Финансовый сектор
Ваша организация изменилась. А система управления рисками?
Новые каналы, новые вендоры, новые модели, новые риски. ИИ уже в контуре принятия решений. Риск сместился. Но многие системы управления по-прежнему описывают организацию такой, какой она была. Реестр фиксирует известные риски. Он не покажет того, что система изначально не была рассчитана увидеть.
Почему разрыв продолжает расти
Финансовые организации модернизируются быстрее, чем когда-либо в своей истории. Мгновенные платежи, переводы между счетами, цифровой онбординг, скоринг и антифрод появились за считанные годы — часто в сроки, установленные регулятором, когда на проектирование контроля вместе с системой времени просто не оставалось.
Одновременно перебои перестали быть исключением. Кибератаки, сбои у поставщиков, изменения санкционного режима, отказы инфраструктуры и геополитические события прерывают работу достаточно часто, чтобы непрерывность стала условием деятельности, а не планом на случай. Вопрос уже не в том, произойдёт ли сбой, а в том, какие услуги нельзя останавливать и на какой срок.
ИИ усилил и то, и другое. Он всё чаще находится внутри продуктов поставщика, а не в системах, разработанных самой организацией; он принимает или формирует решения, которые никто в риск-функции не согласовывал; и он приносит новые виды отказов — дрейф модели, непрозрачность, зависимость от модели провайдера, — под которые действующие системы управления не строились.
При этом от риск-функции ожидают, что она будет успевать — с унаследованной методологией, с ответственностью за системы, о внедрении которых её не спрашивали, и с циклами отчётности, рассчитанными на более медленную организацию. Сильные команды работают инструментами, созданными для другой задачи.
Мелко, обыденно и дорого
Риск подключают после решения
Обоснование утверждено, поставщик выбран, сроки зафиксированы. И только потом риск-подразделение просят дать заключение. К этому моменту единственный возможный ответ — как снизить последствия уже принятого решения.
Контроли, не пережившие миграцию
В старом процессе были сверка, вторая подпись, ежедневная проверка. Новую систему тестировали на работоспособность, а не на контроль. Никто не сопоставил, что было раньше, с тем, что есть сейчас, — и разрыв обнаруживается только когда что-то идёт не так.
Поставщики, оценённые по прежней роли
Проверку провели при подключении, когда поставщик выполнял одну функцию. С тех пор его роль расширилась — больше данных, больше процессов, больше зависимости, — а оценку не повторяли. Концентрация нарастает незаметно.
Инциденты, не ставшие выводами
Что-то пошло не так, это устранили и закрыли. В журнал потерь не внесли, причины не разобрали, а слабое место осталось на прежнем месте. Организация не узнала ничего, чего не могла бы увидеть и раньше.
Реестр фиксирует известные риски. Он не покажет того, что система не была рассчитана увидеть.
Что мы делаем
Каждый проект имеет определённый результат — вопрос, на который стоит ответить. Большинство начинается с диагностики. Что будет дальше, зависит от того, что она покажет.
Риски изменений и трансформации
Миграции, новая платёжная инфраструктура, вывод функций на аутсорсинг и перестройка процессов — именно здесь рождаются пробелы в контроле. До изменения — оценка того, что может пойти не так и что нужно защитить. В ходе него — карта контролей, которые обязаны пережить переход. После — проверка того, какие из них действительно сохранились.
Время имеет значение: через полгода люди, знавшие, что именно изменилось, уже сменились, и проверка превращается в археологию.
Системы управления операционным риском
Система управления рисками есть почти у всех. Далеко не у всех она работает и приносит пользу. Работа включает анализ существующего в сравнении с Базельскими принципами, требованиями регулятора и международными стандартами, разработку недостающего и — ту часть, от которой обычно и зависит результат, — встраивание всего этого в то, как бизнес работает на деле.
Создаётся под организацию, а не адаптируется из шаблона. С учётом её структуры. С учётом её потребностей. При правильном подходе система перестаёт быть обязанностью по отчётности и становится тем, на чём руководство строит взвешенные, обоснованные решения.
Операционная устойчивость
План непрерывности есть почти у всех. Далеко не все могут сказать, какие услуги нельзя останавливать, на какой срок и что при этом произойдёт с клиентами. Именно этот вопрос начал задавать надзор, и это не тот вопрос, на который писался план непрерывности.
Планы, как правило, есть. В день инцидента они не срабатывают по обыденным причинам: их не тестировали, не обновили после последних изменений, они описывают организацию такой, какой она была раньше, либо в них не учтена зависимость, о которой никто не подумал. Задача — найти эти пробелы раньше, чем это сделает инцидент.
Определение услуг, которые нельзя останавливать, картирование их зависимостей, установление допустимых пределов простоя и построение мер восстановления, которые срабатывают при реальном отказе. Работа ведётся по структурированной методологии, а не с чистого листа.
Управление ИИ и технологиями
Банки управляют модельным риском не первый год. С ИИ задача другая. Модель всё чаще не ваша: она приходит внутри продукта поставщика, меняется после внедрения, и от неё требуют объяснений те, кто не видит, что у неё внутри. При этом системы начали действовать, а не только оценивать.
Работа состоит в том, чтобы определить, где ИИ входит в организацию, что именно он решает, как эти решения классифицируются и контролируются и кто отвечает, когда одно из них оказалось неверным. Реестр моделей и ИИ, классификация по уровню риска, оценка поставщиков и встроенного ИИ, а также структура управления, которую надзор рано или поздно запросит.
Это работа по управлению и распределению ответственности, а не статистическая валидация моделей. Вопросы надзора редко бывают математическими — они касаются полномочий, согласия и ответственности, то есть той области, где риск-практика встречается с договором и регулированием.
Аудит и тестирование контролей
Тестирование чаще всего подтверждает, что контроль существует. Реже — что он работает: что его выполнили, что выполнял человек, понимавший зачем, и что он поймал бы именно то, ради чего создавался.
Контроли чаще всего дают сбой на стыке функций, где процесс переходит из рук в руки, а ответственность — нет. Работа включает оценку дизайна и операционной эффективности контролей от начала до конца: выявление пробелов в ответственности, дублирования и контролей, которые больше не соответствуют масштабу и скорости риска. Контроли настраиваются так, чтобы их стоимость и трудозатраты оставались соразмерны достигаемому снижению риска, а тестирование концентрируется на ключевых контролях и зонах наибольшего остаточного риска.
Подготовка к надзорной проверке или внутреннему аудиту и независимая оценка в случаях, когда внутренней оценки недостаточно — потому что вывод должен исходить не от того подразделения, которое его готовило.
Включая оценку эффективности контроля ПОД/ФТ и санкционного комплаенса. Для организаций с корреспондентскими отношениями это редко бывает только вопросом комплаенса.
Обучение
Рабочие сессии, а не презентации, построенные под конкретную аудиторию. Риск-команды забирают методологию, с которой могут работать дальше. Совет и топ-менеджмент получают понимание того, какие вопросы задавать собственным подразделениям — прежде всего по технологиям и ИИ, где большинство пока задаёт не те вопросы. Сессии для сотрудников сосредоточены на том, что замечать и когда эскалировать: именно здесь инциденты либо выявляются, либо проходят мимо.
Системы управления рисками дают сбой не потому, что плохо спроектированы. Они дают сбой потому, что никто не понял, зачем они нужны. Культура, знания и осведомлённость — это то, что превращает систему из документа в то, чем организация действительно пользуется. И обычно именно на это никто не закладывал бюджет.
На чём это основано
Финансовый сектор — не смежная тема для этой практики. Это то, где прошла бо́льшая часть двадцати лет.
Standard Chartered
Руководитель управления корпоративного управления и контроля по всем операционным подразделениям, руководитель операций розничного бизнеса с примерно тридцатью подчинёнными, руководитель по рискам технологий и операций. Система операционного риска охватывала торговое финансирование, управление ликвидностью, карточный бизнес, кредитование и корпоративные операции — в организации, которая одновременно консолидировала бэк-офис в офшорный хаб, меняла системы и перестраивала процессы. Оценка рисков изменений не была отдельной задачей. Это было условие, в котором система должна была работать.
Jordan Ahli Bank
Операционный риск по филиальной сети, зарубежным филиалам на Кипре и в Палестине, а также по дочерним компаниям в микрофинансировании, лизинге и брокеридже. Четыре бизнес-модели с четырьмя профилями риска под одной групповой системой, которая должна была работать для каждой, не делая вид, что они одинаковы. Надзор за RCSA, анализ инцидентов и потерь, отчётность комитету по рискам совета директоров, поддержка ICAAP, стресс-тестирования и планов восстановления.
Egyptian Arab Land Bank
Создание направления операционного риска и информационной безопасности с нуля: методология, RCSA, разработка KPI и KRI, процесс учёта инцидентов, управленческая отчётность — внедрено во всех бизнес-подразделениях. Ничего унаследованного, нечего было адаптировать.
Собственная практика
Консалтинг и обучение в разных отраслях, включая практическую работу с микрофинансовой организацией: процессы отделений, обращение с наличными, контроли на уровне кредитных специалистов. Тот уровень, на котором система либо работает, либо нет.
Квалификация
Магистр международного коммерческого права и технологий (LLM) и бакалавр права (LLB) — поэтому консультации доходят до того, на ком лежит ответственность, а не останавливаются на пробеле в контроле. MBA в области финансов. Сертифицированный старший риск-менеджер ISO 31000.
Услуги для гуманитарных организаций.
Гуманитарный секторНачнём с разговора
Большинство первых разговоров начинается с чего-то из этого. Риск подключили после того, как решение уже принято. Среда контроля, которую никто не проверял. Вопрос об устойчивости, который вам ещё не задали, но зададут. Модель, которую никто не может объяснить. Предстоящая проверка. Начать такой разговор ни к чему не обязывает.