1

Hrvatska narodna banka

Sektor bonitetne regulative i nadzora banaka

Direkcija za specijalistički izravni nadzor banaka

METODOLOGIJA OBAVLJANJA VALIDACIJE

NAPREDNOG PRISTUPA ZA IZRAČUN KAPITALNOG ZAHTJEVA ZA OPERATIVNI

RIZIK

2

Sadržaj 1.  UVOD........................................................................................................ 3 

1.1.  Ovlasti Hrvatske narodne banke za obavljanje supervizije kreditnih institucija......... 3 1.2.  Zakonodavni okvir....................................................................................................... 3 1.3.  Svrha metodologije obavljanja validacije Naprednog pristupa za izračun kapitalnog zahtjeva za operativni rizik .................................................................................................... 4 

2.  ORGANIZACIJA I PROVOÐENJE VALIDACIJE ..................................... 5 3.  POSTUPCI PROVOÐENJA VALIDACIJE................................................ 9 

3.1.  Dokumenti koje supervizori pregledavaju u sklopu procjene sustava upravljanja operativnim rizicima odnosno validacije ............................................................................... 9 3.2.  Organizacijska struktura, uloge i odgovornosti te kultura......................................... 11 3.3.  Strategija, politike i ostali interni akti ....................................................................... 18 3.4.  Ispunjavanje kvalifikacijskih kriterija za primjenu Naprednog pristupa................... 20 

4.  PRIVICI................................................................................................... 21 

3

1. UVOD

1.1. Ovlasti Hrvatske narodne banke za obavljanje supervizije kreditnih institucija

Zakonom o Hrvatskoj narodnoj banci toj je instituciji dana nadležnost u obavljanju poslova

supervizije i nadzora u skladu sa zakonima kojima se uređuje poslovanje kreditnih institucija.

Zakonom o kreditnim institucijama propisano je da superviziju kreditnih institucija obavlja

Hrvatska narodna banka:

1) obavljanjem nadzora prikupljanjem i analizom izvješća i informacija, kontinuiranim praćenjem poslovanja kreditnih institucija i drugih osoba koje su prema odredbama Zakona o kreditnim institucijama i propisa donesenih na temelju tog Zakona ili drugih zakona i propisa donesenih na temelju tih drugih zakona dužne izvještavati Hrvatsku narodnu banku

2) obavljanjem izravnog nadzora nad poslovanjem kreditne institucije i 3) nalaganjem supervizorskih mjera.

U smislu Zakona o kreditnim institucijama, supervizija je provjera da li kreditna institucija

posluje u skladu s pravilima o upravljanju rizicima, drugim odredbama tog Zakona i propisima

donesenima na temelju tog Zakona te drugim zakonima kojima se uređuje obavljanje

financijskih djelatnosti koje obavlja kreditna institucija i propisima donesenima na temelju tih

zakona, kao i vlastitim pravilima, standardima i pravilima struke.

1.2. Zakonodavni okvir

U postupku provođenja izravnog nadzora za potrebe procjene adekvatnosti uspostavljenog

sustava upravljanja operativnim rizikom i validacije Naprednog pristupa za izračun kapitalnog

zahtjeva za operativni rizik od velike su važnosti Zakon o kreditnim institucijama te pripadajući

podzakonski akti: Odluka o adekvatnosti jamstvenog kapitala kreditnih institucija te Odluka o

upravljanju rizicima. Također, pri procjeni primjerenosti organizacijskog ustroja i organizacijske

kulture važni su i praksa koju su kreditne institucije razvile te iskustvo u obavljanju izravnog

nadzora kreditnih institucija.

4

1.3. Svrha metodologije obavljanja validacije Naprednog pristupa za izračun kapitalnog zahtjeva za operativni rizik

Ovim dokumentom opisuje se metodologija kojom će se HNB koristiti pri validaciji

Naprednog pristupa za izračun kapitalnog zahtjeva za operativni rizik. Također se u sklopu

ovog dokumenta opisuju zahtjevi za koje HNB očekuje da ih kreditna institucija provodi pri

vlastitoj validaciji Naprednog pristupa.

Svrha metodologije validacije Naprednog pristupa za izračun kapitalnog zahtjeva za

operativni rizik u tom kontekstu jest propisati načine, kriterije i postupke provjere i procjene

usklađenosti s relevantnim propisima te primjerenosti sustava upravljanja operativnim

rizikom, čime se povećava objektivnost i usporedivost procjena različitih kreditnih institucija.

Sam proces validacije, odnosno supervizorske procjene ima za cilj procjenu ispunjavanja

kvalifikacijskih uvjeta (kvalitativnih i kvantitativnih) za primjenu Naprednog pristupa za

izračun kapitalnog zahtjeva za operativni rizik propisanih Zakonom o kreditnim institucijama

te Odlukom o adekvatnosti jamstvenoga kapitala kreditnih institucija.

Za kreditne institucije koje su u sastavu domaće ili inozemne grupe kreditnih institucija

djelomično ili u potpunosti njihov Napredni pristup za izračun kapitalnog zahtjeva za

operativni rizik može biti razvijen i nadziran na grupnoj osnovi. Pri ocjeni zadovoljavaju li

kreditne institucije koje su u sastavu inozemne grupe zahtjeve iz ovog dokumenta HNB će

usko surađivati s konsolidirajućim supervizorima grupe banaka.

Metodologija obavljanja validacije Naprednog pristupa za izračun kapitalnog zahtjeva za

operativni rizik koncipirana je na način da su u Poglavlju 3. izloženi kriteriji prema kojima

supervizor procjenjuje primjerenost sustava upravljanja operativnim rizikom i dodjeljuje

ocjenu na temelju Zakona o kreditnim institucijama i Odluke o adekvatnosti jamstvenoga

kapitala kreditnih institucija. Kriteriji su navedeni prema određenim područjima. Nadalje, u

Privitku 1. Vodič za validaciju navedeni su kriteriji u obliku načela, uključujući i preporuke iz

CEBS-ova dokumenta GL 10.

Osim supervizorske procjene, kojoj je svrha procjena ispunjavanja kvalifikacijskih uvjeta

(kvalitativnih i kvantitativnih uvjeta) za primjenu Naprednog pristupa, potrebno je voditi

5

računa o tome da je HNB Odlukom o upravljanju rizicima propisao minimalne zahtjeve

povezane s uspostavom sustava upravljanja rizicima, uključujući i operativni rizik,

primjenjive na sve kreditne institucije te se od kreditnih institucija očekuje da, u skladu s

vrstom, opsegom i složenošću poslovanja te profilom rizičnosti i odabranim pristupu za

izračun kapitalnog zahtjeva za operativni rizik, primjenjuju prikladne metode i postupke pri

uspostavljanju odgovarajućeg sustava upravljanja operativnim rizikom, sustava unutarnjih

kontrola i unutarnjeg upravljanja općenito. Pritom je kreditna institucija dužna uvijek i bez

iznimke svojim sustavom mjerenja i upravljanja operativnim rizikom obuhvatiti sve

izloženosti operativnom riziku uzimajući u obzir specifičnosti profila rizičnosti kao i

definiranu sklonost preuzimanju rizika. Također, potrebno je napomenuti da HNB neovisno o

ovoj validaciji provodi i superviziju operativnog rizika, odnosno provjeru i procjenu

uspostavljenosti sustava upravljanja operativnim rizikom u kreditnim institucijama i ocjenjuje

njegovu primjerenost pojedinoj kreditnoj instituciji uzimajući u obzir vrstu, opseg i složenost

poslovanja i općenito profil rizičnosti za operativni rizik. HNB pritom osobito provjerava

kako kreditna institucija kvalitativno i kvantitativno utvrđuje, procjenjuje i mjeri svoj profil

rizičnosti za operativni rizik, a kreditna institucija u praksi supervizora uvjerava i dokazuje

mu da svojim sustavom mjerenja i upravljanja operativnim rizikom sustavno i cjelovito

obuhvaća sve rizike kojima je kreditna institucija izložena ili bi to mogla biti te da poduzima

adekvatne mjere u svrhu ovladavanja operativnim rizikom. Nadalje, HNB provjerava u kojoj

je mjeri sustav mjerenja operativnog rizika integriran u svakidašnje procese upravljanja

rizicima te koristi li se rezultat sustava mjerenja u procesu donošenja odluka te unapređivanju

poslovnih procesa i sustava unutarnjih kontrola. U sklopu navedenoga HNB također

provjerava i procjenjuje razinu i trend izloženosti operativnom riziku.

2. ORGANIZACIJA I PROVOĐENJE VALIDACIJE

Sam proces validacije, odnosno supervizorske procjene ima za svrhu procjenu ispunjavanja

kvalifikacijskih uvjeta (kvalitativnih i kvantitativnih) za primjenu Naprednog pristupa za izračun

kapitalnog zahtjeva za operativni rizik (Odluka o adekvatnosti jamstvenoga kapitala kreditnih

institucija). Već prije početka procjene detalja sustava mjerenja i upravljanja operativnim rizikom

supervizor mora steći cjelokupnu sliku o instituciji. To podrazumijeva procjenu prikladnosti

organizacijske strukture u smislu uloga, odgovornosti i funkcija dodijeljenih u područjima

uključenima u mjerenje i upravljanje rizicima, potom procjenu dostatnosti odgovarajućih

6

resursa, procjenu praktičnosti i izvedivosti implementacijskog plana za primjenu (tzv. phased

roll-out) te procjenu grupne strukture sa svim supsidijima i njihovim specifičnostima. Prije

predavanja zahtjeva grupa treba provesti internu validaciju sustava mjerenja i upravljanja

operativnim rizikom kako bi provjerila jesu li ispunjeni kvalifikacijski uvjeti i kako bi testirala

primjenu tog sustava. Supervizori procjenjuju sljedeća područja:

1) metodologiju i dokumentaciju, u sklopu koje se provjerava i procjenjuje metodologija

mjerenja rizika i kvaliteta dokumentacije koja podržava metodologiju

2) kvalitetu podataka, u sklopu koje se procjenjuje kvaliteta podataka i baza koji se rabe u

sustavu mjerenja, uključujući četiri elementa Naprednog pristupa, a sve to radi osiguravanja

pouzdanosti skupa podataka koji se rabe za procjenu te točnosti izračuna

3) kvantitativne procedure, u sklopu kojih se procjenjuju razumnost i robustnost pretpostavki i

tehnika koje se primjenjuju za modeliranje internih podataka, integraciju internih i eksternih

podataka, generiranje analiza scenarija te uključivanje činitelja poslovnog okružja i sustava

unutarnjih kontrola u sustav mjerenja. U sklopu navedenoga ocjenjuju se navedeni parametri i

provedena unutarnja validacija te se raspravlja s grupom o tumačenju podataka.

4) kvalitativne procedure, u sklopu kojih supervizori procjenjuju test primjene, interno

upravljanje, ulogu višeg rukovodstva, prikladnost unutarnjih kontrola te druga područja radi

procjene procesa upravljanja operativnim rizikom i kvalitativnih aspekata sustava mjerenja

5) tehnološko okružje, u sklopu kojeg supervizori procjenjuju pouzdanost i integraciju sustava,

funkcionalnost modela i kvalitetu informacija koje sustav osigurava.1

Specifičnosti provjere ispunjavanja kvalifikacijskih uvjeta za primjenu Naprednog pristupa

Povezano s ispunjavanjem kvalitativnih i kvantitativnih uvjeta za primjenu Naprednog pristupa,

kreditne institucije često, posebice u uvjetima primjene Naprednog pristupa na razini grupe,

postavljaju pitanje je li neke kvalifikacijske uvjete moguće ispuniti samo na razini grupe,

odnosno koji se od uvjeta navedenih u Poglavlju 3. mogu ispuniti na zajedničkoj osnovi, a koji

samostalno. U tom smislu posebno dolazi do izražaja osobitost mjerenja operativnog rizika koja

1 CEBS, GL 10 (travanj 2006.), str. 21.-25.

7

se odnosi na podatke i metode koji se primjenjuju u određivanju razdioba i modeliranju

operativnog rizika, a koja je opisana u Poglavlju 3. Upravo zbog toga Basel II i Direktiva o

kapitalnim zahtjevima ostavile su mogućnost ispunjavanja određenih uvjeta na grupnoj razini ne

određujući koji se konkretni uvjeti mogu ispuniti na kojoj razini, i to kako ne bi nepotrebno

ograničila grupe kreditnih institucija pri uspostavljanju sustava mjerenja operativnog rizika.

U vezi s navedenim važno je istaknuti da je kreditna institucija u skladu s hrvatskim propisima

dužna ispuniti sve kvalitativne i kvantitativne uvjete za primjenu Naprednog pristupa. Od

kreditne institucije se, u okviru ispunjavanja uvjeta, očekuje da se služi metodama i

postupcima koji su prikladni za vrstu, opsegu i složenost poslovanja te je pritom kreditna

institucija dužna uvijek i bez iznimke svojim sustavom mjerenja i upravljanja operativnim

rizikom obuhvatiti sve izloženosti operativnom riziku uzimajući u obzir specifičnosti profila

rizičnosti kao i definiranu sklonost preuzimanju rizika.

Prema članku 128. stavku 3. Zakona o kreditnim institucijama o razini ispunjavanja uvjeta na

zajedničkoj osnovi dogovaraju se nadležna tijela konsolidirajućeg supervizora i nadležna

supervizorska tijela za članice grupe banaka, uzimajući u obzir vrstu, opseg i složenost

poslovanja kreditne institucije i grupe banaka te obuhvat izloženosti operativnom riziku.

Kao što je navedeno u uvodu ovog poglavlja, HNB pritom posebno provjerava kako kreditna

institucija kvalitativno i kvantitativno procjenjuje i mjeri svoj profil rizičnosti za operativni

rizik te kako u praksi dokazuje da svojim sustavom mjerenja i upravljanja operativnim

rizikom obuhvaća sve izloženosti operativnom riziku u kontekstu ispunjavanja uvjeta

neovisno o tome ispunjava li i u kojoj mjeri određene uvjete na zajedničkoj osnovi. Nadalje,

HNB provjerava koliko je sustav mjerenja operativnog rizika integriran u svakidašnje procese

upravljanja rizicima te služi li se rezultatom sustava mjerenja pri donošenju odluka te

unapređenju poslovnih procesa i sustava unutarnjih kontrola. Slijedom navedenoga, a

posebice imajući na umu relevantnu svjetsku i domaću praksu u primjeni Naprednog pristupa,

HNB očekuje ispunjavanje kvantitativnih uvjeta, a osobito uvjeta koji se odnose na korištenje

svih četiriju elemenata, na pojedinačnoj osnovi.

Međutim, kreditna institucija može određene kvantitativne uvjete (npr. uvjete za čije je

ispunjavanje potrebno koristiti se velikom količinom podataka koja se može osigurati samo na

8

razini grupe kreditnih institucija i provoditi složene statističke analize i modeliranje na osnovi

tih podataka) ispunjavati na zajedničkoj osnovi ako dokaže da se ti uvjeti ne mogu primjereno

ispuniti na pojedinačnoj osnovi (npr. zbog toga što za to realno ne postoje uvjeti i resursi),

odnosno da ispunjavanje tih uvjeta na zajedničkoj osnovi unapređuje mjerenje i upravljanje

operativnim rizikom u kreditnoj instituciji.

Također, HNB očekuje da su svi kvalitativni uvjeti ispunjeni na pojedinačnoj osnovi. Iznimno

od navedenog-a, HNB može, ako je to opravdano vrstom, opsegom i složenošću poslovanja,

dopustiti ispunjavanje određenih kvalitativnih uvjeta na zajedničkoj osnovi ako kreditna

institucija može dokazati da ispunjavanje tih uvjeta na zajedničkoj osnovi unapređuje

upravljanje operativnim rizikom u kreditnoj instituciji.

U smislu svega navedenoga supervizori u Europskoj uniji, koji svoje stavove usklađuju pod

okriljem CEBS-a, očekuju da kreditna institucija pridonosi ispunjavanju uvjeta na zajedničkoj

osnovi u najvećoj mogućoj mjeri koju je realno očekivati.

Povezano s mogućnošću alociranja centralno modeliranoga i izračunatoga kapitalnog zahtjeva

za operativni rizik supervizori zahtijevaju, i očekuju da se to provede u realnom roku, da

mehanizmi raspoređivanja (alociranja) kapitalnog zahtjeva uvažavaju profil rizičnosti za

operativni rizik kreditne institucije, odnosno da su u odgovarajućoj mjeri osjetljivi na rizik te

da ih kreditna institucija odnosno grupa banaka kontinuirano provjerava i unapređuje.

Nakon procjene donosi se zajednička odluka lokalnih i konsolidirajućih supervizora, nakon

što su, u skladu s Direktivom o kapitalnim zahtjevima, supervizori u procesu konzultacija i

zajedničkim radom donijeli odluku i eventualne uvjete koje grupa treba ispuniti. U sklopu

procesa donošenja zajedničke odluke, koji službeno traje šest mjeseci, supervizori trebaju

napraviti sve u svojoj moći da postignu dogovor i donesu zajedničku odluku. Zajednička

odluka uobličuje se u dokumentom koji sadržava potpuno obrazloženu odluku te uzima u

obzir stajališta i eventualne ograde drugih supervizora. Zajedničku odluku treba razlikovati od

odobrenja kojom pojedine zemlje članice EU implementiraju zajedničku odluku u svoju

jurisdikciju.

9

3. POSTUPCI PROVOĐENJA VALIDACIJE

Validacija Naprednog pristupa za izračun kapitalnog zahtjeva za operativni rizik u kreditnim

institucijama provodi se na osnovi kvalitativnih i kvantitativnih informacija koje supervizori

prikupljaju i analiziraju. Informacije potrebne za donošenje zaključaka i ocjenjivanje

upravljanja operativnim rizikom uglavnom se prikupljaju u izravnim nadzorima, neizravnim

nadzorima analizom regulatornih izvješća, u dijalogu s kreditnom institucijom te dijalogu s

lokalnim supervizorom. Dijalog s kreditnom institucijom obavlja se na različitim vertikalnim i

horizontalnim razinama i uključuje: upravu, voditelja i djelatnike funkcije kontrole rizika

(zaduženih za upravljanje operativnim rizicima), unutarnju reviziju, voditelja sigurnosti

informacijskog sustava, zaposlenike zadužene za poslovne promjene i upravljanje projektima,

voditelje i vodeće specijaliste iz poslovnih segmenata, voditelja organizacijske jedinice za

informacijsku tehnologiju, zaposlenike zadužene za upravljanje ljudskim resursima i sudske

sporove te druge djelatnike za koje supervizori ocijene da je potrebno.

Pri provjeri i procjeni uspostavljenosti sustava upravljanja operativnim rizikom u kreditnim

institucijama i ocjenjivanju njegove primjerenosti za pojedinu kreditnu instituciju supervizori

razmatraju sljedeća područja: organizacijsku strukturu uključujući uloge i odgovornosti;

resurse i kulturu rizika; strategije, politike i ostale interne akte; proces upravljanja operativnim

rizikom te upravljanje kontinuitetom poslovanja.

3.1. Dokumenti koje supervizori pregledavaju u sklopu procjene sustava upravljanja operativnim rizicima odnosno validacije

Dokumenti koje supervizori pregledavaju u sklopu procjene sustava upravljanja operativnim

rizicima odnosno validacije uključuju:

dokumentaciju o sustavu upravljanja operativnim rizikom i kvalifikacijskim uvjetima (ako

je primjenjivo), koja uključuje:

– detaljan opis organizacijskog ustroja i sustava upravljanja operativnim rizikom, a

osobito u odnosu na podjelu poslova i odgovornosti povezanih s upravljanjem

operativnim rizikom u kontekstu upravljanja rizicima i kreditnom institucijom u cjelini

– detaljan opis strategija za ovladavanje operativnim rizicima i pristupa za utvrđivanje

i procjenjivanje tih rizika

10

– opis sustava praćenja i izvještavanja o operativnom riziku

– opis procesa upravljanja kontinuitetom poslovanja

– opis procesa upravljanja promjenama i upravljanja projektima s naglaskom na novim

proizvodima i uslugama te poslovne promjene općenito

dokumentaciju o sustavu mjerenja operativnih rizika, koja uključuje:

– opis uspostavljenog procesa za utvrđivanje, procjenu, ovladavanje i praćenje

operativnog rizika

– opis uspostavljenog procesa za prikupljanje, klasifikaciju i pohranjivanje internih i

eksternih podataka te procesa odabira, provođenja i korištenja u modelu analiza

scenarija i faktora poslovnog okružja i sustava unutarnjih kontrola (ako je primjenjivo)

– detaljne informacije o primijenjenim modelima te opise prihvaćenih metoda za

utvrđivanje i mjerenje korelacija (ako je primjenjivo)

– opis strategija i politika koje se odnose na utjecaj polica osiguranja i drugih

mehanizama za prijenos rizika

– dokumentaciju koja se odnosi na organizaciju procesa i postupke interne validacije te

izvješće o provedenoj internoj validaciji (ako je primjenjivo)

– dokumentaciju o izvedbi sustava mjerenja i upravljanja operativnim rizikom kroz

informacijski sustav

– dokumentaciju koja se odnosi na integriranje sustava mjerenja operativnog rizika u

upravljanje rizicima te korištenje rezultata sustava mjerenja operativnog rizika u

procesu donošenja odluka, unapređenju poslovnih procesa i sustava unutarnjih kontrola

dokumentaciju koja obuhvaća postojeća izvješća o profilu rizičnosti kreditne institucije ili

upućuje na kvalitetu upravljanja operativnim rizikom, a koja uključuje:

– zapisnike/dokumentaciju sa sastanaka uprave i nadzornog odbora koji se odnose na

upravljanje operativnim rizikom

–zapisnike/dokumentaciju sa sastanaka odbora za upravljanje operativnim rizikom (ako

je primjenjivo)

– zapisnike/dokumentaciju/izvješća unutarnje revizije

– izvješća funkcije kontrole rizika koja prikazuju izloženost operativnom riziku, i

redovite i izvanredne analize

– izvješća/dokumentaciju o procjeni operativnog rizika (centralizirana i

decentralizirana po poslovnim segmentima).

11

3.2. Organizacijska struktura, uloge i odgovornosti te kultura

U ovom dijelu izloženi su neki od kriterija prema kojima supervizor procjenjuje primjerenost

sustava upravljanja operativnim rizikom i određuje ocjenu. Kriteriji su navedeni prema

određenim područjima.

Organizacijski ustroj ponajprije se procjenjuje u kontekstu organizacije upravljanja

operativnim rizikom. Međutim, imajući na umu svojstvenost operativnog rizika svim

aktivnostima, procesima, proizvodima i sustavima kreditne institucije, izvore operativnog

rizika u kontekstu njegove definicije te povezanost s unutarnjim kontrolama i internim

upravljanjem u cjelini, iznimno je važno provjeriti organizacijski ustroj u cjelini. Naravno, u

obzir se uzimaju brojni izvori informacija uključujući i mišljenje unutarnje revizije.

Organizacijski ustroj

Uspostavljen je primjeren organizacijski ustroj s točno utvrđenim, jasnim i razgraničenim

ovlastima i odgovornostima među radnicima.

Organizacijskim ustrojem omogućena je učinkovita komunikacija i suradnja na svim

organizacijskim razinama, uključujući primjeren tijek informacija u kreditnoj instituciji.

Sukob interesa u najvećoj je mogućoj mjeri ograničen i/ili spriječen.

Pravodobno se utvrđuju područja poslovanja na kojima je moguć sukob interesa te

kreditna institucija osigurava da se to na odgovarajući način spriječi u bilo kojem obliku.

Nužno je da postoji odgovarajuća analiza, primjerice usklađenosti, te da je sprječavanje

sukoba interesa predmet redovitoga i izvanrednoga unutarnjeg revidiranja.

Organizacijskim ustrojem uspostavljen je jasan i dokumentiran proces donošenja odluka.

Navedeno se obvezno provjerava na konkretnim primjerima pri donošenju ključnih odluka

u sustavu upravljanja.

Organizacijski ustroj odražava činjenicu da je operativni rizik distribuiran u cjelokupnom

poslovanju te u tom smislu obuhvaća i centralnu komponentu, koja, općenito govoreći,

usmjerava, koordinira, analizira i nadzire operativni rizik i upravljanje njime te

decentraliziranu komponentu, koja je zadužena za konkretnu primjenu i provođenje

upravljanja u svakodnevnom poslovanju u svom poslovnom području.

Organizacijski ustroj sustava upravljanja operativnim rizikom obuhvaća sve relevantne

razine u poslovanju kreditne institucije, i to:

12

– nadzorni odbor

– upravu kreditne institucije

– odbor za upravljanje operativnim rizikom

– rukovodstvo poslovnih linija

– kontrolne funkcije, poglavito funkciju kontrole rizika, unutarnju reviziju i funkciju

praćenja usklađenosti

– specijalizirane funkcije, primjerice voditelja sigurnosti informacijskog sustava

– sve zaposlenike kreditne institucije.

Organizacijske jedinice, funkcije i zaposlenici uključeni u sustav upravljanja operativnim

rizikom jasno razumiju svoju ulogu, razine ovlaštenja i odgovornosti unutar sustava

upravljanja operativnim rizikom. Centralna funkcija, poglavito funkcija kontrole rizika,

može pomoći upravi i višem rukovodstvu pri razumijevanju i upravljanju operativnim

rizikom.

Sve relevantne razine sustava upravljanja operativnim rizikom uključujući radnike sa

specifičnim zaduženjima i odgovornostima razumiju da svi radnici kreditne institucije

imaju svoju ulogu u upravljanju operativnim rizikom.

Nadzorni odbor

Nadzorni odbor prikladno je uključen u sustav upravljanja operativnim rizikom u kreditnoj

instituciji.

Nadzorni odbor daje suglasnost upravi na strategiju i politike upravljanja operativnim

rizikom, osnovni organizacijski ustroj kreditne institucije te politiku plaća i nagrađivanja.

Nadzorni odbor mora biti obaviješten o sustavu upravljanja i izloženostima operativnom

riziku.

Uprava

Zaduženja i odgovornosti članova uprave prikladno su podijeljeni te je jedan član uprave

nadležan za upravljanje rizicima uključujući i operativni rizik.

Uprava razumije osnovne aspekte operativnog rizika i profila rizičnosti kreditne institucije

kao posebne kategorije rizika kojom treba upravljati.

13

Uprava kreditne institucije određuje strategiju upravljanja operativnim rizikom koja je u

skladu sa strategijom i poslovnim ciljevima kreditne institucije.

Uprava kreditne institucije promiče te uspostavlja jasne i dosljedne unutarnje odnose u

vezi s odgovornošću uključujući razgraničenja ovlasti i odgovornosti između nadzornog

odbora, uprave, odbora koje je imenovala i višeg rukovodstva.

Uprava kreditne institucije odobrava i periodično pregledava i usklađuje strategiju,

osnovne politike i organizacijski ustroj s pripadajućim ulogama i odgovornostima te

nadzire okvir za upravljanje operativnim rizikom u cjelini.

Redovito pregledava izvještaje o profilu rizičnosti za operativni rizik koji uključuju

utvrđene velike rizike i moguće posljedice za kreditnu instituciju.

Uprava kreditne institucije osigurava da više rukovodstvo poduzima potrebne aktivnosti za

implementaciju propisanih politika, drugih internih akata te uspostavu procesa.

Uprava kreditne institucije na prikladan način, mjerama, aktivnostima i općenito okvirom i

okolinom upravljanja promiče i uspostavlja odgovarajuću kulturu operativnog rizika.

Više rukovodstvo

Više rukovodstvo ima odgovornost i provodi strategije, politike i cjelokupni okvir za

upravljanje operativnim rizikom.

Više rukovodstvo uspostavlja proces upravljanja rizicima u području svojih zaduženja

uključujući uspostavljanje procedura te izradu uputa i smjernica za obavljanje poslovnih

aktivnosti kreditne institucije iz kojih proizlaze izloženosti rizicima. Također, dodjeljuje

potrebna ovlaštenja, zaduženja i odgovornosti potrebne za provedbu okvira.

Više rukovodstvo aktivno sudjeluje u procesu upravljanja operativnim rizikom, a

poglavito daje svoj doprinos u utvrđivanju i procjeni operativnog rizika te provjeri

djelotvornosti sustava unutarnjih kontrola i u svom području odgovornosti i na razini

cijelog poslovanja kreditne institucije kroz primjenu zajedničkih radionica ili uspostavu

odbora.

Više rukovodstvo poduzima odgovarajuće radnje kako bi osiguralo da je okvir za

upravljanje, uključujući i uloge i odgovornosti, razumljiv zaposlenicima te procjenjuje

primjerenost okvira s obzirom na inherentni rizik u poslovnim aktivnostima.

Kreditna institucija je osigurala odgovarajuće resurse za provedbu okvira (ljudi i sustavi),

što podrazumijeva broj i njihovu osposobljenost u smislu iskustva i stručnih znanja.

14

Kreditna institucija je osigurala učinkovitu komunikaciju zaposlenika odgovornih za

upravljanje operativnim rizikom sa zaposlenicima odgovornima za upravljanje kreditnim,

tržišnim i drugim rizicima, kao i svim drugim zaposlenicima s obzirom na distribuiranost

procesa upravljanja operativnim rizicima.

Rukovodstvo poslovnih linija

S obzirom na primarnu odgovornost za svakodnevno upravljanje i izvještavanje o

operativnim rizicima u svom području odgovornosti, rukovodstvo poslovnih linija je u

suradnji s višim rukovodstvom i centralnom funkcijom uspostavilo u svom području

odgovornosti odgovarajući okvir za upravljanje operativnim rizikom.

Rukovodstvo poslovnih linija osiguralo je odgovarajuće politike, procese, procedure i

resurse za upravljanje operativnim rizikom u svim značajnim aktivnostima, proizvodima,

procesima i sustavima te implementaciju okvira za upravljanje u skladu s vrstom,

opsegom i složenošću poslovanja i inherentnim rizikom u predmetnoj poslovnoj liniji. Ne

dovodeći u pitanje specifičnost poslovnog područja, okvir mora biti u skladu s okvirom za

upravljanje operativnim rizikom na razini institucije.

S obzirom na distribuiranu pojavnost operativnog rizika i posljedično sustava upravljanja,

kreditna je institucija osigurala da vodeći specijalisti i/ili drugi zaposlenici pojedine

poslovne linije imaju svoju ulogu u razvoju, izradi i primjeni sustava na lokalnoj razini te

je s tim u vezi osigurala odgovarajuću suradnju s centralnom funkcijom i po potrebi s

drugim funkcijama.

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika)

Imajući na umu različite mogućnosti organiziranja sustava upravljanja rizicima centralna

funkcija upravljanja operativnim rizikom, ili barem jedan njezin dio, može aktivno odlučivati

i preuzimati rizik, ali se od kreditne institucije zahtijeva da uspostavi i nezavisnu funkciju

kontrole rizika čiji su zadaci propisani i izloženi u ovom poglavlju.

15

Kreditna institucija uspostavila je stalnu i djelotvornu funkciju kontrole rizika neovisnu o

poslovnim procesima i aktivnostima u kojima rizik nastaje odnosno koje prati i nadzire u

skladu sa svojom veličinom te vrstom, opsegom i složenošću poslovanja prema svom

profilu rizičnosti. Dio poslova koje obavlja funkcija kontrole rizika odnosi se na sustav

upravljanja operativnim rizikom.

Kreditna institucija periodično, a najmanje jedanput godišnje, preispituje primjerenost

postupaka te djelotvornost funkcije kontrole operativnog rizika.

Kreditna institucija je internim aktom propisala za funkciju kontrole (operativnog) rizika

najmanje sljedeće:

– ciljeve, opseg i način rada kontrolne funkcije

– organizacijski ustroj i ulogu kontrolne funkcije

– položaj kontrolne funkcije unutar kreditne institucije i mjere za osiguranje

neovisnosti

– ovlasti, odgovornosti i odnose s ostalim organizacijskim dijelovima te međusobni

odnos s drugim kontrolnim funkcijama

– pravo pristupa podacima i informacijama

– dužnosti i odgovornosti osobe odgovorne za rad kontrolne funkcije kao cjeline i

– sustav izvještavanja.

Kreditna institucija je u skladu sa svojom veličinom, vrstom, opsegom i složenošću

poslovanja za obavljanje poslova funkcije kontrole (operativnog) rizika osigurala dostatan

broj osoba koje imaju odgovarajuće stručno znanje i iskustvo.

Funkcija kontrole (operativnog) rizika donijela je godišnji plan rada zasnovan na

dokumentiranoj procjeni rizika.

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika) sudjeluje u

razvoju, izradi i primjeni strategija, politika i procedura za upravljanje operativnim

rizikom. Također, sudjeluje u razvoju i implementaciji metodologije procjene i mjerenja

operativnog rizika za kreditnu instituciju.

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika) sudjeluje u

nadzoru nad primjenom metoda, postupaka i modela u sklopu sustava upravljanja

operativnim rizikom.

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika) koordinira

aktivnosti upravljanja operativnim rizikom na razini cijele kreditne institucije.

16

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika) razvija i

implementira sustav izvješćivanja o izloženosti operativnom riziku te konsolidira/integrira

izvješća za potrebe uprave kreditne institucije.

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika) provodi i

koordinira edukaciju te daje odgovarajuće savjete poslovnim segmentima u vezi s

upravljanjem operativnim rizikom.

Centralna funkcija upravljanja operativnim rizikom (funkcija kontrole rizika) usko

surađuje s unutarnjom revizijom, funkcijom praćenja usklađenosti te ostalim funkcijama i

organizacijskim jedinicama radi primjerene primjene sustava upravljanja operativnim

rizikom.

Osim svega navedenoga kreditna institucija u sklopu funkcije kontrole (operativnog) rizika

osigurala je obavljanje najmanje sljedećih poslova:

– analize rizika koje uključuju utvrđivanje i mjerenje, odnosno procjenjivanje rizika

kojima jest ili kojima bi mogla biti izložena kreditna institucija u svom poslovanju

– praćenja svih većih rizika kojima je kreditna institucija izložena

– provođenja testiranja otpornosti na stres

– provjere primjene i djelotvornosti metoda i postupaka za upravljanje rizicima kojima

jest ili kojima može biti izložena, uključujući rizike iz makroekonomskog okružja

– ispitivanja i vrednovanja adekvatnosti i djelotvornosti unutarnjih kontrola u procesu

upravljanja rizicima

– ocjene adekvatnosti i dokumentiranosti metodologije za upravljanje rizicima

– davanja prijedloga i preporuka za primjereno upravljanje rizicima

– analize, praćenja i izvješćivanja o adekvatnosti internoga kapitala kreditne institucije

te provjere strategija i postupaka ocjenjivanja potrebnoga internoga kapitala

– analize rizika prisutnih kod novih proizvoda ili novih tržišta

– izvješćivanja nadzornog odbora i uprave o upravljanju rizicima

– izvješćivanja nadzornog odbora i uprave o svom radu

– provođenja ostalih provjera koje su potrebne za adekvatnu kontrolu rizika.

Unutarnja revizija

Unutarnja revizija revidira sustav upravljanja operativnim rizicima i daje ocjenu o

njegovoj djelotvornosti i primjerenosti uzimajući u obzir i njegovu primjenu. Navedeno

17

podrazumijeva revidiranje svih sastavnica sustava kao i organizaciju i aktivnosti centralne

funkcije i poslovnih linija.

Kreditna institucija je osigurala da su obuhvat i učestalost revizija u skladu s profilom

rizičnosti. Unutarnja revizija stavlja poseban naglasak i na primjenu politika, metodologija

i procedura, odnosno cijelog sustava u praksi.

Unutarnja revizija u sklopu svojih redovnih aktivnosti revizije poslovnih područja

provjerava i primjenu sustava upravljanja operativnim rizikom u smislu njegove

djelotvornosti i primjerenosti te u skladu sa svojim metodologijama provjerava i

izloženost kreditne institucije operativnom riziku. U donošenju zaključaka o navedenome

unutar pojedinog područja unutarnja revizija uzima u obzir sve utvrđene nedostatke i

slabosti te nepravilnosti i nezakonitosti kao i obilježja profila rizičnosti za operativni rizik

općenito.

Unutarnja revizija uključila je u svoju metodologiju zasnovanu na procjeni rizika i

operativni rizik te je izradila detaljniju metodologiju/program za reviziju cjelokupnog

sustava upravljanja operativnim rizikom.

Zaposlenici

Kreditna institucija je osigurala odgovarajući broj zaposlenika sa stručnim znanjem i

iskustvom, u skladu s vrstom, opsegom i složenošću poslovanja te ustrojem sustava

upravljanja operativnim rizikom te je definirala ključne zaposlenike u sustavu upravljanja

operativnim rizikom, zamjenu za ključne zaposlenike i odgovarajuću politiku plaća.

Kreditna institucija je donijela godišnji plan obrazovanja koji sadržava plan edukacije

zaposlenika u vezi s operativnim rizikom. U plan edukacije uključeni su svi zaposlenici

koji sudjeluju u procesu upravljanja i izvještavanja o operativnom riziku, ali po potrebi i

drugi zaposlenici u skladu s promicanjem odgovarajuće kulture operativnog rizika.

Kreditna institucija je osigurala da su uloge zaposlenika zaduženih za određene aktivnosti

u sustavu upravljanja operativnim rizikom, kao što su utvrđivanje i praćenje rizika ili

izvještavanje o usklađenosti, na odgovarajući način neovisne o poslovnim linijama za koje

su zaposlenici zaduženi (kvaliteta i pouzdanost njihova utvrđivanja i procjene nije

uvjetovana njihovom općenitom ulogom u poslovnoj liniji).

18

Organizacijska kultura operativnog rizika

Kreditna institucija je osigurala da su zaposlenici na svim razinama jasno upoznati sa

svojim ovlastima, ulogama i odgovornostima u sustavu upravljanja operativnim rizikom.

Također relevantni zaposlenici jasno su upoznati s poslovnim ciljevima i sklonošću

preuzimanju rizika.

Uprava i više rukovodstvo svojim djelovanjem daju punu potporu i inicijativu u primjeni

sustava upravljanja operativnim rizikom. Također više rukovodstvo ima aktivnu ulogu u

procesu upravljanja operativnim rizikom.

Organizacijska kultura rizika utemeljena je na visokim profesionalnim standardima i

etičkim normama poslovanja.

Poslovne i aktivnosti u sklopu upravljanja operativnim rizikom provode zaposlenici s

odgovarajućim stručnim znanjem i iskustvom.

Kreditna institucija je uspostavila takvu okolinu upravljanja operativnim rizikom da

zaposlenici mogu otvoreno raspravljati o činjenicama vezanima uz operativni rizik bez

straha od negativnih posljedica.

Uprava, više rukovodstvo i rukovodstvo poslovnih linija stvorili su takvo okružje gdje je

zaposlenicima zaista stalo do otkrivanja i boljeg upravljanja operativnim rizikom, što

naposljetku povećava kvalitetu poslovanja. Također, internim aktima određeno je da su

više rukovodstvo i rukovodstvo poslovnih linija primarno odgovorni za upravljanje

operativnim rizikom.

3.3. Strategija, politike i ostali interni akti

Donesena je strategija2 upravljanja operativnim rizikom, samostalno ili kao dio

sveobuhvatne strategije upravljanja rizicima u kreditnoj instituciji.

U sklopu strategije određena je sklonost preuzimanju operativnog rizika barem u

osnovnim principima.

2 Kreditne institucije često elemente strategije rasporede u nekoliko internih akata te su navedeni kriteriji obuhvaćeni Politikom upravljanja operativnim rizikom.

19

Strategija minimalno obuhvaća ciljeve i osnovna načela preuzimanja i upravljanja

operativnim rizikom. U sklopu navedenoga kreditna je institucija uzela u obzir inherentni

rizik u svom poslovanju.

Strategija upravljanja operativnim rizikom usklađuje se s poslovnom strategijom kreditne

institucije.

Strategiju upravljanja operativnim rizikom donijela je uprava kreditne institucije, a

nadzorni odbor je dao suglasnost.

Kreditna institucija je uspostavila mehanizam kojim se strategija upravljanja rizicima

revidira.

Donesene su politike i ostali interni akti kojima se detaljno uređuje sustav upravljanja

operativnim rizikom.

Politike, pravilnici i ostali interni akti uzimaju u obzir da je operativni rizik svojstven svim

aktivnostima, procesima, proizvodima i sustavima te detaljno propisuju elemente sustava

upravljanja operativnim rizikom i uključuju najmanje:

– definiciju operativnog rizika u skladu s definicijom iz Zakona o kreditnim

institucijama, uključujući i tipove i/ili obilježja rizika kojima je kreditna institucija

izložena

– definiciju značajnoga operativnog rizika i značajnoga gubitka od operativnog rizika

– određivanje sklonosti preuzimanju operativnog rizika

– uloge te jasne linije ovlasti i odgovornosti za upravljanje operativnim rizikom u

kreditnoj instituciji uvažavajući posebnosti operativnog rizika kao što je njegova

distribuiranost

– metodologiju, uključujući načela, kriterije, načine i postupke utvrđivanja i mjerenja

odnosno procjenjivanja rizika kojem je kreditna institucija izložena ili bi mogla biti

izložena

– načela utvrđivanja i klasificiranja događaja operativnog rizika i izvora operativnog

rizika u aktivnostima, procesima i sustavima kreditne institucije za potrebe mjerenja i

procjene operativnog rizika

– principe, postupke i kriterije za ovladavanje operativnim rizikom

– postupke praćenja operativnog rizika i izvještavanja o izloženosti operativnom riziku

– provođenje analiza velikih gubitaka i provođenja odgovarajućih mjera u slučaju

njihove pojave

20

– uključivanje rezultata mjerenja i praćenja rizika u svakodnevno poslovanje kreditne

institucije

– procedure i mjere ako dođe do odstupanja od primjene donesenih politika i postupaka

– procedure i mjere ako dođe do kriznih situacija

– ako je primjenjivo, upravljanje rizicima unutar grupe.

Donesene su dodatne politike i procedure povezane s upravljanjem operativnim rizikom za

svako pojedino područje poslovanja kreditne institucije, a u skladu s osnovnim, krovnim

politikama upravljanja operativnim rizikom. Primjerice, dodatni interni akti mogu

uključivati upravljanje operativnim rizikom u procesima poslovanja s građanstvom

(blagajne, depoziti, krediti), poslovanja riznice, centraliziranog obavljanja pozadinskih

poslova (back officea) i slično.

Krovne politike upravljanja operativnim rizikom podržane su internim aktima koji

reguliraju upravljanje operativnim rizikom u specifičnim područjima kao što su:

eksternalizacija, sprječavanje pranje novca i financiranja terorizma, novi proizvodi i

poslovne promjene, poznavanje i odabir klijenata kreditne institucije, informacijski

sustavi, planiranje kontinuiteta poslovanja i slično.

Politike i ostali interni akti u pisanom su obliku, jasno definirani i dokumentirani te

dostupni svim zaposlenicima kreditne institucije koji su uključeni u sustav upravljanja

operativnim rizikom.

Politike i ostali interni akti revidiraju se najmanje jednom godišnje ili češće ako dođe do

znatnije promjene izloženosti operativnom riziku.

3.4. Ispunjavanje kvalifikacijskih kriterija za primjenu Naprednog pristupa

Suština procesa validacije odnosno supervizorske procjene jest procjena ispunjavanja

kvalifikacijskih uvjeta (kvalitativnih i kvantitativnih) za primjenu Naprednog pristupa za izračun

kapitalnog zahtjeva za operativni rizik (Zakon o kreditnim institucijama i Odluka o adekvatnosti

jamstvenoga kapitala kreditnih institucija).

U tom smislu korisno je ispuniti radni papir 1. Vodič za validaciju u Poglavlju 4. Privici (Privitak

1. Vodič za validaciju).

21

4. PRIVICI

Privitak 1. Vodič za validaciju

Korištene kratice:

OAK – Odluka o adekvatnosti jamstvenoga kapitala kreditnih institucija (NN, br. 1/2009.,

41/2009., 75/2009. i 2/2010.)

GL 10 – Smjernice za implementaciju, validaciju i ocjenjivanje Naprednog pristupa (AMA) i

pristupa zasnovanog na internim rejting sustavima (IRB), CEBS, travanj 2006.