Управление операционным риском

3.17.4. ИФР должна иметь точные принципы, процедуры и средства контроля, позволяющие уменьшать ее операционный риск и осуществлять управление его источниками. Общее управление операционным риском представляет собой непрерывный процесс, включающий оценку риска, определение допустимого уровня риска и применение средств контроля риска. В результате этого процесса ИФР принимает, уменьшает или избегает рисков, не противоречащих поставленной ею цели обеспечения операционной надежности. Порядок управления ИФР относится и к ее системе управления операционным риском (см. также Принцип 2 об управлении). В частности, совет директоров ИФР должен точно определять роли и обязанности по управлению операционным риском и утверждать систему управления операционным риском ИФР.

3.17.5. Для обеспечения надлежащего функционирования средств контроля риска ИФР должна иметь надежную систему внутреннего контроля. В частности, ИФР должна иметь адекватные средства административного контроля, такие как определение операционных стандартов, оценка и анализ показателей деятельности и устранение недостатков. Существуют многочисленные международные, национальные и отраслевые стандарты, руководящие указания или рекомендации, которые ИФР может использовать в процессе создания своей структуры управления операционным риском. Соблюдение коммерческих стандартов поможет ИФР достичь своих операционных целей. В частности, существуют коммерческие стандарты информационной безопасности, непрерывности деятельности и управления проектами. ИФР должна регулярно оценивать потребность в применении действующих коммерческих стандартов в своей системе управления операционным риском. Кроме того, ИФР должна стараться соблюдать соответствующие коммерческие стандарты в пределах, соответствующих важности и уровню взаимосвязанности ИФР.

3.17.6. Соглашения ИФР с участниками, операционные принципы и операционные процедуры должны периодически и всякий раз, когда это необходимо, подвергаться тестированию и анализу, особенно после значительных изменений в системе или крупных происшествий. Для минимизации любого влияния тестирования на проведение операций тестирование должно проводиться в "условиях испытаний". Эти условия испытаний, насколько это возможно, должны воспроизводить реальные условия деятельности (включая предусмотренные правила безопасности деятельности, в частности, относящиеся к конфиденциальности данных). Кроме того, основные компоненты системы управления операционным риском ИФР должны подвергаться проверке на регулярной основе и когда это необходимо. В дополнение к периодическим внутренним проверкам в зависимости от важности и уровня взаимосвязанности ИФР может потребоваться внешний аудит. С учетом эволюционного характера управления операционным риском операционные цели ИФР должны периодически пересматриваться с учетом новых технологий и развития коммерческой деятельности.

3.17.7. Поскольку правильная работа сотрудников ИФР является одним из главных аспектов системы управления операционным риском, ИФР должна быть укомплектована достаточными высококвалифицированными кадрами. Персонал ИФР должен уметь безопасно и эффективно эксплуатировать систему и строго выполнять операционные процедуры и процедуры управления риском в обычных и аномальных ситуациях. ИФР должна проводить надлежащую кадровую политику в области найма, обучения и сохранения квалифицированного персонала, уменьшая тем самым последствия высокой текучести кадров или риск, связанный с ключевыми фигурами. Кроме того, ИФР должна проводить надлежащую кадровую политику и политику управления риском для противодействия мошенничеству.

3.17.8. Система управления операционным риском ИФР должна предусматривать формализованные процессы управления изменениями и управления проектами для уменьшения операционного риска, вызванного изменениями операций, принципов, процедур и средств контроля. Процессы управления изменениями должны обеспечивать механизмы подготовки, утверждения, продвижения, тестирования и внесения всех изменений в систему. Процессы управления проектами, оформленные как принципы и процедуры, должны снижать риск случайного воздействия на текущую или будущую деятельность ИФР в результате модернизации, расширения или изменения оказываемых ею услуг, особенно в крупных проектах. В частности, эти принципы и процедуры должны определять порядок управления, документального оформления, связи и тестирования проектов независимо от того, осуществляются ли проекты сторонними подрядчиками или своими силами.