BG Официален вестник на Европейския съюз C 173/1

ДОКЛАД

относно извършения одит на управлението на риска в Европейската централна банка за финансовата 2010 година, придружен от отговорите на ЕЦБ

2012/C 173/01

СЪДЪРЖАНИЕ

Точки Страница ВЪВЕДЕНИЕ … 1—4 3 ОБХВАТ И ПОДХОД НА ОДИТА … 5—6 3 ОДИТНИ КОНСТАТАЦИИ … 7—91 3 Създала ли е ЕЦБ подходяща и цялостна рамка за управление на риска? … 7—18 3 Обща рамка за управление на риска … 8—14 3 Оповестяване на информация за външни лица относно рамката за управление на риска на ЕЦБ … 15—18 4 Ефективно ли се управлява операционният риск от страна на ЕЦБ? … 19—66 5 Управление на операционния риск … 20—39 5 Управление на непрекъсваемостта на бизнес процесите в ЕЦБ … 40—66 7 Ефективно ли се управлява финансовият риск от страна на ЕЦБ? … 67—91 10 Рамка за управление на финансовия риск във връзка с инвестициите и операциите по прилагане на политиките … 69—74 10 Методология за управление на финансовия риск … 75—83 11 Прилагане на методологията за управление на финансовия риск … 84—88 12 Подходящо отчитане на финансовия риск … 89—91 12 ЗАКЛЮЧЕНИЯ И ПРЕПОРЪКИ … 92—100 13 Създала ли е ЕЦБ подходяща и цялостна рамка за управление на риска? … 92—93 13 Ефективно ли се управлява операционният риск от страна на ЕЦБ? … 94—98 13 Ефективно ли се управлява финансовият риск от страна на ЕЦБ? … 99—100 13 Отговори на Европейската централна банка… 15

СЪКРАЩЕНИЯ

BCM Управление на непрекъсваемостта на бизнес процесите BCP План за непрекъсваемостта на бизнес процесите BIA Анализи на въздействието от дейността БМР Банка за международни разплащания ПНД Практически наръчник за дейността УСС Управление на собствените средства CBPP Програма за изкупуване на обезпечени облигации CRO Главен мениджър по риска D-CO Дирекция „Комуникации“ DG-A Генерална дирекция „Администрация“ DG-H Генерална дирекция „Човешки ресурси, бюджет и организационна структура“ DG-IS Генерална дирекция „Информационни системи“ DG-M Генерална дирекция „Пазарни операции“ DG-P Генерална дирекция „Платежни системи“ DG-S Генерална дирекция „Статистика“ ИС Изпълнителен съвет ЕЦБ Европейска централна банка ЕСЦБ Европейска система на централните банки FOS Услуги по финансови операции GIPS Глобални стандарти за представяне на резултатите от инвестициите МСС Международни счетоводни стандарти СМСС Съвет по международни счетоводни стандарти МСФО Международни стандарти за финансово отчитане INV Отдел „Инвестиции“ MOS Системи за пазарни операции НЦБ Национални централни банки ORC Комитет за управление на операционния риск ORM Управление на операционния риск RMA Отдел „Управление на риска“ SMP Програма за пазарите на ценни книжа VaR Стойност под риск

ВЪВЕДЕНИЕ

1. Европейската централна банка (ЕЦБ) и националните централни банки на всички държави — членки на Европейския съюз (ЕС), съставляват Европейската система на централните банки (ЕСЦБ). Основната цел на ЕСЦБ е да поддържа ценова стабилност. ЕСЦБ също така подпомага основните икономически политики на Съюза, за да допринесе за постигането на неговите цели (1). За тази цел ЕЦБ изпълнява поставените в устава ѝ задачи (2) и отговаря за управлението на своите дейности и финанси.

2. Извършеният от Европейската сметна палата (Палатата) одит на оперативната ефикасност на ЕЦБ се основава на член 27, параграф 2 от Протокола за Устава на ЕСЦБ и на ЕЦБ (3). Одитът за 2010 г. обхваща въведените от ЕЦБ процедури и системи за управление на риска, както и тяхното прилагане.

3. Органите за вземане на решения на ЕЦБ са Управителен съвет и Изпълнителен съвет (4). Изпълнителният съвет осъществява паричната политика в съответствие с насоките и решенията, приети от Управителния съвет (5), и носи цялостна отговорност за текущото управление на дейността и ресурсите на ЕЦБ. Изпълнителният съвет носи също така крайната отговорност за управлението на риска в ЕЦБ.

4. Управлението на риска в ЕЦБ се извършва по две различни направления. Звеното за управление на операционния риск (ORM (6)/BCM) отговаря за всички операционни рискове (вж. бележка под линия 22), включително непрекъсваемостта на операциите. Отдел „Управление на риска“ (RMA) отговаря за управлението на финансовия риск (вж. точка 70), включително инвестиционните дейности и кредитните операции на ЕЦБ.

ОБХВАТ И ПОДХОД НА ОДИТА

5. Целта на извършения от Палатата одит за финансовата 2010 година беше да се оцени доколко е адекватна рамката за управление на операционния и на финансовия риск в ЕЦБ (7). За оценката на управлението на риска в ЕЦБ бяха поставени следните ключови одитни въпроси: — Създала ли е ЕЦБ подходяща и цялостна рамка за управление на риска? — Ефективно ли се управлява операционният риск от страна на ЕЦБ? — Ефективно ли се управлява финансовият риск от страна на ЕЦБ?

6. Одитът на управлението на риска в ЕЦБ (8) включи следните елементи: а) проверка на общата рамка за управление на риска в ЕЦБ, включително преглед на добрите практики в областта на управлението на риска в сходни международни организации (9); б) проверка на рамката за управление на операционния риск и тестване на шест избрани функционални направления (генерални дирекции) с цел оценка на изпълнението на рамката за управление на риска. Подборът беше извършен въз основа на следните критерии: i) включване на значителните операционни рискове, ii) включване на основните и спомагателните дейности на ЕЦБ, и iii) включване на дейностите, които изискват хоризонтално управление на риска. Избраните генерални дирекции (ГД) са: „Пазарни операции“, „Платежни системи“, „Статистика“, „Администрация“, „Информационни системи“ и дирекция „Комуникация“; в) проверка на рамката за управление на финансовия риск и подробно тестване на дейностите на отдел „Управление на риска“ (RMA) на ГД „Човешки ресурси, бюджет и организационна структура“, както и на отделите „Системи за пазарни операции“ (MOS), „Услуги по финансови операции“ (FOS) и „Инвестиции“, които са част от ГД „Пазарни операции“. Оценката на методологията за управление на риска в ЕЦБ и нейното прилагане е извършена с техническото съдействие на екип от финансови експерти в областта на финансовия риск от компанията Ernst and Young, Люксембург.

ОДИТНИ КОНСТАТАЦИИ

Създала ли е ЕЦБ подходяща и цялостна рамка за управление на риска?

7. ЕЦБ е обявила като своя цел прилагането на най-добрите практики в областта на управление на риска. Още от своето създаване ЕЦБ обръща специално внимание на управлението на риска. В качеството си на нов член на общността на централните банки, тя има амбицията да прилага най-високи стандарти за добро управление в организирането на дейността ѝ по управление на риска в рамките на институцията, както и да използва най-съвременните способи (10).

Обща рамка за управление на риска

8. „Една добре установена култура по отношение на риска в институцията представлява един от ключовите елементи за ефективно управление на риска. Задължително условие за установяване на такава култура по отношение на риска е въвеждането на цялостна (обезпечаваща всички видове рискове, всички дейности и съответни рискове) и независима функция за управление на риска под прякото управление на главен мениджър по риска (CRO), или на висшето ръководство, ако няма назначен ръководител, в съответствие с принципа на пропорционалност“ (11).

9. В ЕЦБ всяко организационно ниво (12) отговаря за управлението на собствените рискове и контроли. Две функционални звена подпомагат организационните отдели в процеса на управление на риска: — звеното ORM/BCM (13) отговаря за методологическата подкрепа, координацията на всички дейности, свързани с операционния риск, както и за проактивното предоставяне на съвети за различните функционални направления (14); — отдел „Управление на риска“ (RMA) отговаря за финансовия риск (15). Той е натоварен да изготвя предложения за политики и процедури, както и да предоставя организационна подкрепа във връзка с управлението на риска за всички операции на финансовия пазар, извършени от ЕЦБ или от Евросистемата за сметка на ЕЦБ. Отделът е разделен на две звена: „Анализ на риска“ и „Стратегия на риска“.

10. С оглед подпомагане на Изпълнителния съвет (ИС) в процеса на вземане на решения са създадени няколко комитета, които отговарят за различни аспекти от управлението на риска, по-специално Комитет за управление на операционния риск, Инвестиционен комитет, Комитет за активите и пасивите и Кредитен комитет.

11. Организационната структура включва множество административни звена, като ролите и задълженията са добре разпределени. Въпреки това е налице прекомерно разграничение между управлението на финансовия и на операционния риск в ЕЦБ, което увеличава вероятността Банката да не разполага с цялостна картина на рисковете, на които е изложена.

12. Не е създаден отделен независим орган, като например главен мениджър по риска или комитет за цялостно управление на риска, който да бъде връзката между ИС и двете функционални звена за управление на риска — ORM/BCM и RMA. По време на одита членът на ИС, който отговаря за управлението на финансовия риск, беше натоварен и с други задължения, докато при наличието на главен мениджър по риска, той би се съсредоточил само върху дейността по управление на риска.

13. Освен това липсата на йерархически независима функция по управление на риска увеличава опасността да не бъде обърнато достатъчно внимание на проблемите по управление на риска, например при назначаването на служители в областта на управление на риска, тъй като решенията в тази област са от компетентността на ГД „Човешки ресурси, бюджет и организационна структура“.

14. Прегледът на добрите практики в други сходни международни организации показа, че Централната банка на Канада е въвела интегрирана рамка за управление на риска и разполага с главен мениджър по риска и работна група по въпросите на управлението на риска. Тези два органа са натоварени с изготвянето на цялостен профил на риска за Банката, който включва функционалните, операционните и финансовите рискове, описани в каре 1. Рамката за управление на риска на Банката е напълно интегрирана в процедурите за стратегическо планиране, бюджетиране и оценка на изпълнението в края на годината. Каре 1 Пример за интегрирано управление на риска — Централна банка на Канада Главният мениджър по риска има следните задължения: — отговаря за разработването и подобряването на рамката на политиката за интегрирано управление на риска, за което трябва да получи разрешение от страна на прекия си ръководител, — предоставя насоки и съвети за управление на риска на другите членове на висшето ръководство и председателства работната група по управление на риска, — съпредседателства заедно с представител на дирекцията по финанси Комитета за управление на риска в рамките на Комитета по управление на финансите. Работната група за управление на риска има следните задължения: — подпомага цялостното актуализиране на извършваната от Банката самооценка по отношение на рисковете и изготвянето на годишен и шестмесечен доклад относно управлението на риска, — заседава три или четири пъти годишно във връзка с преразглеждане на рисковия профил на Банката и с оглед обсъждане на инициативи за управление на риска с представители на различните функционални звена.

Оповестяване на информация за външни лица относно рамката за управление на риска на ЕЦБ

15. Необходимо е да има достатъчно оповестяване на информация, която да позволява на външни лица да извършват оценка на подхода на ЕЦБ по отношение на риска.

16. ЕЦБ публикува годишен доклад, включващ годишните отчети и свързаните с тях информационни бележки (16). Информацията относно управлението на риска в годишните отчети е твърде ограничена, а информацията относно принципите и цифровите данни за управлението на риска в ЕЦБ не е общодостъпна (с изключение на данните за консолидираната стойност под риск (17) (VaR). В годишния доклад на ЕЦБ се съдържа кратка информация по определени въпроси, свързани с управление на риска, но не се оповестява обща информация относно процеса на управление на риска в организацията, относно рисковете, пред които е изправена Банката, както и относно използвания от ръководството подход за тяхното преодоляване.

17. Използването на международните стандарти за финансово отчитане (МСФО) (18) е добра практика за представяне на отчетите на дадена организация. Въпреки това ЕЦБ не е приложила МСФО 7 „Финансови инструменти: оповестяване“, който се отнася до представянето на съществуващите пред организацията рискове в нейните отчети.

18. В своите годишни финансови отчети други международни или национални банкови институции, като Банката за международни разплащания (БМР) и Централната банка на Канада, оповестяват информация за управлението на риска, въпреки че една от тях не прилага МСФО (вж. каре 2 по-долу). Каре 2 Пример за оповестяване на информация относно управлението на риска Организация Оповестяване на информация в годишните отчети относно управлението на риска Рамка за финансова отчетност Банка за международни разплащания (БМР) В годишните отчети се посочват рисковете, на които е изложена банката, подходът и организационната структура за управление на рисковете, подробна цялостна информация относно кредитния, пазарния, ликвидния и операционния риск. Специфична рамка за финансова отчетност, предвидена от устава на банката Централна банка на Канада В годишните отчети се оповестява обща информация относно процеса на управление на риска, организационната структура за управление на риска, ролята на служителя за управление на финансовия риск, финансовия риск, на който е изложена банката, подробна информация относно кредитния, пазарния и ликвидния риск. МСФО (19)

Ефективно ли се управлява операционният риск от страна на ЕЦБ?

19. Управлението на непрекъсваемостта на бизнес процесите допълва рамката за управление на операционния риск (ORM) в ЕЦБ и двете заедно представляват основен елемент от корпоративното управление (20).

Управление на операционния риск

20. Ефективната рамка за управление на операционния риск следва да включва ясни стратегии и да подлежи на надзор от страна на съвета на директорите и висшето ръководство. Тя предполага добро познаване на операционния риск и вътрешния контрол (включително ясни граници на отговорностите и разпределение на задълженията), както и ефективна система за вътрешно отчитане.

21. За оценката на управлението на операционния риск в ЕЦБ Палатата провери: — въведените политики в ЕЦБ за управление на операционния риск; — организационната структура и отговорностите по отношение на управлението на операционния риск; — връзката между стратегическото и финансовото планиране (годишния бюджетен цикъл); и — идентифицирането и оценяването на риска, предприетите мерки, отчитането, мониторинга и проследяването на изпълнението на ниво функционални направления, както и на централно ниво.

Политики в областта на операционния риск

22. Политиките за управление на операционния риск следва да предоставят ясна дефиниция на операционния риск в Банката и да определят насоки за прилагания от Банката подход за идентифициране, оценяване, мониторинг и контрол/намаляване на риска.

23. Рамката за управление на операционния риск в ЕЦБ е одобрена от Изпълнителния съвет на ЕЦБ през октомври 2007 г. (21) и е описана в практическия наръчник за дейността (ПНД), който е публикуван на интранет страницата и е на разположение на всички служители. В нея се посочват дефиницията на ЕЦБ за управление на операционния риск (22), политиката за допустимост на риска, ролите и отговорностите, както и политиките за извършване на оценка, предприемане на съответни мерки, отчитане и мониторинг.

24. Въведените политики за управление на операционния риск предоставят ясна дефиниция на операционния риск в ЕЦБ и определят насоки за прилагания от Банката подход за оценяване, мониторинг и контрол/намаляване на риска. В ПНД обаче не се съдържат подробни разяснения относно подхода на Банката за идентифициране на риска.

Организационна структура и отговорности

25. Ръководството на функционалното направление следва да бъде оправомощено да прилага политики, процеси и процедури за управление на операционния риск по отношение на всички важни дейности, процеси и системи на Банката. Банката следва да разполага също така със система за управление на операционния риск, в която звеното за управление на риска да има ясно определени отговорности.

26. Изпълнителният съвет отговаря като последна инстанция за управлението на операционния риск. Комитетът за управление на операционния риск отговаря за въпросите от стратегически и средносрочен характер, както и по отношение на някои краткосрочни значими и специфични теми (23). Комитетът се състои от член на Изпълнителния съвет (председателят) и седем представители на висшето ръководство на Банката (24). Комитетът разполага с правомощия за вземане на решения за поемане на риск на средно ниво, докато за рисковете на високо ниво решенията винаги се одобряват от Изпълнителния съвет. Заседанията се провеждат веднъж на два месеца или по-често, ако е необходимо.

27. В практическия наръчник за дейността ясно се посочва отговорността на ръководството на функционалните направления по отношение на управлението на операционния риск (25). Ето защо във всяко функционално направление следва да има назначен (поне) един координатор по управлението на риска, който подпомага ръководителите на функционалните направления при управлението на операционния риск и представлява първото лице за контакт по въпросите на управлението на операционния риск в рамките на функционалното направление. Ръководителите на функционалните направления също са длъжни да осигурят необходимите условия за това, служителите да придобиват нови знания и да поддържат необходимите умения, за да са в състояние да изпълняват задълженията си и да се отчитат във връзка с управлението на операционния риск. Звеното за управление на операционния риск и за непрекъсваемостта на бизнес процесите ORM/BCM следва да развива и поддържа рамката за управление на операционния риск и да координира подхода на функционалните направления по отношение на това управление.

28. Към момента на извършване на одита от осемте служители на звеното ORM/BCM само четирима бяха на постоянен договор. Останалите бяха командировани от национални централни банки или назначени с договори за период от три месеца до две години. Това означава, че има голямо текучество на персонала, което води до нарушаване на непрекъснатостта в една значима функция и увеличаване на опасността рамката за управление на операционния риск да не бъде приложена по подходящ начин в ЕЦБ.

29. Нивото на осведоменост на служителите по отношение на рамката за управление на операционния риск е включено в проучване за служителите през 2009 и 2010 г. От проведеното през 2009 г. проучване е видно, че приблизително 40 % от участниците са декларирали, че не са получили достатъчно информация относно управлението на операционния риск. 56 % не са осведомени кой служител е назначен за координатор по управлението на риска в тяхното функционално направление, а 45 % не знаят къде да потърсят информация относно управлението на операционния риск в интранет. При направеното през 2010 г. проучване 40 % все още не знаят къде да потърсят информация относно управлението на операционния риск.

Обвързване със стратегическото и финансовото планиране (годишен бюджетен цикъл)

30. Управлението на риска следва да бъде интегрирано в управлението на ЕЦБ като неразделна част от стратегическото, финансовото и икономическото планиране на Банката.

31. Основна част от изготвянето на рисковия профил на ЕЦБ е годишната оценка на операционния риск, извършена от функционалните направления и звеното ORM/BCM. Оценките за 2009 г. са извършени от функционалните направления в периода от юни до август 2009 г., а впоследствие координаторите по управлението на риска са се срещнали за уточняване на прилагания подход. Докладът, отразяващ позицията на ръководството, е завършен през януари 2010 г.

32. Рисковият профил следва да бъде един от елементите, използвани в процеса на стратегическо планиране, който от своя страна играе решаваща роля при определяне на финансовия план. По време на одита обаче беше установено, че годишната оценка на операционния риск не е интегрирана в цикъла на стратегическото и финансовото планиране на ЕЦБ. Поради тази причина съществува опасност управлението на операционния риск да стане изолиран процес, а финансовият план да не представлява правилно разпределение на ресурсите за постигане на стратегическите цели (26).

33. Като пример за добра практика в тази област може да бъде посочена Централната банка на Канада, където рисковият профил на банката е неделима част от общия цикъл на стратегическо и финансово планиране на банката (27).

Процес на управление на операционния риск — идентифициране на риска, оценка и предприемане на съответни мерки, отчитане, мониторинг и проследяване на изпълнението на мерките

Идентификация на риска, оценка и предприемане на съответни мерки

34. Необходимо е да се идентифицират и оценят всички операционни рискове, свързани с дейностите, процесите и системите. Рисковете следва да се оценят спрямо прилаганите политики и допустимите нива с цел да се определят подходящи ответни мерки въз основа на задоволителни изчисления на разходите. Необходимо е редовно докладване на важната информация пред висшето ръководство и Изпълнителния съвет, което да позволи проактивното управление на операционния риск.

35. Рамката за управление на операционния риск е била приложена най-вече посредством оценки отгоре-надолу. В съответствие с политиката за управление на риска в ЕЦБ функционалните направления следва също да извършват постоянни оценки отдолу-нагоре относно процесите във функционалните направления, а идентифицираните рискове да подлежат на одобрение (28).

36. ЕЦБ е извършила низходящи оценки през 2008 и 2009 г. Звеното за управление на риска или за управление на непрекъсваемостта на бизнес процесите (ORM/BCM) е предоставило на функционалните направления информация за някои предварително определени рискове от високо ниво, която е послужила за основа на техните оценки на риска. В окончателния доклад е включен план за действие за всяко от функционалните направления. В съответствие с ПНД функционалните направления следва да анализират и определят стратегии за ответни мерки на риска, както и да извършат анализ на разходите и ползите на възможните решения.

37. Всички функционални направления са идентифицирали рискове и са определили ответни мерки в рамките на низходящите оценки за 2009 г. В доклада с низходящи оценки за 2009 г. се съдържа проследяване на действията за всяко функционално направление. Въпреки това в проверената извадка от функционални направления нямаше данни за извършени анализи на разходите и ползите.

38. В някои случаи процедурата за одобрение, която следва идентифицирането на риска от функционалното направление и се извършва от Комитета за управление на операционния риск/Изпълнителния съвет, е твърде бавна. Така например два риска, които са идентифицирани през юли-август 2009 г., към декември 2010 г. все още не са били одобрени Освен това от списъка с подлежащи на одобрения действия, който се обсъжда по време на заседанията на Комитета за управление на операционния риск, е видно, че някои от тях се обсъждат от повече от една година, а други дори и от две години.

39. По отношение само на три от шестте функционални направления, които са в извадката, беше възможно да се идентифицират специфичните ресурси, разпределени в работните им програми за дейностите по управление на операционния риск. Въпреки това описанието на тези дейности е неясно и нямаше възможност за свързване на действията от низходящите оценки за 2009 г. относно управлението на операционния риск с работните програми на функционалните направления.

Управление на непрекъсваемостта на бизнес процесите в ЕЦБ

40. Управлението на непрекъсваемостта на бизнес процесите (BCM) е съществен елемент от управлението на операционния риск. В случай на кризисни ситуации с цел осигуряване на непрекъсваемостта на дейностите и процесите от решаващо значение, е необходимо изготвяне на планове за извънредни обстоятелства и за възстановяване.

41. Палатата провери дали: i) общата рамка за управление на непрекъсваемостта на бизнес процесите е подходяща и в съответствие с добрите практики; ii) процесите от решаващо значение са добре идентифицирани; iii) отделните планове за непрекъсваемостта на бизнес процесите на подбраните функционални направления позволяват преодоляване на рисковете с оглед подходящо гарантиране на непрекъсваемостта на бизнес процесите от решаващо значение; iv) разпоредбите за осигуряване на непрекъсваемостта на бизнес процесите са тествани по подходящ начин; и дали v) служителите са осведомени и обучени в съответствие с разпоредбите за осигуряване на непрекъсваемостта на бизнес процесите.

Рамка за управление на непрекъсваемостта на операциите

42. Управлението на непрекъсваемостта на бизнес процесите е общ икономически модел, включващ политики, стандарти и процедури, които в случаи на бедствия имат за цел да гарантират поддържането и възстановяването на специфични операции за разумен срок от време. Целта му е в случай на бедствие да се намалят оперативните, финансовите, правните и материалните последици, както и рисковете, свързани с накърняване на репутацията (29).

43. Целта на управлението на непрекъсваемостта на бизнес процесите е да се гарантира, че разпоредбите и мерките за непрекъсваемостта на бизнес процесите съответстват на целите, задачите и законоустановените задължения на ЕЦБ, както и на прилаганата от Банката политика на толерантност по отношение на риска (30).

44. Одитът включи проверка на ключови документи от рамката за управление на непрекъсваемостта на бизнес процесите: — в глава 26 от ПНД се установява общата рамка, както и процесите, които трябва да се въведат, и резултатите, които трябва да се постигнат. В нея се дефинират също така ролите и отговорностите; — стратегията на ЕЦБ относно обученията и тестването на непрекъсваемостта на бизнес процесите; — програмата за тестване на непрекъсваемостта на бизнес процесите; и — ръководството за управление на кризи.

45. ЕЦБ е изготвила ръководство за управление на кризи, в което се описват ролите, отговорностите и процедурите в случай на кризи и се съдържат и координатите на екипа, натоварен с управлението на кризи. Всяко функционално направление носи цялата отговорност за разработването на своя план за непрекъсваемост на бизнес процесите. Въпреки това в съответствие с ръководния модел на план за непрекъсваемост на бизнес процесите ЕЦБ не е задължена да разполага с подобен план за цялата банка и такъв не е бил изготвен.

46. ЕЦБ е установила добра рамка, която предоставя насоки във връзка с политиките, процесите и отговорностите в организацията. Въпреки това децентрализираният подход също е източник на риск, тъй като при липса на строго организирано координиране е възможно управлението на непрекъсваемостта на бизнес процесите да не бъде прилагано по последователен начин в различните нива на организацията.

Идентифициране на критичните процеси

47. Анализът на въздействието върху дейността е динамичен процес за идентифициране на критичните операции и услуги, ключовите вътрешни и външни зависими сектори и подходящите нива на резистентност. Анализът включва оценка на риска и потенциалното въздействие при различни сценарии на неизправности в операциите на организацията и по отношение на нейната репутация (31).

48. Последният цялостен анализ на въздействието от дейността е извършен през 2006 г. (32) с цел да се установят продуктите и услугите на ЕЦБ, които са незаменими с оглед осигуряване на непрекъсваемостта на основните операции на Банката. Анализът на въздействието от дейността е бил насочен към следните ключови области: — идентифициране на критичните бизнес процеси; — класифициране на основните изисквания; — насоки относно начина на третиране на нецикличните или рядко срещаните процеси; — идентифициране на допълнителни изисквания за подпомагане.

49. При извършеното през 2007 г. цялостно актуализиране на анализа на въздействието от дейността са установени пропуски на ниво непрекъсваемост на бизнес процесите и действащи разпоредби в този период. Изготвена е стратегия за проследяване на изпълнението. Тя включва решения за преодоляване на установените пропуски или за приемане на рисковете и разходите. Въпреки че този документ представя разходите във връзка с предложените решения на ИТ инфраструктурата и логистиката, в него липсва разбивка, която да посочва въздействието на различните нива на риска върху разходите.

50. През 2010 г. е извършено последното актуализиране на анализа на въздействието от дейността с оглед преодоляване на идентифицираните през 2007 г. пропуски. От началото на финансовата криза досега не е бил извършен цялостен анализ на въздействието от дейността.

Планове за непрекъсваемост на бизнес процесите

Критични операции

51. Плановете за непрекъсваемостта на бизнес процесите следва да бъдат изготвени по начин, при който идентифицирането на критичните операции позволява на ЕЦБ да гарантира изпълнението на своите законоустановени задължения, така както са описани в съответния протокол относно устава на ЕЦБ (33). Плановете за непрекъсваемостта на бизнес процесите следва да се разработват въз основа на „най-лошият сценарий“, като се има предвид, че е възможно ответните мерки да бъдат съкратени с цел адаптиране към настоящата криза (34).

52. Въз основа на своите законоустановени задължения ЕЦБ е установила основните референтни критерии за определянето на нивото на критичност във връзка с броя на рисковете (вж. каре 3). Каре 3 Основни референтни критерии за определяне на нивото на критичност Законоустановените задължения включват: — определяне и осъществяване на монетната политика за еврозоната; — извършване на валутни операции; — държане и управление на официалните резерви в чуждестранна валута на страните от еврозоната; и — насърчаване на нормалното функциониране на платежните системи. Последиците от прекъсването на някои от идентифицираните процеси са следните: — нестабилност на пазара; — загуба на доверие/имидж/репутация; — финансови загуби за ЕЦБ; — финансови загуби за други институции; — възможни проблеми от правно естество; — други последици извън този списък. Източник: Преглед на анализа на въздействието от дейността на ЕЦБ, 2006 г.

53. Въз основа на извършената от Палатата проверка на тези основни референтни критерии и на предварителната оценка на потенциалното ниво на операции, които ще продължат да функционират в случай на някои от предвидените сценарии (35), разработените планове са замислени по начин, при който се осигурява спазване на законоустановените задължения. Въпреки това при своята проверка на плановете за непрекъсваемостта на бизнес процесите Палатата установи, че са недостатъчно на брой плановете, които в случай на бедствие позволяват да се преодолее значителна загуба на човешки ресурси (36). Функционалните направления, които са натоварени с изпълнението на процесите, се определили служителите, отговорни за осигуряване на непрекъсваемостта на бизнес процесите, както и техни заместници. Въпреки това обаче нито едно от тях не разполага с „резервен план“ в случай на масово отсъствие на служители.

Спазване на ръководния модел на план за непрекъсваемост на бизнес процесите

54. В съответствие с ръководния модел на план за непрекъсваемост на бизнес процесите отделните планове на функционалните направления следва да обхващат: — организационни аспекти (37); — критични процеси (38); — изисквания (39); и — списък на заинтересованите страни. Една организация следва да съпостави директните ползи от мерките, взети за подобряване на нейната устойчивост в случай на оперативни неизправности, с разходите за тези мерки (40).

55. Ръководният модел на ЕЦБ за план за непрекъсваемост на бизнес процесите предоставя като цяло задължителната структура и съдържание на отделните планове на функционалните направления. Тъй като е ръководен модел, в него се посочва само структурата на документите от плана за непрекъсваемост на бизнес процесите, които функционалните направления трябва да предоставят.

56. Плановете за непрекъсваемост на бизнес процесите се изготвят на ниво функционално направление, департамент или отдел. Като цяло ръководният модел за план за непрекъсваемост на бизнес процесите е спазен по отношение на задължителното съдържание, но са установени значителни различия при степента на дадени подробности. Въпреки че звеното за управление на операционния риск/управление на непрекъсваемостта на бизнес процесите играе централна координираща роля, качеството на отделните планове за непрекъсваемост на бизнес процесите зависи от отговорния служител на ниво функционално направление. Липсват доказателства, че звеното за управление на операционния риск/управление на непрекъсваемостта на бизнес процесите е извършило достатъчно проверки на отделните планове за непрекъсваемост на бизнес процесите.

57. От петте функционални направления (41), които са подбрани за подробно тестване, четири са представили план за непрекъсваемост на бизнес процесите в съответствие с изискванията, като в три от тях подробно се разглеждат критичните процеси, идентифицирани в рамките на анализа на въздействието от дейността.

58. В повечето от случаите липсваше документиран анализ на разходите и ползите в отделните функционални направления, включени в извадката, по отношение на различните възможни решения за осигуряване на непрекъсваемост на бизнес процесите, включително оценка на различните нива на риск.

Тестване

59. Организациите следва да тестват своите планове за непрекъсваемост на бизнес процесите, да оценят тяхната ефективност и съответно да актуализират своето управление на непрекъсваемостта на операциите (42). Съгласно стандарт BS 25999 (43) от организацията се изисква нейните разпоредби за управление на непрекъсваемостта на бизнес процесите да бъдат валидирани с практическо упражнение, да бъдат предмет на проверка и актуализация.

60. Беше извършена проверка на следните документи: — стратегията за тестване на непрекъсваемостта на бизнес процесите (44); — програмите и графиците за извършване на тестовете за периода 2008—2010 г.; и — докладите от тестовете.

61. Стратегията за извършване на тестове е насочена към плановете за непрекъсваемост на бизнес процесите и плановете за възстановяване на информационните системи, разработени с цел проверка на критичните процеси съгласно анализа на въздействието от дейността. Рамката за тестване включва ясно разпределяне на отговорностите, фиксиране на обхвата на тестовете и тяхната честота, изискванията за предоставяне на информация, както и съответната средносрочна програма за осъществяване на тестове. При проверката беше установено, че е въведена подходяща рамка за извършване на тестове в съответствие с изискванията на стандарт BS 25999.

62. Проведените тестове показаха, че макар симулационните учения да са обхванали ключови служители и да са били редовно извършвани, те невинаги възпроизвеждат обстоятелства, пред които ще бъде изправена ЕЦБ в случай на съществени смущения при извършване на нейната дейност. Планираните за 2009 и 2010 г. тестове не са обхванали всички сценарии, изготвени от ЕЦБ, и не са били осъществени всички първоначално предвидени тестове.

Обучение и осведоменост

63. Необходимо е повишаване на осведомеността на екипите за управление на кризи и ответни мерки относно техните отговорности и задължения. Поне веднъж годишно следва да се организира обучение за тези екипи, а за новите попълнения — при встъпването им в длъжност. Всички служители от персонала трябва да бъдат обучени да поемат отделните си отговорности в случай на криза. Освен това те трябва да бъдат информирани за основните елементи от плана за непрекъсваемост на бизнес процесите (45).

64. В приетата от ЕЦБ стратегия за обучение се посочва, че всички служители трябва да бъдат в състояние да се възползват от програмата за повишаване на осведомеността относно управлението на непрекъсваемостта на бизнес процесите (46). По отношение на тестовете в стратегията за обучение се предвижда установяването на програма за обучение, която ще съдържа повече практическа информация.

65. През 2010 г. пет полудни са били посветени на програмите за обучение в областта на управление на риска с оглед „преминаването“ към ръководство за управление на кризи, одобрено от ЕЦБ. Като цяло въвеждането на ръководството и обучителните сесии са били добре приети от участниците, които въпреки това са отбелязали, че организирането на симулационни учения би било високо оценено.

66. По време на одита беше ясно установено провеждането на обучение за служителите, отговорни за осигуряване на непрекъсваемостта на дейността, по-специално посредством тестване на плановете за непрекъсваемост на бизнес процесите. Въпреки това не бяха намерени доказателства, че нивото на осведоменост на другите служители е било активно повишено относно рамката и процесите за осигуряване на непрекъсваемост на бизнес процесите. В различни вътрешни референтни документи (47) се посочва, че макар извършването на тестове да играе ключова роля в обучението на персонала, е необходимо да се вземат мерки за целия персонал посредством програма за повишаване на нивото на осведоменост на служителите. Засега подобна програма не е била разработвана, тъй като централната функция за управление на операционния риск/управление на непрекъсваемостта на бизнес процесите счита, че нивото на информираност на служителите относно разпоредбите за осигуряване на непрекъсваемост на бизнес процесите е задоволително. Въпреки това резултатите от вътрешно проучване (48) показват, че повече от 12 % (20 % през 2009 г.) от участниците в него не са запознати с разпоредбите за осигуряване на непрекъсваемост на бизнес процесите за тяхното функционално направление и не знаят къде да намерят информация относно начина на реагиране в случай на криза.

Ефективно ли се управлява финансовият риск от страна на ЕЦБ?

67. Управлението на финансовия риск е процес, при който се вземат предвид колебанията на финансовите пазари. То включва оценка на финансовия риск, пред който е изправена организацията, както и разработване на управленски стратегии в съответствие с вътрешните приоритети и политики.

68. Палатата провери дали: — общата рамка за управление на финансовия риск във връзка с инвестициите и операциите по прилагане на политиките е подходяща и в съответствие с добрите практики; — методологията, използвана от ЕЦБ в областта на финансовия риск, е подходяща за управление на финансовия риск; — методологията за управление на финансовия риск е приложена по ефективен начин от ЕЦБ; и — изготвянето на доклади относно управлението на финансовия риск е редовно и надеждно.

Рамка за управление на финансовия риск във връзка с инвестициите и операциите по прилагане на политиките

69. Рамката следва да съдържа дефиниция на финансовия риск за цялата организация и да установява принципи, определящи начина за извършване на идентифициране, оценка, мониторинг и контрол/намаляване на финансовия риск (49). Банката трябва да разполага със система за управление на финансовия риск с ясно разпределение на отговорностите.

70. Рамката на ЕЦБ за управление на финансовия риск е създадена, за да покрива рисковете, произтичащи от операциите на Банката: i) инвестиране и ii) кредитиране. Инвестиционните операции се отнасят до два инвестиционни портфейла, а именно чуждестранните резерви (50) (60 600 милиона евро към 31 декември 2010 г.) и собствените средства (51) (13 300 милиона евро към 31 декември 2010 г.). Кредитните операции се отнасят до операциите по паричната политика (52). Инвестиционните дейности на ЕЦБ включват управлението на чуждестранните резерви на ЕЦБ (53), портфолиото със собствени средства на ЕЦБ, пенсионния фонд, както и дейностите във връзка с два портфейла, държани за целите на паричната политика (54).

71. Отдел „Управление на риска“ отговаря за поддържането на общата рамка за управление на риска във връзка с инвестиционните операции, както и за мониторинга, оценката и контрола на рисковете, произтичащи от тези операции. Отделът следи за спазването на одобрените политики и процедури в областта на управлението на кредитния и пазарния риск. Нарушенията на тези правила се докладват в съответствие с приетите процедури за възстановяване на нормалното функциониране.

72. Генерална дирекция „Пазарни операции“ е функционалното направление, натоварено с извършването на инвестиционните операции на ЕЦБ. Тя отговаря също така и за поддържането и усъвършенстването на приложението за управлението на портфейлите от Евросистемата (55). Инвестиционният отдел на генерална дирекция „Пазарни системи“ отговаря за изготвянето на предложения на инвестиционния комитет във връзка с тактическия бенчмаркинг за портфейлите с чуждестранни резерви и прякото управление на портфейла със собствени средства на ЕЦБ.

73. В наръчника за управление на финансовия риск (56), който е ключовият документ за управление на финансовия риск във връзка с инвестиционните дейности, се предоставя изчерпателна информация относно всички значими политики, процеси и процедури, по-специално посредством препращането към документи, приети от органа за вземане на решения на ЕЦБ.

74. Общата рамка за управлението на финансовия риск, която е установена от ЕЦБ за управлението на инвестициите и операциите по прилагане на политиките, съдържа дефиниция на финансовия риск за цялата организация и принципи, определящи начина за извършване на идентифициране, оценка, мониторинг и контрол/намаляване на финансовия риск.

Методология за управление на финансовия риск

75. Следва да се изготвят подходящи насоки в областта на инвестирането, които да позволят да се определи по задоволителен начин склонността за поемане на риск и да съдържат подробни указания относно инвестиционните операции.

76. В наръчника на ЕЦБ за управление на финансовия риск се съдържа дефиниция на следните елементи: i) ниво на допустим риск за ЕЦБ; ii) приети инструменти и операции; iii) допустими контрагенти и емитенти, установяване на прагове; iv) стратегическо разпределение на активи; v) мониторинг, изготвяне на доклади и оценяване; и vi) преразглеждане на рамката (57).

77. Процесът на инвестиране на чуждестранни резерви се основава на тристепенна структура, която включва стратегически бенчмаркинг, тактически бенчмаркинг и съществуващите портфейли. Стратегическият бенчмаркинг отразява предпочитанията относно съотношението риск—възвръщаемост в дългосрочен план и е от компетентността на Управителния съвет.

78. Процесът за инвестиране на собствени средства се основава на двустепенна структура, включваща стратегически бенчмаркинг и съществуващите портфейли. Стратегическият бенчмаркинг е от компетентността на Изпълнителния съвет.

79. При търсенето на максимална възвръщаемост се спазват принципите „без загуби“ и „разпределение на активите“ посредством специфично стратегическо разпределение на активите (58).

80. Отдел „Управление на риска“ се грижи за поддържането на списък с допустимите страни, емитенти и контрагенти. Отделът отговаря и за налагане на ограничения за контрагентите въз основа на методология, одобрена от Изпълнителния съвет. По отношение на управлението на чуждестранните резерви ограниченията се определят от националните централни банки въз основа на методология, одобрена от Управителния съвет. Веднъж годишно се предприема систематично актуализиране на ограниченията. Освен това последиците от измененията в рейтингите и ограниченията се вземат предвид непосредствено след настъпването им.

81. При стратегическото разпределение на активите се вземат предвид важни изисквания, свързани с политиката на Банката, а именно: i) цели, свързани с поддържането на резерви; ii) предпочитания за съотношението риск—възвръщаемост; iii) подход за изготвяне на модели; iv) инвестиционен хоризонт и честота на измененията; v) разпределение на отговорностите между стратегическия бенчмаркинг и тактическите етапи в инвестиционния процес; vi) съдържание на информацията в инвестиционните решения; vii) допустими инвестиции; и viii) наложените инвестиционни ограничения. Инвестиционният и рисковият хоризонт се определят веднъж годишно за чуждестранните резерви и веднъж на пет години за собствените средства.

82. Одитът на Палатата включи проверка на: — пълнотата и адекватността на дефинициите за склонността към излагане на риск и стратегията в областта на риска; — насоките за инвестициите; — процеса на вземане на решения за определяне на инвестиционни ограничения; — мерките в областта на риска и тяхната последователност: пазарният риск, кредитният риск, рискът, свързан с контрагента, ликвидният риск и операционният риск от инвестиционните дейности.

83. Проверката на рамката за управление на финансовия риск показа, че методологията за управление на финансовия риск позволява по задоволителен начин определянето на интереса за поемане на риск и предоставя изчерпателни насоки за инвестиционните операции в ЕЦБ.

Прилагане на методологията за управление на финансовия риск

84. Описаната в предходния раздел методология за управление на финансовия риск следва ефективно да се прилага на практика.

85. Извършеният от Палатата одит включи: i) проверка на подходящия характер на референтните критерии спрямо рисковия профил на портфейла, включително оценката на грешките, качеството и управлението на данните, както и сигурността на данните във връзка със стратегическите и тактическите референтни критерии; ii) проверка на инструментите и системата за подпомагане на изчисляването и актуализирането на портфейлите и основните референтни критерии; и iii) проверка на управлението във връзка с изменението на основните референтни критерии.

86. По отношение на рамката във връзка със стойността под риск бяха проверени следните аспекти: i) анализи на качеството и управлението на данните, проверка на данните в областта на сигурността и контрола; ii) анализи на техниката, допусканията и основните компоненти на процеса на изготвяне на модели; и iii) подходящи тестове, проверка на последващите контроли и анализи на доклади.

87. Тестването показа, че методологията е приложена по подходящ начин. Въпреки това липсваха документи за прилагането на „принципа на четирите очи“. В допълнение, при проверката на моделите, използвани за изчисляването на стратегическите и тактическите основни референтни нива, както и за стойността под риск и заверяването на модела, се установи, че за някои от моделите: а) отдавна не е извършван и не е документиран редовен последващ контрол; б) не е извършено независимо заверяване или скорошно актуализиране; в) допусканията при изготвянето на модели невинаги са били достатъчно документирани.

88. Прегледът на добрите практики в други сходни международни организации показа, че вследствие на финансовата криза в САЩ и поради засилването на компетентностите ѝ в областта на управлението на финансовия риск Федералната резервна банка на Ню Йорк е създала звено за заверяване на моделите. В каре 4 са посочени основните задачи на това звено. Каре 4 Звено за одобряване на модели във Федералната резервна банка на Ню Йорк По-долу са представени основните задачи на звеното: — опис на всички използвани модели за управление на финансовия риск; — проверка и заверяване на документите във връзка с модела; — изготвяне на подробна документация в случаите, когато предоставените документи са оценени като недостатъчни; — тестване на модели.

Подходящо отчитане на финансовия риск

89. Необходимо е установяването на процес за гарантиране на редовен мониторинг на рисковите профили и опасностите от значителни загуби. Следва да се въведе надеждна система за отчитане и мониторинг.

90. Отдел „Управление на риска“ извършва мониторинг на спазването на политиките и процесите, които са одобрени за управление на пазарния и кредитния риск. Той отговаря също така за докладването на случаите на неспазване съгласно процедури за възстановяване на нормалното функциониране. Отдел „Управление на риска“ в ЕЦБ редовно докладва относно съотношението риск—възвръщаемост и резултатите от изпълнението на портфейлите с чуждестранни резерви и тези със собствени средства, както и за свързаните с тях стратегически и тактически референтни критерии. Докладването се извършва ежедневно, ежеседмично, ежемесечно, тримесечно и ежегодно.

91. Извършените от одиторите тестове и интервюта потвърдиха, че докладите относно резултатите от изпълнението се изготвят редовно и се предоставят навреме на изпълнителния орган. Въпреки това беше отбелязано, че глобалните стандарти за представяне на резултатите от инвестициите (59), които се считат за добра практика в областта, не са били изцяло спазени при изготвянето на вътрешните доклади за резултатите от изпълнението на ЕЦБ.

ЗАКЛЮЧЕНИЯ И ПРЕПОРЪКИ

Създала ли е ЕЦБ подходяща и цялостна рамка за управление на риска?

92. ЕЦБ е създала организационна структура с множество административни звена, в която ролите и задълженията са добре разпределени. Въпреки това е налице прекомерно разграничение между управлението на финансовия и на операционния риск в Банката, което увеличава опасността тя да не разполага с цялостна картина на рисковете, на които е изложена. Не е създаден отделен независим орган, като например мениджър по риска или комитет за управление на риска, които да бъдат връзката между ИС и двете функционални звена за управление на рисковете.

93. В годишните отчети на ЕЦБ се съдържа твърде ограничена информация относно определени въпроси, свързани с управлението на риска. Липсва оповестяване на обща информация относно процеса на управление на риска в организацията, относно рисковете, пред които е изправена Банката, както и относно използвания от ръководството подход за тяхното преодоляване. Препоръки 1. Необходимо е ЕЦБ да разгледа възможността за създаване на йерархически независима единна функция по управление на риска, като например главен мениджър по риска или комитет за управление на риска, която би се съсредоточила единствено върху дейността по управление на риска и би гарантирала следене на цялостната картина на рисковете, на които е изложена Банката. 2. В своите годишни отчети ЕЦБ следва допълнително да подобри публичното оповестяване на информация за външни лица относно практиките в областта на управлението на риска посредством прилагането на добри практики, например МСФО 7.

Ефективно ли се управлява операционният риск от страна на ЕЦБ?

94. ЕЦБ разполага с ясна организационна структура и е въвела подходящи политики за управление на операционния риск, които определят подхода на Банката за оценяване, извършване на мониторинг и контрол/намаляване на риска.

95. Въпреки че през 2008 и 2009 г. ръководството е извършило оценки и е определило планове за действие за всяко функционално направление, липсват данни за извършени анализи на разходите и ползите.

96. Въведена е система за отчитане, мониторинг и проследяване, както и график за проследяване на изпълнението на мерките за намаляване на риска, когато става въпрос за средни или високи нива на риск. По отношение на някои видове риск обаче процедурата за одобрение от Комитета за управление на операционния риск/Изпълнителния съвет е твърде бавна. Липсва интегриране на циклите на планиране и управление на операционния риск. Освен това дейностите по управление на операционния риск не са ясно представени в работните програми на някои тествани функционални направления.

97. ЕЦБ е изготвила подробно ръководство за управление на кризи, в което се описват ролите, отговорностите и процедурите в случай на криза, и се съдържат координатите на екипа, натоварен с управлението на кризи. Всяко функционално направление носи цялостна отговорност за разработването на своя план за непрекъснатост на бизнес процесите.

98. ЕЦБ е създала добра рамка, която предоставя насоки във връзка с политиките, процесите и отговорностите по отношение на управлението на непрекъсваемостта на бизнес процесите в организацията. Въпреки това: а) независимо от извършения през 2007 г. и приключен през 2010 г. цялостен анализ на въздействието от дейността, от началото на финансовата криза досега не е бил извършен пълен функционален анализ на въздействието; б) липсват планове за преодоляване на значителна загуба на човешки ресурси; в) предвидените тестове не обхващат всички сценарии за бедствия, изготвени от ЕЦБ; и г) някои от тестовете, предвидени за 2009 и 2010 г., не са били осъществени. Препоръки 3. Годишната оценка на операционния риск следва да бъде включена в цикъла на стратегическото и финансовото планиране на ЕЦБ и в годишните работни програми на отделните функционални направления. 4. Необходимо е спешно да се предприемат мерки за преодоляване на средните или високите нива на риск. 5. ЕЦБ следва да продължи да усъвършенства своите планове за непрекъсваемост на бизнес процесите и техните програми за тестване, както и да се стреми да следи за осъществяването на всички предвидени тестове.

Ефективно ли се управлява финансовият риск от страна на ЕЦБ?

99. Създадените от ЕЦБ обща рамка и управление на финансовия риск, свързани с инвестициите и политиките, са подходящи. Проверката на рамката за управление на финансовия риск показа, че методологията за управление на финансовия риск позволява стабилно и адекватно управление на инвестициите и политиките в ЕЦБ. Въпреки това са необходими подобрения в практическото приложение на методологията, т.е. в областта на моделите, използвани за изчисляването на стратегически и тактически референтни нива (бенчмаркинг), както и за изчисляване на стойността под риск.

100. Докладите във връзка с управлението на операционния риск предоставят на висшето ръководство и на Изпълнителния съвет на ЕЦБ точна, подходяща и подробна информация относно управлението на финансовия риск. Докладването на резултатите от изпълнението се извършва редовно и навреме. То обаче не се актуализира системно, така че да отразява измененията в глобалните стандарти за представяне на резултатите от инвестициите. Препоръки 6. ЕЦБ следва да продължава да подобрява дейността си по преразглеждане и одобряване на моделите, използвани за изчисляването на стратегически и тактически референтни нива, както и изчисляването на стойността под риск, включително чрез изготвяне на подробна документация в случаите, когато предоставените документи са оценени като недостатъчни, тестване на моделите и редовна проверка на допусканията при процеса на изготвяне на модели. 7. Измененията на глобалните стандарти за представяне на резултатите от инвестициите следва да се преразглеждат веднъж годишно и да се обмисли възможността за тяхното пълно прилагане за целите на вътрешното отчитане на изпълнението на ЕЦБ.

Настоящият доклад беше приет от Одитен състав IV с ръководител Луис ГАЛЕА (Louis GALEA) — член на Сметната палата, в Люксембург на заседанието му от 27 март 2012 г. За Сметната палата Vítor Manuel da SILVA CALDEIRA Председател

(1) Член 127, параграф 1 от Договора за функционирането на Европейския съюз.

(2) Уставът на ЕСЦБ и на ЕЦБ е приложен като протокол към Договора.

(3) Член 27, параграф 2 от Протокола за Устава на ЕСЦБ и на ЕЦБ постановява: „Разпоредбите на член 287 от Договора за функционирането на Европейския съюз се прилагат само по отношение на прегледа на ефективността на операциите при управлението на ЕЦБ“.

(4) Член 9, параграф 3 от Протокола за Устава на ЕСЦБ и на ЕЦБ. Управителният съвет се състои от шестимата членове на Изпълнителния съвет и управителите на националните централни банки на страните от еврозоната. Изпълнителният съвет се състои от председател, заместник-председател и четирима други членове.

(5) Член 12, параграф 1 от Протокола за устава на ЕСЦБ и на ЕЦБ.

(6) Управлението на операционния риск обхваща рисковете, свързани с дейностите на ЕЦБ, включително тези, които се отнасят до процедурите и проектите на ЕСЦБ/Евросистемата.

(7) Критериите на Палатата, използвани за оценка на рамката на ЕЦБ за управление на операционните и финансовите рискове, са отбелязани в курсив в настоящия доклад. Освен ако не е посочено друго, тези критерии са определени от Палатата.

(8) Одитът не включи проверка на управлението на риска в Европейската система на централните банки (ЕСЦБ).

(9) Бяха извършени информационни посещения във Федералната резервна банка на Ню Йорк (Federal Reserve Bank of New York) и в Централната банка на Канада (Bank of Canada), а въпросници бяха изпратени до същите две институции, както и до Централната банка на Швейцария (Swiss National Bank).

(10) José Manuel González-Páramo, член на Изпълнителния съвет на ЕЦБ, Ulrich Bindseil и Evangelos Tabakis, Управление на рисковете за централните банки и други публични инвеститори, Cambridge University Press 2009.

(11) Ръководни принципи за управление на риска (High level principles for risk management), Комитет на европейските банкови надзорници, февруари 2010 г. (текстът в курсив е въведен от Европейската сметна палата, оригиналният текст в получерен шрифт е показан с нормален шрифт).

(12) Сектор, отдел, дирекция или генерална дирекция.

(13) Която е част от ГД „Човешки ресурси, бюджет и организационна структура“.

(14) Звеното ORM/BCM изпълнява също така и ролята на секретариат за Комитета за управление на операционния риск (ORC).

(15) Отдел „Управление на риска“ е в административната структура на ГД „Човешки ресурси, бюджет и организационна структура“, но се отчита за дейността си директно пред члена на Изпълнителния съвет, който отговаря за управлението на финансовия риск.

(16) ЕЦБ използва своя собствена рамка за счетоводно отчитане, установена с Решение ЕЦБ/2006/17 относно годишните отчети на ЕЦБ, изменено.

(17) Стойност под риск (VaR) е широко използвана стойност за измерване на риска от загуби за специфичен портфейл от финансови активи. В случая на даден портфейл, вероятност и времеви хоризонт, стойността под риск се определя като гранична стойност, при която вероятността оценените по пазарна стойност загуби на портфейла през дадения период от време да надвишават тази стойност, като се допуска наличието на нормален пазар и липса на операции в портфейла, представлява даденото ниво на вероятност (източник: Стойност под риск: новият бенчмаркинг за управление на финансов риск (Value at Risk: The New Benchmark for Managing Financial Risk (3-то издание), Philippe Jorion, McGraw-Hill Professional, 2006 г.).

(18) Международните стандарти за финансово отчитане представляват стандарти, тълкувания и рамка, основани на принципи, които са приети от Съвета по международни счетоводни стандарти (СМСС), познати също така под предишното си наименование Международни счетоводни стандарти (МСС). През февруари 2001 г. Европейската комисия представя регламент, които изисква от всички предприятия в ЕС, чиито ценни книжа се търгуват на регулиран пазар, включително банковите и застрахователните институции, да започнат преди 2005 г. да изготвят консолидирани отчети в съответствие с МСС. На държавите членки на ЕС беше предоставена възможността да разширят действието на този регламент спрямо предприятия, чиито ценни книжа не се търгуват, както и спрямо отчетите на отделни дружества. С оглед проследяването на интегрирането на тези норми в рамките на ЕС беше приет европейски механизъм за приемане на МСС на политическо и техническо ниво.

(19) До 31 декември 2010 г. Централната банка на Канада се отчиташе съгласно националните общоприети счетоводни принципи, като в същото време оповестяваше информация за управлението на риска в съответствие с МСФО. От 1 януари 2011 г. Централната банка на Канада се отчита в съответствие с МСФО.

(20) Практически наръчник за дейността, глава 26.

(21) През 2008 г. Изпълнителният съвет взема решение да съгласува рамката за управление на операционния риск в ЕЦБ с тази, която се прилага на ниво ЕСЦБ.

(22) Операционният риск се дефинира като „рискът от отрицателно въздействие върху финансите, дейностите и/или репутацията, произтичащи от неподходящо или провалено вътрешно управление и работни процеси или от страна на хора, системи или външни събития“.

(23) Комитетът има за цел да стимулира и надзирава разработването, прилагането и поддържането на управлението на операционния риск в ЕЦБ.

(24) Членовете са служители от висшето ръководство на генералните дирекции „Пазарни операции“, „Информационни системи“, „Администрация“, „Човешки ресурси, бюджет и организационна структура“, на две основни функционални направления, които се сменят веднъж годишно на ротационен принцип, както и съветникът на генералния директор на ГД „Човешки ресурси, бюджет и организационна структура“.

(25) Функционалното направление (субектът на риска), отговарящо за хоризонталния риск (риск, който се отразява върху различни функционални направления), следва да препоръча и/или да приложи подходящи мерки за третиране на риска, които се прилагат навсякъде в ЕЦБ.

(26) Според заключение от статията ERM at the Federal Reserve Bank of Richmond, 2007 г., Jack Dorminey и Richard Mohn.

(27) Източник: уебсайт на Централната банка на Канада „Средносрочен план 2010—2012 г.“ (www.bankofcanada.ca от 13 юли 2011 г.).

(28) По отношение на проекти, като например тези в областта на информационните технологии, съществуват процедури, представени в „Процедури, свързани с организирането и контрола на проекти“ (Project Organisation and Control Procedures). Информацията относно риска във връзка с проектите се отчита по отделен начин посредством Координационен съвет по проекта (Project Steering Committee)/Координационен съвет по проекта за строителство на нови сгради (New Premises Project Steering Committee). Настоящият одит не включва проверка на управлението на риска във връзка със специфични проекти.

(29) „Основни принципи за непрекъсваемост на бизнес процесите“, Базелски комитет за банков надзор, август 2006 г., параграф 9.

(30) „Практически наръчник за дейността“ (ПНД) 5 издание, ЕЦБ, 24 септември 2010 г.

(31) „Основни принципи за непрекъсваемост на бизнес процесите“, Базелски комитет за банков надзор, август 2006 г., параграф 10.

(32) „Преглед на анализа на въздействието от дейността на ЕЦБ“, 2006 г., генерална дирекция „Човешки ресурси, бюджет и организационна структура“, 16 януари 2007 г.

(33) Член 3 от Протокол (№ 4) относно устава на Европейската система на централните банки и на Европейската централна банка дефинира законоустановените задължения на ЕЦБ.

(34) „Насоки за осигуряване на непрекъсваемостта на бизнес процесите: практически подход за готовност при спешни ситуации, управление на кризи и възстановяване след бедствия“, ASIS international, 2005 г., параграф 11.3.

(35) Въз основа на шест сценария за бедствия при анализа на въздействието от дейността се оценява какъв е ефектът върху оперативния капацитет на всяко функционално направление.

(36) Съгласно Основните принципи за непрекъсваемост на бизнес процесите, Базелски комитет за банков надзор, август 2006 г., параграф 23.

(37) Т.е. органите за взимане на решение в случай на криза, съставът на екипа, отговорен за осигуряване на непрекъснатостта на дейността, отношенията с другите екипи, местоположенията на екипа за осигуряване на непрекъснатостта на дейността.

(38) Т.е. процесите, които са установени и одобрени в рамките на анализа на въздействието от дейността, придружени от списък на задълженията, в който подробно се представят различните дейности, необходими за осигуряване на непрекъснатостта на въпросните критични процеси.

(39) Т.е. ИТ и офис оборудване, както и наръчници.

(40) Основни принципи за непрекъсваемост на бизнес процесите, Базелски комитет за банков надзор, август 2006 г., параграф 13.

(41) ГД „Информационни системи“ разполага с отделна процедура за непрекъсваемост на бизнес процесите. Тя е предмет на външен одит за съответствие с нормата ISO 20000 и поради това планът за непрекъсваемост на бизнес процесите на тази генерална дирекция не е включен в обхвата на одита, извършен от Палатата през 2010 г.

(42) Основни принципи за непрекъсваемост на бизнес процесите, Базелски комитет за банков надзор, август 2006 г., принцип № 6.

(43) Британски стандарт от Кодекса с практически правила за управление на непрекъсваемост на бизнес процесите.

(44) „Стратегия на ЕЦБ относно обученията и в областта на тестване на непрекъсваемостта на бизнес процесите“, Комитет за управление на операционния риск, 4 март 2008 г.

(45) „Насоки за осигуряване на непрекъсваемост на бизнес процесите: практически подход за готовност при спешни ситуации, управление на кризи и възстановяване след бедствия“, ASIS international, 2005 г., параграф 12.1.1.

(46) „Стратегия на ЕЦБ относно обученията и в областта на тестване на непрекъсваемостта на бизнес процесите“, Комитет за управление на операционния риск, 4 март 2008 г.

(47) „Стратегия относно обученията и тестването на непрекъсваемостта на бизнес процесите“, стр. 15; „Практически наръчник за дейността“, 26.1; Рамка за осигуряване на непрекъсваемостта на бизнес процесите (интранет сайт на ЕЦБ); документ относно политиката за осигуряване на непрекъсваемостта на бизнес процесите.

(48) Доклад относно вътрешното проучване на удовлетвореността на клиентите, извършено в ЕЦБ през 2010 и 2009 г.

(49) Базел, ERM COSO (Управление на риска в предприятието, Комитет на спонсориращите организации).

(50) Насоки на Европейската централна банка от 20 юни 2008 г. относно управлението на чуждестранните резервни активи на Европейската централна банка от националните централни банки и правната документация за операциите с такива активи (преработен текст) (ЕЦБ/2008/5) (2008/596/ЕО).

(51) „Насоки за механизма за финансиране на текущи разходи“, юли 2010 г., „Насоки във връзка с инвестирането на собствените средства на ЕЦБ“, септември 2010 г.

(52) Насоки на Европейската централна банка от 26 септември 2002 г. относно минималните стандарти за Европейската централна банка и националните централни банки при провеждане на операции по паричната политика, валутни операции с чуждестранните резерви на ЕЦБ и при управлението на чуждестранните резервни активи на ЕЦБ (ЕЦБ/2002/6).

(53) Включително резервите от злато.

(54) Портфейли, предназначени за програмата за изкупуване на обезпечени облигации и програмата за пазарите на ценни книжа.

(55) Приложение, което се използва за управление на чуждестранните резерви и собствените средства на ЕЦБ, както и за предоставяне на данни във връзка с изпълнението.

(56) „Наръчник за управление на финансовия риск — политики и процедури“, март 2008 г.

(57) Редовно преразглеждане на точки i)—v) или поне веднъж годишно от страна на Изпълнителния съвет или на Управителния съвет.

(58) Решението за него се взима от Управителния съвет по отношение на чуждестранните резерви и Изпълнителния съвет по отношение на отдела за управление на риска.

(59) Глобалните стандарти за представяне на резултатите от инвестициите (GIPS), които са създадени и администрирани от Института на сертифицираните финансови анализатори, представляват набор от стандартни етични норми по отношение на управлението на активи, които дават насоки за начина на изчисляване и докладване на инвестиционните резултати. Те са доброволни и се базират на основните принципи за пълна прозрачност и справедливо представяне на резултатите от инвестициите.