά την επιθεώρηση και αξιολόγηση της διαχείρισης του λειτουργικού κινδύνου, η Κεντρική Τράπεζα θα απαιτεί την άµεση λήψη διορθωτικών µέτρων και, όπου κρίνεται αναγκαίο, τη διατήρηση πρόσθετων ιδίων κεφαλαίων, στα πλαίσια του Πυλώνα 2, για την πλήρη κάλυψη των ενεχοµένων κινδύνων. ΑΚ/ 14