HU Az Európai Unió Hivatalos Lapja C 173/1

JELENTÉS

az Európai Központi Bank kockázatkezelésével kapcsolatos, a 2010-es pénzügyi évre vonatkozó ellenőrzésről, az EKB válaszaival együtt

2012/C 173/01

TARTALOMJEGYZÉK

Bekezdés Oldal BEVEZETÉS … 1-4 3 AZ ELLENŐRZÉS HATÓKÖRE ÉS MÓDSZERE … 5-6 3 ELLENŐRZÉSI MEGÁLLAPÍTÁSOK … 7-91 3 Az EKB megfelelő és átfogó irányítási keretrendszert alakított-e ki a kockázatok kezelésére? … 7-18 3 A kockázatkezelés általános keretei … 8-14 3 Külső felek tájékoztatása az EKB kockázatkezelési keretrendszeréről … 15-18 4 Az EKB eredményesen kezelte-e működési kockázatait? … 19-66 5 A működési kockázatok kezelése … 20-39 5 Üzletmenet-folytonossági tervezés az EKB-nél … 40-66 7 Eredményesen kezelte-e pénzügyi kockázatait az EKB? … 67-91 10 Pénzügyikockázat-kezelési keretrendszer befektetésekhez és szakpolitikai műveletekhez … 69-74 10 Pénzügyikockázat-kezelési módszerek … 75-83 11 A pénzügyikockázat-kezelési módszerek alkalmazása … 84-88 12 Megfelelőek-e a pénzügyi kockázatokról szóló beszámolók? … 89-91 12 KÖVETKEZTETÉSEK ÉS AJÁNLÁSOK … 92-100 13 Az EKB megfelelő és átfogó irányítási keretrendszert alakított-e ki a kockázatok kezelésére? … 92-93 13 Az EKB eredményesen kezelte-e működési kockázatait? … 94-98 13 Eredményesen kezelte-e pénzügyi kockázatait az EKB? … 99-100 13 Az Európai Központi Bank válaszai … 15

RÖVIDÍTÉSEK

BCM Üzletmenet-folytonossági tervezés (Business Continuity Management) BCP Üzletmenet-folytonossági terv (Business Continuity Plan) BIA Üzleti hatásvizsgálat (Business Impact Analyses) BIS Nemzetközi Fizetések Bankja (Bank for International Settlements) BPH Üzleti gyakorlati kézikönyv (Business Practice Handbook) CBPP Fedezettkötvény-vásárlási program (Covered Bonds Purchase Programme) CRO Kockázatkezelési igazgató (Chief Risk Officer) D-CO Kommunikációs Igazgatóság DG-A Igazgatási Főigazgatóság DG-H Humánerőforrás-, Költségvetési és Szervezeti Főigazgatóság DG-IS Információs Rendszerek Főigazgatósága DG-M Piaci Műveletek Főigazgatósága DG-P Támogatási Rendszerek Főigazgatósága DG-S Statisztikai Főigazgatóság EB Igazgatóság (Executive Board) EKB Európai Központi Bank FOS Pénzügyi műveleti részleg (Financial Operation Services) GIPS A befektetések teljesítménymérésének globális szokványai (Global Investment Performance Standards) IAS Nemzetközi Számviteli Standardok (International Accounting Standards) IASB Nemzetközi Számviteli Standardok Testülete (International Accounting Standards Board) IFRS Nemzetközi Pénzügyi Beszámolási Standardok (International Financial Reporting Standards) INV Befektetési részleg (Investment Division) KBER Központi Bankok Európai Rendszere MOS Piaci műveleti rendszerek (Market Operations Systems) NKB Nemzeti központi bankok OFM A szavatolótőke kezelése (Own Funds Management) ORC Működési kockázati bizottság (Operational Risk Committee) ORM Működési kockázatok kezelése (Operational Risk Management) RMA Kockázatkezelési részleg (Risk Management Division) a DG-H-n belül SMP Értékpapír-piaci program (Securities Markets Programme) VaR Kockázati érték (Value at Risk)

BEVEZETÉS

1. Az Európai Központi Bank (EKB) és az uniós tagállamok nemzeti központi bankjai alkotják együttesen a Központi Bankok Európai Rendszerét (KBER). A KBER elsődleges célja az árstabilitás fenntartása. Ezenkívül az uniós célkitűzések elérésének elősegítése érdekében a KBER támogatja az Európai Unió általános gazdaságpolitikáját (1). Az EKB e cél érdekében hajtja végre alapokmányában (2) meghatározott feladatait és felel tevékenysége és pénzügyei irányításáért.

2. Az EKB ügyvezetésének hatékonyságát az Európai Számvevőszék a KBER és az EKB alapokmányáról szóló jegyzőkönyv 27. cikkének (2) bekezdése értelmében ellenőrzi (3). A 2010-ben végzett ellenőrzés az EKB által létrehozott kockázatkezelési eljárásokra és rendszerekre, valamint azok alkalmazására irányult.

3. Az EKB döntéshozó szervei a Kormányzótanács és az Igazgatóság (4). Az Igazgatóság a Kormányzótanács által hozott iránymutatások és határozatok alapján végrehajtja a monetáris politikát (5), és átfogó felelősséggel tartozik az EKB mindennapi működtetésének és erőforrás-felhasználásának az irányításáért. Az Igazgatóság viseli a végső felelősséget az EKB kockázatkezelési tevékenységéért is.

4. Az EKB a kockázatokat két különálló keretrendszer révén kezeli. Az ORM (6)/BCM működésikockázat-kezelési egység (működésikockázat-kezelés: ORM, üzletmenet-folytonosság: BCM) valamennyi működési kockázattal foglalkozik (lásd a 22. lábjegyzetet), köztük az üzletmenet-folytonossággal is. A kockázatkezelési részleg (RMA) a pénzügyi kockázatok kezelésével foglalkozik (lásd a 70. bekezdést), ideértve az EKB befektetési tevékenységeit és hitelműveleteit is.

AZ ELLENŐRZÉS HATÓKÖRE ÉS MÓDSZERE

5. A Számvevőszék 2010-es pénzügyi évben végzett ellenőrzésének célja annak értékelése volt, hogy megfelelő-e az EKB működésikockázat- és pénzügyikockázat-kezelési keretrendszere (7). Az EKB kockázatkezelési tevékenységét az alábbi főbb ellenőrzési kérdések segítségével értékeltük: — Az EKB megfelelő és átfogó irányítási keretrendszert alakított-e ki a kockázatok kezelésére? — Az EKB eredményesen kezelte-e működési kockázatait? — Az EKB eredményesen kezelte-e pénzügyi kockázatait?

6. Az EKB kockázatkezelésének ellenőrzése (8) a következőkből állt: a) az EKB átfogó kockázatkezelési keretrendszerének vizsgálata, és ennek keretében az egyéb hasonló nemzetközi szervezeteknél a kockázatkezelés területén bevált gyakorlatok áttekintése (9); b) a működésikockázat-kezelési keretrendszer vizsgálata és hat kiválasztott szervezeti egység (főigazgatóság) tesztelése a keretrendszer végrehajtásának értékelése céljából. Ezeket úgy választották ki, hogy a mintába bekerüljenek: i. a jelentős működési kockázatok; ii. mind az EKB alaptevékenységei, mind járulékos tevékenységei; valamint iii. a horizontális kockázatok kezelését igénylő tevékenységek. A következő főigazgatóságokat választottuk ki: Piaci Műveletek (DG-M), Támogatási Rendszerek (DG-P), Statisztika (DG-S), Igazgatás (DG-A), Információs Rendszerek (DG-IS) és Kommunikáció (D-CO); c) A pénzügyikockázat-kezelési keretrendszer áttekintése, valamint a Humánerőforrás, Költségvetés és Szervezet Főigazgatóság kockázatkezelési részlegének (RMA), valamint a Piaci Műveletek Főigazgatóság piaci műveleti rendszerek (MOS), pénzügyi műveleti szolgáltatások (FOS) és befektetések (INV) részlegeinek részletes tesztelése. Az EKB kockázatkezelési módszereinek, valamint azok alkalmazásának értékeléséhez a luxemburgi Ernst and Young pénzügyikockázat-szakértői csoportjának szakmai segítségét is igénybe vettük.

ELLENŐRZÉSI MEGÁLLAPÍTÁSOK

Az EKB megfelelő és átfogó irányítási keretrendszert alakított-e ki a kockázatok kezelésére?

7. Az EKB meghirdetett célja, hogy kockázatkezelési eljárásai során a legjobbnak minősülő módszereket alkalmazza: „Az Európai Központi Bank a kezdetektől fogva különös figyelmet fordított a kockázatkezelés területére. A központi bankok közössége új tagjaként törekedett rá, hogy az intézményen belül a kockázatkezelés megszervezése során a legkorszerűbb eszközök alkalmazásával a legmagasabb irányítási normákat valósítsa meg.” (10)

A kockázatkezelés általános keretei

8. „ Az eredményes kockázatkezelés egyik alapköve az, hogy az egész intézményt áthassa a megbízható kockázatkezelési kultúra. Ilyen kultúra csak úgy bontakozhat ki, ha átfogó (minden kockázattípust, üzletágat és releváns kockázatot lefedő), illetve függetlenül működő kockázatkezelési funkciót hoznak létre, amely a kockázatkezelési igazgató (vagy ha ilyet nem neveztek ki, a felső vezetőség) közvetlen felügyelete alá tartozik, az arányosság elvét követve. ” ( 11 )

9. Az EKB-nál az egyes szervezeti egységek (12) maguk felelősek saját kockázatkezelésükért és az arra irányuló kontrollokért. Az alábbi két külön funkció, illetve részleg feladata, hogy a kockázatkezelési folyamatban támogassa a szervezeti egységeket: — az ORM/BCM funkció (13) feladata a módszertani karbantartás, a működési kockázatokkal kapcsolatos valamennyi tevékenység koordinálása, valamint tevékeny, előrelátó tanácsadás a szervezeti egységeknek (14), — a kockázatkezelési részleg (RMA) a pénzügyi kockázatok kezelésével foglalkozik (15). A kockázatkezelési részleg feladata, hogy a kockázatkezelés terén koncepciókat és eljárásokat javasoljon, valamint szervezeti támogatást nyújtson az EKB – illetve az EKB nevében az eurorendszer – által végzett valamennyi pénzpiaci művelethez. A részleg két csoportból áll, ezek: a kockázatelemzési és a kockázati stratégiai csoport.

10. Az Igazgatóságot számos, a kockázatkezelés különböző szempontjaival foglalkozó bizottság segíti a döntéshozatalban, többek között a működési kockázati bizottság, a befektetési bizottság, az eszközök és források bizottsága, valamint a hitelezési bizottság.

11. Az EKB átfogó szervezeti struktúrájában a szerepek és a feladatok világosan meg vannak határozva. A pénzügyi és a működési kockázatok kezelése között azonban az EKB-ban éles határvonal húzódik, ami növeli azt a veszélyt, hogy a bank egészét érintő kockázatok átfogóan esetleg nem lesznek észlelhetők.

12. Nem hoztak létre olyan egységes szervet (pl. kockázatkezelési igazgató vagy átfogó kockázatkezelési bizottság), amely az Igazgatóság, illetve a két kockázatkezelési egység (ORM/BCM és RMA) között független módon működne. A számvevőszéki ellenőrzés idején a kockázatkezeléssel megbízott igazgatósági tag számos egyéb hatáskörrel is meg volt bízva, míg egy kockázatkezelési igazgató kizárólag erre a területre összpontosítana.

13. A független, egyetlen más részlegnek sem alárendelt kockázatkezelési funkció hiánya továbbá növeli annak kockázatát, hogy a kockázatkezeléssel kapcsolatos problémák nem kapnak kellő figyelmet (pl. hogy elegendő-e a kockázatkezelési feladatokat ellátó munkatársak száma, mivel minden ilyen kérdés a DG-H hatáskörébe tartozik).

14. Az egyéb hasonló nemzetközi szervezeteknél bevált módszerek áttekintése során kiderült, hogy a Bank of Canadánál elfogadott integrált kockázatkezelési keretrendszernek része egy kockázatkezelési igazgató és egy kockázatkezelési munkacsoport is. Mindkettő azzal foglalkozik, hogy egy üzleti, működési és pénzügyi kockázatokat magában foglaló átfogó kockázati profilt alakítson ki a bank részére, lásd az 1. háttérmagyarázatot. A bank kockázatkezelési keretrendszere szerves részét képezi a bank stratégiai tervezési, költségvetés-tervezési és év végi teljesítményértékelési folyamatainak. 1. háttérmagyarázat Példa integrált kockázatkezelésre – Bank of Canada A kockázatkezelési igazgató feladatai a következők: — irányítja az integrált kockázatkezelési szabályozási keret kidolgozását és fejlesztését, és megszerzi a vezetőség jóváhagyását, — kockázatkezelési útmutatást és tanácsot ad a felső vezetőség más tagjai számára, betölti a kockázatkezelési munkacsoport elnöki tisztét, — a pénzügyi osztály mellett a pénzalap-kezelési bizottság kockázatkezelési bizottságának társelnöke. A kockázatkezelési munkacsoport a következő feladatokat látja el: — elősegíti a bank kockázati önértékelésének teljes körű frissítését és az éves és évközi kockázatkezelési jelentés kidolgozását, — évente három–négy alkalommal ülésezik, hogy felülvizsgálja a bank kockázati profilját és megossza a kockázatkezelési kezdeményezéseket a képviselők funkcióival/részlegeivel.

Külső felek tájékoztatása az EKB kockázatkezelési keretrendszeréről

15. Az EKB kockázatkezelési módszereiről kellően tájékoztatni kell a nyilvánosságot, hogy a külső felek kellően értékelhessék azokat.

16. Az EKB éves jelentést tesz közzé, amelynek részét képezi az éves beszámoló és az azt kiegészítő információk (16). Az éves beszámoló meglehetősen szűkszavúan tájékoztat a kockázatkezelésről, és az EKB kockázatkezelési elveiről és adatairól szóló információk – a konszolidált kockázati érték (value at risk, VaR) (17) kivételével – nyilvánosan nem hozzáférhetők. Az EKB éves jelentése csak röviden számol be egyes kockázatkezelési kérdésekről, nem mutatja be viszont átfogóan a szervezet kockázatkezelési folyamatát, a felmerülő kockázatokat, illetve a vezetőségnek a kockázatokkal kapcsolatos megközelítését.

17. Egy adott szervezet beszámolójának bemutatásához a Nemzetközi Pénzügyi Beszámolási Standardok (IFRS) (18) alkalmazása számít a leginkább bevett gyakorlatnak. A 7. IFRS standard („Pénzügyi eszközök nyilvánossá tétele”) egy adott szervezetnél előforduló kockázatoknak a beszámolókban történő bemutatásával foglalkozik, de az EKB ezt nem alkalmazza.

18. Más nemzetközi vagy nemzeti központi banki szervezetek, mint pl. a Bank for International Settlement (BIS) vagy a Bank of Canada, közölnek kockázatkezelésre vonatkozó információkat az éves pénzügyi kimutatásaikban, habár egyikük nem alkalmazza az IFRS-t (lásd alább a 2. háttérmagyarázatot). 2. háttérmagyarázat A kockázatkezelési adatok közzététele – példa Szervezet Kockázatkezelési adatok közzététele az éves beszámolóban Pénzügyi beszámolási keretrendszer Bank for International Settlements (BIS) Az éves beszámoló tájékoztat a banknál felmerült kockázatokról, a kockázatkezelési megközelítésről és a szervezeti felépítésről, valamint részletes áttekintést ad a hitel-, a piaci, a likviditási és a működési kockázatról. A bank alapokmányában meghatározott külön pénzügyi beszámolási keretrendszer Bank of Canada Az éves beszámoló áttekintést ad a kockázatkezelési eljárásról, a kockázatirányítási szerkezetről, a pénzügyikockázat-kezelő szerepéről, a banknál felmerülő pénzügyi kockázatokról, és részletesen szól a hitel-, a piaci és a likviditási kockázatról. IFRS (19)

Az EKB eredményesen kezelte-e működési kockázatait?

19. Az üzletmenet-folytonossági tervezés kiegészíti az EKB működésikockázat-kezelési (ORM) keretrendszerét, és mindkettő fontos szerepet játszik a szervezetirányításban (20).

A működési kockázatok kezelése

20. Az eredményes működésikockázat-kezelési keretrendszer a következőket foglalja magában: egyértelműen megfogalmazott stratégiák, az igazgatótanács és a felső vezetőség felügyeleti szerepe, megbízható működési kockázati és belsőkontroll-kultúra (a felelősségi körök egyértelmű elhatárolását és a feladatok elkülönítését is beleértve), valamint eredményes belső beszámolás.

21. Az EKB működésikockázat-kezelésének értékeléséhez a Számvevőszék a következőket vizsgálta meg: — az EKB által bevezetett ORM-koncepciók, — a működésikockázat-kezeléshez kapcsolódó szervezeti felépítés és feladatkörök, — hogyan tagolódik be az ORM a stratégiai és a pénzügyi tervezésbe (éves költségvetési ciklus), — a kockázatok azonosítása, értékelése és az azokra történő reagálás, beszámolás, valamint monitoring és utóellenőrzés a szervezeti egységeknél, illetve központi szinten.

Működési kockázati politikák

22. Az ORM-politikák keretében egyértelműen, a bank valamennyi részlegére érvényesen meg kell határozni a működési kockázat fogalmát, és le kell fektetni a kockázat azonosítását, értékelését, monitorozását, valamint kezelését/csökkentését körvonalazó banki koncepciókat.

23. Az EKB működésikockázat-kezelési keretrendszerét az Igazgatóság 2007 októberében fogadta el (21), és azt az intraneten közzétett és a személyzet valamennyi tagja által elérhető Üzleti gyakorlati kézikönyv (BPH) tartalmazza. Ebben szerepel az EKB által alkalmazott ORM-meghatározás (22), a kockázatvállalási hajlandósággal kapcsolatos politika, szerepek, illetve feladatkörök, valamint az értékeléssel, a reagálással, a beszámolással és a monitoringgal kapcsolatos politikák.

24. A kialakított ORM-politikák egyértelműen, a bank valamennyi részlegére érvényes módon meghatározzák a működési kockázat fogalmát, és lefektetik a kockázat értékelését, monitoringját, valamint kezelését/csökkentését körvonalazó banki koncepciókat. Arról azonban, hogy a bank milyen megközelítést alkalmaz a kockázatok azonosításához, a BPH nem tartalmaz részleteket.

Szervezeti felépítés és feladatkörök

25. A szervezeti egységek vezetőit feladatkörökkel kell felruházni a bank minden lényeges tevékenysége, folyamata és rendszere során felmerülő működési kockázatok kezeléséhez szükséges politikák, folyamatok és eljárások végrehajtását illetően. A bank rendelkezzen emellett működésikockázat-kezelési rendszerrel is, amelyben a kockázatkezelési funkcióhoz világos feladatköröket rendelnek.

26. Az EKB-nál a működési kockázat kezeléséért a végső felelősséget az Igazgatóság viseli. A működési kockázati bizottság (ORC) a stratégiai és a középtávú témákkal, valamint a legfontosabb rövid távú és eseti jellegű témákkal foglalkozik (23). A bizottság egy igazgatósági tagból (elnök), valamint a bank hét felső vezetőjéből áll (24). Döntéshozatali hatáskörrel bír a középszintű kockázatok elfogadását illetően, a magas szintű kockázatok elfogadásáról azonban az Igazgatóság dönt. A bizottság kéthavonta – szükség esetén pedig ennél gyakrabban is – ülésezik.

27. A BPH egyértelműen utal arra, hogy működési kockázataik kezeléséért maguk a szervezeti egységek felelősek (25). Ennek megfelelően minden szervezeti egységnek ki kell neveznie (legalább) egy kockázati koordinátort: az egységen belül ő az első számú kapcsolati pont a működési kockázatok kezelésével kapcsolatos kérdések tekintetében, és feladata a szervezeti egységvezetők támogatása ebben a témában. A szervezeti egységvezetők feladata biztosítani azt is, hogy az alkalmazottak megszerezzék és folyamatosan frissítsék a szükséges szakmai ismereteket, s így a működésikockázat-kezelés terén felelősen és elszámoltathatóan léphessenek fel. Az ORM/BCM funkciónak ki kell fejlesztenie és fenn kell tartania a működésikockázat-kezelés keretrendszerét, valamint össze kell hangolnia a szervezeti egységek ORM-mel kapcsolatos megközelítését.

28. Az ORM/BCM funkció nyolc munkatársa közül a számvevőszéki ellenőrzés idején mindössze négy volt az állandó alkalmazott. A többi négy alkalmazott vagy nemzeti központi bankok kiküldött munkatársa volt, vagy legalább három hónapos és legfeljebb kétéves határozott idejű szerződéssel dolgozott a részlegnél. Ebből következően magas a fluktuáció aránya ebben a fontos szereppel bíró részlegben, ami bizonyos mértékig akadályozza a folytonos munkavégzést, illetve növeli annak kockázatát, hogy az ORM keretrendszerét az EKB nem alkalmazza megfelelően.

29. Az a kérdés, hogy az alkalmazottak milyen mértékben ismerik az ORM keretrendszert, szerepelt a munkatársak körében végzett 2009-es és 2010-es felmérésben is. A 2009-es felmérés rámutatott, hogy a válaszadók körülbelül 40 %-a állítása szerint nem kap elegendő információt az ORM-ről; 56 %-uk nem tudja, szervezeti egységében kit jelöltek ki kockázati koordinátornak, 45 %-uk pedig nem tudja, hol találhat információt az ORM-ről az intraneten. A 2010-es felmérés szerint 40 % továbbra sem tudja, hol találhat információt az ORM-ről.

Betagolódás a stratégiai és pénzügyi tervezésbe (éves költségvetési ciklus)

30. A kockázatkezelés épüljön bele az irányításba, és képezze szerves részét a bank stratégiai, üzleti és pénzügyi tervezésének.

31. Az EKB-nél a kockázati profil kialakításának fontos része a működési kockázatok éves értékelése, amelyet a szervezeti egységek és az ORM/BCM funkció végeznek. A 2009-es értékelést a szervezeti egységek 2009. június és augusztus között végezték el, majd egyeztető ülésre került sor a kockázati koordinátorokkal. A top-down jelentés végleges változata 2010 januárjában készült el.

32. A kockázati profilt a – pénzügyi tervet megalapozó – stratégiai tervezési folyamat egyik inputjaként kell felhasználni. A számvevőszéki ellenőrzés azonban arra mutatott rá, hogy a működési kockázatok éves értékelése nem képezi részét az EKB stratégiai és pénzügyi tervezési ciklusának. Ebből adódóan felmerül a kockázat, hogy az ORM a többi tevékenységtől elszigetelődik, és így a pénzügyi terv nem megfelelően rendel forrásokat az egyes stratégiai célok eléréséhez (26).

33. Követendő példával jár elöl a Bank of Canada, ahol a bank kockázati profilja szerves részét képezi a bank átfogó stratégiai és pénzügyi tervezési ciklusának (27).

Az ORM folyamata: a kockázatok azonosítása, értékelése és az azokra történő reagálás, beszámolás, monitoring és utóellenőrzés

A kockázatok azonosítása, értékelése és az azokra történő reagálás

34. A tevékenységekben, folyamatokban és rendszerekben eredendően meglévő valamennyi működési kockázatot azonosítani és értékelni kell. A kockázatok értékelését az érvényben lévő politika és toleranciaszint szerint kell elvégezni, majd a szükséges költségszámítás alapján megfelelő válaszlépést kell meghatározni. A releváns információkról rendszeresen be kell számolni a felső vezetőségnek és az Igazgatóságnak: ezek a beszámolók elősegítik a működési kockázatok előretekintő kezelését.

35. Az ORM keretrendszer végrehajtása főként felülről lefelé történő (top-down) értékelésekből állt. Az EKB kockázati politikájának megfelelően a szervezeti egységeknek folyamatosan alulról felfelé történő (bottom-up) értékeléseket is kell végezniük az adott szervezeti egységben zajló folyamatokról, és az azonosított kockázatokat jóvá kell hagyni (28).

36. Az EKB 2008-ban és 2009-ben végzett felülről lefelé történő (top-down) kockázatértékeléseket. Az ORM/BCM funkció néhány magas szintű kockázatot előre meghatározott a szervezeti egységek számára, akik ezek alapján végezték el a kockázatértékelést. A zárójelentésben valamennyi szervezeti egységre vonatkozó cselekvési terv is szerepel. A BPH előírja, hogy a szervezeti egységek határozzanak meg stratégiákat a kockázatokra adandó válaszokra vonatkozóan, elemezzék azokat, és készítsenek költség-haszon elemzést a lehetséges megoldásokról.

37. A 2009-es felülről lefelé történő elemzés kapcsán minden szervezeti egység határozott meg kockázatokat és válaszokat. A 2009-es top-down értékelési jelentés valamennyi szervezeti egységre vonatkozóan tartalmazott utóellenőrzést igénylő pontokat. A mintában szereplő szervezeti egységek esetében költség-haszon elemzést azonban nem találtunk a dokumentációban.

38. Egyes kockázatok tekintetében a működési kockázati bizottság, illetve a végrehajtó bizottság igen lassan intézkedett azt követően, hogy a szervezeti egység azonosította a kockázatokat. A 2009 júliusában, illetve augusztusában azonosított két kockázatot például még 2010 decemberében sem hagyták jóvá. A működési kockázati bizottság ülésein áttekintett, megoldatlan feladatokat tartalmazó listák szintén azt mutatják, hogy egyes feladatok több mint egy évig maradtak megoldatlanok, sőt volt olyan is, amelyet két évig sem zártak le.

39. A mintában szereplő hat szervezeti egységből mindössze három azonosította munkaprogramjában az ORM-tevékenységekre elkülönített konkrét forrásokat, az ORM-tevékenységek leírása azonban elnagyolt volt, és a feladatokat a 2009-es ORM top-down elemzés alapján nem lehetett azonosítani a szervezeti egységek munkaprogramjában található feladatokkal.

Üzletmenet-folytonossági tervezés az EKB-nél

40. Az üzletmenet-folytonossági tervezés (BCM) a működési kockázatok kezelésének fontos eleme. A BCM feladata, hogy válságos helyzetben készenléti és helyreállítási tervekkel biztosítsa a kritikus fontosságú tevékenységek és folyamatok folytonosságát a legkedvezőtlenebb körülmények között is.

41. A Számvevőszék megvizsgálta, hogy: i. megfelelő-e és a bevált gyakorlattal összhangban áll-e az általános BCM keretrendszer; ii. megfelelően meg van-e határozva, hogy melyek a kritikus fontosságú folyamatok; iii. az egyes kiválasztott szervezeti egységek üzletmenet-folytonossági tervei (Business Continuity Plan, BCP) a kockázatokat helyesen kezelve biztosítják-e a kritikus fontosságú műveletek megfelelő folytonosságát; iv. megfelelően tesztelték-e az üzletmenet-folytonossági szabályokat; v. ismerték-e a munkatársak az üzletmenet-folytonossági intézkedéseket, illetve részesültek-e erre irányuló képzésben.

A BCM-keretrendszer

42. Az üzletmenet-folytonossági tervezés különböző koncepciókat, standardokat és eljárásokat magában foglaló átfogó üzleti megközelítés annak biztosítására, hogy zavar esetén meghatározott műveleteket fenn lehessen tartani, illetve időben helyre lehessen állítani. Célja, hogy minimalizálja a zavar működési, pénzügyi, jogi, a hírnevet érintő és egyéb anyagi következményeit (29).

43. A BCM célja annak biztosítása, hogy az üzletmenet-folytonossági intézkedések és megoldások összhangban legyenek az EKB célkitűzéseivel, kötelezettségeivel, jogszabályban előírt feladataival, valamint kockázatvállalási politikájával (30).

44. Ellenőrzésünk során áttekintettük a BCM keretét adó alábbi fő dokumentumokat: — az Üzleti gyakorlati kézikönyv 26. fejezete, amely megszabja az átfogó keretet, meghatározza a további folyamatokat és elérendő eredményeket, illetve a szerepköröket és felelősségeket, — az EKB üzletmenet-folytonossági tesztelési és képzési stratégiája, — az üzletmenet-folytonossági tesztelési program, — a válságkezelési kézikönyv.

45. Az EKB válságkezelési kézikönyvet dolgozott ki, amely meghatározza a válság esetén érvényes szerep- és felelősségi köröket és folyamatokat, illetve megadja a válságkezelő csoport elérhetőségeit. Minden szervezeti egység teljesen önállóan dolgozza ki üzletmenet-folytonossági tervét. A magas szintű üzletmenet-folytonossági tervmodell azonban az EKB szintjén nem ír elő átfogó tervet, és nem is készült ilyen.

46. Az EKB az üzletmenet-folytonossági tervezés terén világos keretet szabott a szervezet belső politikáinak, folyamatainak és felelősségi köreinek. Az EKB decentralizáló hozzáállása ugyanakkor azzal a kockázattal jár, hogy szoros koordináció hiányában a BCM alkalmazása nem lesz következetes a szervezet egészében.

A kritikus fontosságú folyamatok meghatározása

47. Az üzleti hatásvizsgálat (BIA) dinamikus folyamat, amely meghatározza, hogy melyek a kritikus fontosságú műveletek és szolgáltatások, a legfontosabb belső és külső összefüggések, valamint az ellenálló képesség megfelelő szintjei. A hatásvizsgálat értékeli, hogy mekkora a kockázatuk a különböző üzemzavaroknak, és hogy azok milyen lehetséges hatással vannak az érintett szervezet működésére és hírnevére (31).

48. A legutóbbi teljes üzleti hatásvizsgálatra 2006-ban került sor (32) azzal a céllal, hogy meghatározzák, melyek az EKB azon eredményei és szolgáltatásai, amelyek kritikus fontosságúak a bank fő műveleteinek folytonossága szempontjából. A hatásvizsgálat elsősorban a következőkre összpontosított: — a kritikus fontosságú üzleti folyamatok meghatározása, — a kritikus fontosságú követelmények kategorizálása, — útmutatás a nem visszatérő vagy nem gyakori folyamatok kezeléséhez, — további támogatási követelmények meghatározása.

49. Az üzleti hatásvizsgálat 2007-es átfogó aktualizálása hiányosságokat tárt fel az üzletmenet-folytonosság és az akkor érvényes intézkedések terén. Az e vizsgálat figyelembevételével kidolgozott stratégia két opciót vázolt fel: egyfelől a hiányosságok felszámolása mellett is lehetett dönteni, másfelől úgy is, hogy inkább elfogadják a kockázatokat és a költségeket. E dokumentum az egyes informatikai és logisztikai-infrastrukturális megoldások függvényében mutatta be a költségeket, ám azt nem részletezte, hogy miként változnak a költségek a különböző kockázati szintektől függően.

50. Az üzleti hatásvizsgálatot legutóbb 2010-ben aktualizálták, a 2007-ben feltárt hiányosságok felszámolásának céljával. A pénzügyi válság óta teljes körű üzleti hatásvizsgálatra nem került sor.

Üzletmenet-folytonossági tervek

Kritikus fontosságú műveletek

51. Az üzletmenet-folytonossági tervek kialakításánál meg kell állapítani, hogy melyek a kritikus fontosságú műveletek, annak érdekében, hogy az EKB eleget tudjon tenni az alapokmányáról szóló vonatkozó jegyzőkönyvben (33) megszabott kötelezettségeinek. Az üzletmenet-folytonossági terveket a lehetséges legrosszabb eseteket szem előtt tartva kell kidolgozni, úgy, hogy a reakció a tényleges válsághelyzetnek megfelelő intenzitású lehessen (34).

52. Alapokmányi kötelezettségeiből kiindulva az EKB egyes kockázatokat illetően tisztázta, hogy milyen elsődleges kritériumok alapján kell meghatározni a kritikus fontosságot (lásd a 3. háttérmagyarázatot). 3. háttérmagyarázat Elsődleges kritériumok a kritikus fontosság meghatározásához Az alapokmányi kötelezettségek betartása, éspedig: — az euroövezet monetáris politikájának meghatározása és végrehajtása, — devizaműveletek végrehajtása, — az euroövezeti országok hivatalos devizatartalékainak birtokban tartása és kezelése, — a fizetési rendszerek zavartalan működésének elősegítése. A megszakítás hatása egy adott folyamatra az alábbiak tekintetében: — a piacok instabilitása, — hitelvesztés/imázsvesztés/hírnévromlás, — az EKB pénzügyi vesztesége, — egyéb intézmények pénzügyi vesztesége, — potenciális jogi problémák, — egyéb, itt nem szereplő hatások. Forrás: Az EKB üzleti hatásvizsgálata, 2006.

53. Ezeknek az elsődleges kritériumoknak a számvevőszéki áttekintése, illetve a különböző vészhelyzetekben potenciálisan fenntartható műveleti szintek előzetes értékelése alapján (35) elmondható, hogy a kidolgozott tervek biztosítani tudják az alapokmányi kötelezettségek betartását. Az üzletmenet-folytonossági tervek számvevőszéki vizsgálata szerint azonban nincsenek tervek arra az esetre, ha vészhelyzetben súlyos humánerőforrás-veszteséggel kellene szembenézni (36). A folyamatokat kidolgozó szervezeti egységek ugyan kijelölték az üzletmenet-folytonosságért felelős munkatársakat és azok helyetteseit, ám egyik egységnek sem volt készenléti terve arra az esetre, ha a munkatársak rendkívül nagy számban nem állnának rendelkezésre.

A magas szintű üzletmenet-folytonossági tervmodell betartása

54. A magas szintű üzletmenet-folytonossági tervmodell értelmében az egyes üzletmenet-folytonossági terveknek a következőkre kell kiterjedniük: — szervezési szempontok (37), — kritikus fontosságú folyamatok (38), — szükséges felszerelések (39), — az érintettek listája. Amikor egy szervezet felméri, hogy milyen közvetlen hasznot hoznak a működési zavarokkal szembeni ellenálló képességét javító intézkedések, akkor ezt összeveti az intézkedések költségével (40).

55. Az egyes szervezeti egységek üzletmenet-folytonossági terveire vonatkozó kötelező szerkezeti és tartalmi előírásokat az EKB átfogó magas szintű üzletmenet-folytonossági tervmodellje tartalmazza. Ezért magából a tervmodellből csak az egyes egységek által szolgáltatandó üzletmenet-folytonossági tervek szerkezete látható.

56. Az egyes üzletmenet-folytonossági tervek az adott szervezeti egység, részleg vagy osztály szintjén készülnek. A kötelező tartalmat illetően ezek általában követik a magas szintű üzletmenet-folytonossági tervmodellt, de részletezettségükben már erősen eltérnek egymástól. Az ORM/BCM egység ugyan betölti központi koordinációs szerepét, ám az egyes üzletmenet-folytonossági tervek színvonala azon múlik, hogy az adott szervezeti egységben ki a felelős. Nem volt bizonyítható, hogy az ORM/BCM egység kellően felülvizsgálná az egyes üzletmenet-folytonossági terveket.

57. A tételes ellenőrzésre kiválasztott öt szervezeti egység (41) közül négy nyújtott be az előírásoknak megfelelő üzletmenet-folytonossági tervet, és ezek közül három írta le maradéktalanul az üzleti hatásvizsgálatban meghatározott kritikus fontosságú folyamatokat.

58. A mintában szereplő szervezeti egységek nagy többségénél nem találtunk dokumentációt a különböző üzletmenet-folytonossági opciókkal kapcsolatos költséghaszon-elemzésekről, így a különböző kockázati szintek értékeléséről sem.

Tesztelés

59. A szervezetek teszteljék üzletmenet-folytonossági terveiket, értékeljék azok eredményességét, és szükség szerint aktualizálják az üzletmenet-folytonossági tervezést (42). A BS 25999 (43) előírja, hogy üzletmenet-folytonossági intézkedéseit a szervezet tesztelje, vizsgálja felül és aktualizálja, és mindennek révén biztosítsa azok érvényességét.

60. A következő dokumentumokat tekintettük át: — az üzletmenet-folytonossági tesztelési stratégia (44), — a 2008–2010-es időszakra érvényes tesztelési programok és ütemtervek, — tesztelési jelentések.

61. A vizsgálati stratégia középpontjában az üzletmenet-folytonossági tervek, illetve az információs rendszerek – az üzleti hatásvizsgálat szerint kritikus fontosságú folyamatok felülvizsgálatára kidolgozott – helyreállítási tervei állnak. A tesztelési keretrendszer megszabja többek között az egyértelmű feladatkör-megosztást, a tesztelés hatókörét, a beszámolási követelményeket, a tesztelés gyakoriságát, valamint a vonatkozó középtávú tesztprogramot. Vizsgálatunk tanúsága szerint a tesztelési keretrendszer megfelelő, és eleget tesz a BS 25999 követelményeinek.

62. A tesztelés tanúsága szerint a tesztelési gyakorlatok ugyan rendszeresek és érintik a legfontosabb munkatársakat, viszont nem mindig képezik le azokat a körülményeket, amelyekkel az EKB-nak tevékenysége jelentősebb megszakadása esetén szembe kellene néznie. A 2009-ben és 2010-ben tervezett tesztek nem terjedtek ki az EKB által meghatározott összes vészhelyzetre, és nem került sor valamennyi eredetileg tervezett tesztre.

Képzés és tájékozottság

63. A válságkezelési és készenléti csoportok legyenek tisztában feladataikkal és kötelezettségeikkel. A csoportok évente legalább egyszer részesüljenek képzésben, az új csoporttagok pedig belépésük pillanatában. Minden munkatárs részesüljön képzésben arra nézve, hogy válsághelyzetben melyek a saját feladatai, és kapjon tájékoztatást az üzletmenet-folytonossági terv legfontosabb összetevőiről is (45).

64. Az EKB által elfogadott képzési stratégia értelmében ajánlatos, hogy valamennyi munkatárs részt vegyen a BCM-ről szóló ismeretterjesztő programban (46). A tesztelést illetően a képzési stratégia külön képzési program kidolgozását irányozza elő, amelynek részletesen fel kell készítenie a tesztelés elvégzésére.

65. 2010-ben öt ízben került sor félnapos válságkezelési képzési programra, amelynek során a résztvevők áttekintették az EKB által elfogadott válságkezelési kézikönyv anyagát. A tanfolyam résztvevői összességében mind a kézikönyv bemutatását, mind a képzést pozitívan értékelték, de megjegyezték, hogy szívesen részt vennének szimulációs tesztelésben is.

66. Az ellenőrzés egyértelműen kimutatta, hogy az üzletmenet-folytonosság szempontjából fontos szerepet játszó munkatársakat részesítették képzésben, mégpedig BCP-tesztelés formájában, arra azonban nem utalt bizonyíték, hogy a munkatársak közül másokat is igyekeztek volna jobban megismertetni az üzletmenet-folytonossági keretrendszerrel és folyamatokkal. Több belső referenciadokumentum (47) is elismeri, hogy bár a tesztelés kulcsszerepet játszik a munkatársak képzésében, egy tájékoztató program révén minden munkatársat el kellene érni. Ilyen program kidolgozására eddig még nem került sor, mivel a központi ORM/BCM egység véleménye szerint a munkatársak kielégítő ismeretekkel bírnak az üzletmenet-folytonossági intézkedéseket illetően. Egy belső felmérés (48) azonban rámutat, hogy a válaszadók több mint 12 %-a (2009-ben: 20 %-a) nem ismeri a szervezeti egységére érvényes üzletmenet-folytonossági intézkedéseket, és válsághelyzet esetén nem tudná, hová forduljon információért.

Eredményesen kezelte-e pénzügyi kockázatait az EKB?

67. A pénzügyikockázat-kezelés olyan folyamat, amely a pénzügyi piacokat jellemző bizonytalanságokat kezeli. Felméri az adott szervezetet érintő pénzügyi kockázatokat, és a belső prioritásokkal és politikákkal összhangban álló irányítási stratégiákat fejleszt ki.

68. A Számvevőszék megvizsgálta a következőket: — megfelelő és a bevált gyakorlattal összhangban lévő-e a befektetésekkel és szakpolitikai műveletekkel kapcsolatos általános pénzügyikockázat-kezelési keretrendszer, — megfelelően kezelhetőek-e a pénzügyi kockázatok az EKB által alkalmazott pénzügyikockázat-kezelési módszerek révén, — eredményesen alkalmazza-e az EKB a pénzügyikockázat-kezelési módszereket, — rendszeres és megbízható-e a pénzügyikockázat-kezelésről történő beszámolás.

Pénzügyikockázat-kezelési keretrendszer befektetésekhez és szakpolitikai műveletekhez

69. A keretrendszer adjon a bank valamennyi részlegénél általánosan alkalmazandó meghatározást a pénzügyi kockázat fogalmára, és fektesse le azokat az elveket, amelyek mentén a bank a pénzügyi kockázatot azonosítja, értékeli, monitorozza, illetve kezeli/csökkenti (49). A banknak rendelkeznie kell egy egyértelmű feladatköröket meghatározó pénzügyikockázat-kezelési rendszerrel.

70. Az EKB pénzügyikockázat-kezelési keretrendszerét úgy tervezték meg, hogy kétfajta EKB-művelet kockázataira vonatkozzon; ezek: i. befektetési; és ii. hitelműveletek. A befektetési műveletek a két befektetési portfólióhoz kapcsolódnak, a devizatartalékhoz (50) (2010. december 31-én60 600 millió EUR), illetve a szavatolótőkéhez (51) (2010. december 31-én13 300 millió EUR). A hitelműveletek monetáris politikai műveletekhez kapcsolódnak (52). Az EKB befektetési műveletei közé tartozik az EKB devizatartalékainak kezelése (53), az EKB szavatolótőke-portfóliója, a nyugdíjalap kezelése, illetve a monetáris politikai céllal tartott két portfólióval kapcsolatos műveletek (54).

71. A kockázatkezelési részleg (RMA) feladata a befektetési műveletekre vonatkozó általános kockázatkezelési keretrendszer fenntartása, az e műveletekből eredő kockázatok monitoringja, értékelése és kontrollja. Az RMA a bevett piacikockázat- és hitelkockázat-kezelési politikák és eljárások betartását felügyeli. Ha ennek hiányát tapasztalja, arról a bevett eszkalációs eljárások szerint számol be.

72. A DG-M az EKB-nak az a szervezeti egysége, amely a befektetési műveleteket irányítja. Feladata még az eurorendszer portfóliókezelő alkalmazásának (55) a karbantartása és továbbfejlesztése. A DG-M befektetési osztályának feladata, hogy előkészítse a befektetési bizottság javaslatait a devizatartalék-portfólió taktikai benchmarkjára vonatkozóan, illetve hogy közvetlenül kezelje az EKB szavatolótőke-portfólióját.

73. A Pénzügyi kockázatkezelési kézikönyv (56) a befektetési tevékenységek pénzügyikockázat-kezelésének egyik legfontosabb dokumentuma, amely áttekintést ad valamennyi vonatkozó koncepcióról, folyamatról és eljárásról, és konkrétan hivatkozik az EKB döntéshozó testülete által jóváhagyott dokumentumokra.

74. Az átfogó keretrendszer és az EKB által a befektetési és szakpolitikai műveletek irányítására kidolgozott pénzügyikockázat-kezelés a bank valamennyi részlegénél alkalmazandó meghatározást ad a pénzügyi kockázat fogalmára, és lefekteti azokat az elveket, amelyek mentén a bank a pénzügyi kockázatot azonosítja, értékeli, monitorozza, illetve kezeli/csökkenti.

Pénzügyikockázat-kezelési módszerek

75. Megfelelő befektetési útmutatót kell kidolgozni, amely elégséges módon határozza meg a kockázatvállalási hajlandóságot, és átfogó iránymutatást ad a befektetési műveletekhez.

76. Az EKB Pénzügyi kockázatkezelési kézikönyve a következő alapelemeket határozza meg: i. az EKB kockázatvállalása; ii. a jóváhagyott eszközök és műveletek; iii. elfogadható partnerek és kibocsátók, felső határértékek meghatározása; iv. stratégiai eszközallokáció; v. monitoringjelentések és értékelés; vi. a keretrendszer felülvizsgálata (57).

77. A devizatartalék befektetési folyamatát egy háromrétegű struktúra irányítja, amelynek elemei a stratégiai benchmark, a taktikai benchmark és a tényleges portfóliók. A stratégiai benchmark a hosszú távú kockázat/hozam preferenciákat tükrözi, és a Kormányzótanács hoz róla döntést.

78. A szavatolótőke befektetési folyamata kétrétegű struktúrán alapul, ennek két eleme a stratégiai benchmark és a tényleges portfólió. A stratégiai benchmarkról az Igazgatóság dönt.

79. Figyelembe véve azt a két megszorítást, hogy el kell kerülni a veszteséget és allokálni kell az eszközöket, a hozam maximalizálása és realizálása külön stratégiai eszközallokáció révén történik (58).

80. A kockázatkezelési részleg listát vezet az elfogadható országokról, kibocsátókról és partnerekről. A részleg a partnerek számára az Igazgatóság által jóváhagyott módszerek szerint szab meg limiteket. A devizatartalék-kezelést illetően a limiteket a nemzeti központi bankok számára a Kormányzótanács által jóváhagyott módszerek szerint állapítják meg. Évente egyszer valamennyi limit rendszeres frissítésére sor kerül. A hitelminősítés változásainak az elfogadhatóságra és a limitekre gyakorolt hatását azonnal figyelembe veszik.

81. A stratégiai eszközallokáció a következő magas szintű szakpolitikai követelményeket veszi figyelembe: i. a tartalékállományra vonatkozó célkitűzések; ii. a kockázat/hozam preferenciák; iii. a modellezés filozófiája; iv. a befektetési horizont, illetve a pénzügyi előrejelzések módosításának gyakorisága; v. a stratégiai benchmarkkal, illetve a taktikai rétegekkel kapcsolatos feladatkörök megoszlása a befektetési láncban; vi. a befektetési döntéseket befolyásoló beérkező információ; vii. elfogadható befektetések; viii. az előírt befektetési korlátozások. A befektetési és kockázati horizontot egy évben állapítják meg a devizatartalékok esetében, öt évben a szavatolótőkénél.

82. A számvevőszéki ellenőrzés a következők vizsgálatára terjedt ki: — a kockázatvállalási hajlandóság és a kockázati stratégia meghatározásának hiánytalan és megfelelő volta, — a befektetési útmutató, — a befektetési korlátozásokat megállapító döntéshozatali folyamat, — a kockázati intézkedések és ezek következetessége: a befektetési műveletek piaci kockázata, hitelkockázata, partnerkockázata, likviditási kockázata és működési kockázata.

83. A pénzügyikockázat-kezelési keretrendszer felülvizsgálata rámutatott, hogy az EKB által alkalmazott pénzügyikockázat-kezelési módszerek kellően meghatározzák a kockázatvállalási hajlandóságot és átfogó iránymutatást adnak a befektetési műveletekhez.

A pénzügyikockázat-kezelési módszerek alkalmazása

84. Az előző részben leírt pénzügyikockázat-kezelési módszereket eredményesen kell alkalmazni a gyakorlatban is.

85. A Számvevőszék ellenőrzése az alábbiakból állt: i. annak vizsgálata, hogy a portfólió kockázati profiljával összevetve megfelelőek-e a benchmarkok, többek között a következők terén: hibák feltárására tett intézkedések, adatminőség, a stratégiai és taktikai benchmarkok adatkezelése és adatbiztonsága; ii. a portfóliók és benchmarkok kiszámítását és naprakésszé tételét segítő eszközök és rendszer vizsgálata; iii. a benchmarkváltozás-menedzsment vizsgálata.

86. A kockázati érték keretrendszerének vizsgálatakor a következőket tekintettük át: i. az adatminőség és az adatkezelés elemzései, a biztonsági és a kontrolladatok ellenőrzése; ii. a modellezési technika elemzései, a modellfeltevések, a modell legfontosabb összetevői; iii. ésszerűségi tesztek, az utólagos tesztelés eredményei, beszámolóelemzések.

87. A tesztelés kimutatta, hogy a módszereket megfelelően alkalmazták. Arról azonban nem volt dokumentáció, hogy átültették-e a gyakorlatba az ún. „négy szem elvét”. Továbbá a stratégiai és taktikai benchmarkok, illetve a kockázati érték kiszámításánál alkalmazott modelleknek, valamint a modell validálásának felülvizsgálatából egyes modellek esetében arra derült fény, hogy: a) a közelmúltban nem került sor a modellek rendszeres utólagos tesztelésére, sem ennek dokumentálására; b) nem került sor az alkalmazott modellek független validálására és azokat nem frissítették a közeltmúltban; c) a modellfeltevéseket nem mindig dokumentálták megfelelően.

88. A más hasonló nemzetközi szervezeteknél alkalmazott jól bevált módszerek áttekintése során azt láttuk, hogy az Egyesült Államokat sújtó pénzügyi válság nyomán a Federal Reserve Bank of New York – a pénzügyikockázat-kezelési képességét erősítendő – modellvalidálási csoportot hozott létre. E csoport alapvető feladatait a 4. háttérmagyarázat mutatja be. 4. háttérmagyarázat A Federal Reserve Bank of New York modellvalidálási csoportja A csoport alapvető feladatai az alábbiak: — a pénzügyikockázat-kezelésben használatos modellek számbavétele, — a modelldokumentáció felülvizsgálata és validálása, — részletes dokumentáció összeállítása olyan esetekben, amikor a dokumentációt nem értékelik kielégítőnek, — modellek tesztelése.

Megfelelőek-e a pénzügyi kockázatokról szóló beszámolók?

89. Szükséges egy olyan eljárás, amely rendszeresen monitorozza a kockázati profilokat és a veszteség lényeges kockázatát. Megbízható monitoring- és beszámolási rendszert kell bevezetni.

90. A bevett piacikockázat- és hitelkockázat-kezelési politikáknak és eljárások betartását a kockázatkezelési részleg (RMA) felügyeli, és betartás hiánya esetén be is számol arról a bevett eszkalációs eljárások szerint. Az EKB RMA részlege rendszeresen beszámol az EKB devizatartalék- és szavatolótőke-portfóliójának kockázat/hozam viszonyáról és teljesítményéről, valamint a vonatkozó stratégiai és taktikai benchmarkokról. A beszámolás napi, heti, havi, negyedéves és éves rendszerességgel történik.

91. A számvevőszéki ellenőrök által elvégzett tesztek és interjúk megerősítették, hogy a teljesítményről rendszeresen készülnek jelentések, és a jelentések megfelelő időben eljutnak a vezetőséghez. Megállapítottuk azonban, hogy a teljesítményről szóló belső jelentéseknél az EKB-n belül nem minden esetben alkalmazzák a követendő példának tekintett GIPS-szokványokat (59).

KÖVETKEZTETÉSEK ÉS AJÁNLÁSOK

Az EKB megfelelő és átfogó irányítási keretrendszert alakított-e ki a kockázatok kezelésére?

92. Az EKB átfogó szervezeti struktúrát hozott létre, a szerepek és a feladatok világosan meg vannak határozva. A pénzügyi és a működési kockázatok kezelése között azonban éles határvonal húzódik, ami növeli azt a veszélyt, hogy a bankot egészében érintő kockázatok esetleg nem lesznek észlelhetők. Nem hoztak létre olyan egységes szervet (pl. kockázatkezelő tisztviselő vagy bizottság), amely az Igazgatóság, illetve a két kockázatkezelési egység (az ORM/BCM és az RMA) között független módon működne.

93. Az EKB éves jelentése csak röviden számol be egyes kockázatkezelési kérdésekről, nem mutatja be viszont átfogóan a szervezet kockázatkezelési folyamatát, a felmerülő kockázatokat, illetve a vezetőségnek a kockázatokkal kapcsolatos megközelítését. Ajánlások 1. Az EKB fontolja meg egy független, egységes, egyetlen más részlegnek sem alárendelt kockázatkezelő (pl. kockázatkezelési igazgató vagy bizottság) bevezetését, amely kizárólag a kockázatkezelésre összpontosítana és átfogó képpel szolgálna a bankot érintő kockázatokról. 2. Éves beszámolójában az EKB tegye még hozzáférhetőbbé a kockázatkezelési gyakorlatát illető információkat külső felek számára, többek között az IFRS 7 példáját követve.

Az EKB eredményesen kezelte-e működési kockázatait?

94. Az EKB világos szervezeti struktúrával rendelkezik, és kialakította a kockázatok értékelését, monitoringját, valamint kezelését/csökkentését körvonalazó megfelelő működésikockázat-kezelési koncepciókat.

95. 2008-ban és 2009-ben ugyan sor került felülről lefelé történő (top-down) értékelésekre, és az egyes szervezeti egységekre nézve kidolgoztak cselekvési terveket, költség-haszon elemzéseknek viszont nincsen dokumentált nyoma.

96. Beszámolási, monitoring- és nyomonkövetési rendszert állítottak fel, és menetrendet állapítottak meg a közepes és magas kockázatokra vonatkozó kockázatcsökkentő intézkedések nyomon követésére. Egyes kockázatok tekintetében azonban az elfogadási eljárás igen soká tartott a működési kockázati bizottságnál, illetve az Igazgatóságnál. A tervezést és a működésikockázat-kezelési ciklusokat nem integrálják. A tesztelt szervezeti egységeknél előfordult, hogy a munkaprogramokban nem szerepeltek egyértelműen a működésikockázat-kezelési tevékenységek.

97. Az EKB átfogó válságkezelési kézikönyvet dolgozott ki, amely válság esetére meghatározza a szerepeket, feladatköröket és folyamatokat, és megadja a válságkezelő csoport elérhetőségeit. Minden szervezeti egység teljes felelősséggel tartozik saját üzletmenet-folytonossági terve kidolgozásáért.

98. Az EKB az üzletmenet-folytonossági tervezés terén világos keretet szabott a szervezet belső politikáinak, folyamatainak és felelősségi köreinek. Mégis megjegyzendő, hogy: a) 2007-ben ugyan aktualizált üzleti hatásvizsgálatot végeztek átfogó jelleggel (ez a folyamat 2010-ben zárult le), ám teljes körű üzleti hatásvizsgálatra a pénzügyi válság kezdete óta nem került sor; b) mint kiderült, nincsenek tervek arra az esetre, ha súlyos humánerőforrás-veszteséggel kellene szembenézni; c) a tervezett tesztek nem terjedtek ki az EKB terveiben szereplő összes vészhelyzetre; d) egyes 2009-re és 2010-re tervezett tesztekre nem került sor. Ajánlások 3. A működési kockázatok éves értékelése képezze részét az EKB stratégiai és pénzügyi tervezési ciklusának, illetve az egyes szervezeti egységek éves munkaprogramjának. 4. Hozzák meg gyorsan a közepes és magas működési kockázatokra vonatkozó intézkedéseket. 5. Az EKB tökéletesítse tovább üzletmenet-folytonossági terveit és ezek tesztprogramját, és törekedjen annak biztosítására, hogy minden tervezett tesztre valóban sor kerüljön.

Eredményesen kezelte-e pénzügyi kockázatait az EKB?

99. Az átfogó keretrendszer és az EKB által a befektetési és szakpolitikai műveletek irányítására kidolgozott pénzügyikockázat-kezelés megfelelő. A pénzügyikockázat-kezelési keretrendszer felülvizsgálata rámutatott, hogy az alkalmazott pénzügyikockázat-kezelési módszerek jól vannak megtervezve, és megfelelőek az EKB befektetési és szakpolitikai műveleteinek irányítására. Javulásra van azonban szükség a módszer gyakorlati alkalmazásában, például a stratégiai és taktikai benchmarkok, illetve a kockázati érték kiszámításánál alkalmazott modellek terén.

100. A belső kockázatkezelési jelentések pontos, megfelelő és átfogó pénzügyikockázat-kezelési információval szolgálnak a felső vezetés és az EKB igazgatósága részére. A teljesítményről szóló jelentések rendszeresen és kellő időben elkészülnek, de rendszeres naprakésszé tétel híján az nem tükrözi a GIPS-szokványokban bekövetkezett változásokat. Ajánlások 6. Az EKB továbbra is tökéletesítse a következő területeken folytatott tevékenységét: a stratégiai és taktikai benchmarkok, illetve a kockázati érték kiszámításánál alkalmazott modellek felülvizsgálata és validálása; részletes dokumentáció összeállítása olyan esetekben, amikor a dokumentációt nem értékeli kielégítőnek; a modellek tesztelése és a modellfeltevések rendszeres felülvizsgálata. 7. A GIPS-szokványokban bekövetkező változásokat évi rendszerességgel tekintsék át, és ezek teljes mértékű figyelembevételét fontolják meg az EKB-nak a teljesítményről szóló belső jelentései elkészítésekor.

Ezt a jelentést Louis GALEA számvevőszéki tag elnökletével a IV. kamara a 2012. március 27-i ülésén, Luxembourgban fogadta el. a Számvevőszék nevében Vítor Manuel da SILVA CALDEIRA elnök

(1) Az Európai Unió működéséről szóló szerződés 127. cikkének (1) bekezdése.

(2) A KBER és az EKB alapokmánya a Szerződéshez csatolt egyik jegyzőkönyv.

(3) A KBER és az EKB alapokmányáról szóló jegyzőkönyv 27. cikkének (2) bekezdése szerint: „Az Európai Unió működéséről szóló szerződés 287. cikkének rendelkezéseit csak az EKB ügyvezetése hatékonyságának vizsgálatára kell alkalmazni”.

(4) A KBER és az EKB alapokmányáról szóló jegyzőkönyv 9. cikkének (3) bekezdése. A Kormányzótanács az Igazgatóság hat tagjából és azon tagállamok nemzeti központi bankjainak elnökeiből áll, amelyek pénzneme az euro. Az Igazgatóságot az elnök, az alelnök és négy másik igazgatósági tag alkotja.

(5) A KBER és az EKB alapokmányáról szóló jegyzőkönyv 12. cikkének (1) bekezdése.

(6) Az ORM hatóköre az EKB tevékenységeivel kapcsolatos kockázatokra terjed ki, így a KBER/eurorendszer eljárásaival és projektjeivel kapcsolatos tevékenységek kockázataira is.

(7) Azok a kritériumok, amelyek szerint a Számvevőszék az EKB működésikockázat- és pénzügyikockázat-kezelési keretrendszerét értékelte, e dokumentumban dőlt betűvel szerepelnek. Hacsak másképpen nem jelöljük, a kritériumok a Számvevőszék kritériumait jelentik.

(8) Az ellenőrzés hatóköréből kizártuk a Központi Bankok Európai Rendszerének (KBER) szintjén történő kockázatkezelést.

(9) Tájékozódási célú látogatásokra került sor a Federal Reserve Bank of New York és a Bank of Canada intézményeinél, és kérdőívek segítségével tájékozódtunk e két intézményen kívül a svájci nemzeti banknál is.

(10) José Manuel González-Páramo (az EKB igazgatósági tagja), Ulrich Bindseil és Evangelos Tabakis, Risk Management for Central Banks and Other Public Investors (Kockázatkezelés a központi bankoknál és egyéb állami befektetőknél), Cambridge University Press, 2009.

(11) „High level principles for risk management” (A kockázatkezelés magas szintű elvei), Európai Bankfelügyeleti Bizottság (CEBS), 2010. február (a dőlt betűvel szedett rész az Európai Számvevőszéktől származik, az eredeti szöveg normál betűtípussal vastagon szedett).

(12) Csoport, részleg, igazgatóság vagy főigazgatóság.

(13) Ez a funkció a DG-H alá tartozik.

(14) Az ORM/BCM funkció a működési kockázati bizottság (ORC) titkársági tevékenységét is ellátja.

(15) A kockázatkezelési részleg adminisztratív szempontból a DG-H-hoz tartozik, mégis közvetlenül az Igazgatóság pénzügyi kockázatok kezeléséért felelős tagjának tartozik beszámolással.

(16) Az EKB saját számviteli beszámolási keretrendszerét alkalmazza, amelyet az EKB éves beszámolójáról szóló, módosított EKB/2006/17 határozat hozott létre.

(17) A kockázati értéket (Value at Risk, VaR) széleskörűen alkalmazzák annak mérésére, hogy mekkora a kockázata egy adott pénzügyieszköz-portfólió veszteségének. A VaR egy adott portfólió, valószínűség és időhorizont tekintetében küszöbértékként határozható meg: annak a valószínűsége, hogy egy adott időhorizonton belül egy adott portfólió piaci vesztesége meghaladja ezt az értéket – feltételezve, hogy normális piaci körülményekről van szó, és a portfólióban nem jön létre ügylet – az adott valószínűségi szintnek felel meg (Value at Risk: The New Benchmark for Managing Financial Risk, 3rd edition [Kockázati érték: új benchmark a pénzügyi kockázatok kezelésében, 3. kiadás], Philippe Jorion, McGraw-Hill Professional, 2006).

(18) A Nemzetközi Pénzügyi Beszámolási Standardok (International Financial Reporting Standards, IFRS) elveken alapuló standardokból, értelmezésekből, illetve a Nemzetközi Számviteli Standardok Testülete (International Accounting Standards Board, IASB) által elfogadott keretrendszerből áll, korábbi elnevezésük: Nemzetközi Számviteli Standardok (International Accounting Standards, IAS). 2001 februárjában az Európai Bizottság javaslatot tett egy olyan rendelet elfogadására, amely valamennyi szabályozott piacon jegyzett uniós vállalatot (köztük a bankokat és a biztosítótársaságokat is) arra kötelezi, hogy legkésőbb 2005-ig az IAS-szal összhangban készítsék el konszolidált beszámolójukat. Az uniós tagállamok szabadon dönthettek arról, hogy ezt a kötelezettséget a nem jegyzett vállalatokra és egyéb egyedi vállalatok beszámolóira is kiterjesztik-e vagy sem. Az IAS uniós integrálásának felügyeletére politikai és technikai szintű uniós jóváhagyási mechanizmust hoztak létre.

(19) 2010. december 31-ig a Bank of Canada Kanada általánosan elfogadott számviteli elvei (Generally Accepted Accounting Principles) szerint készítette beszámolóit, a kockázatkezelési információkat azonban az IFRS-hez hasonlóan tette közzé. 2011. január 1-jétől a Bank of Canada már az IFRS szerint készíti beszámolóit.

(20) Üzleti gyakorlati kézikönyv, 26. fejezet.

(21) 2008-ban az Igazgatóság úgy határozott, hogy az EKB működésikockázat-kezelési keretrendszerét a KBER szintjén elfogadott keretekhez igazítja.

(22) A működési kockázat meghatározása: „nem megfelelő belső irányításból, eljárásokból vagy azok hiányából adódó, illetve személyektől, rendszerektől vagy külső eseményektől eredeztethető negatív pénzügyi vagy üzleti hatás, illetve tekintélyvesztés kockázata”.

(23) Feladata, hogy ösztönözze és felügyelje az EKB működésikockázat-kezelési tevékenységének fejlesztését, végrehajtását és fenntartását.

(24) A tagok a következő szervezeti egységek felső vezetői: piaci műveletek, információs rendszerek, igazgatás, humánerőforrás, költségvetés és szervezet, valamint két alaptevékenységet végző szervezeti egység éves rotációs alapon, illetve a humánerőforrás, költségvetés és szervezet egység főigazgatójának tanácsadója.

(25) A horizontális kockázatért (olyan kockázatért, amely több szervezeti egységre is hatással van) felelős szervezeti egységnek (risk owner, a kockázat tulajdonosa) megfelelő, az EKB valamennyi egységénél alkalmazandó kockázatkezelési lépéseket kell javasolnia, illetve végrehajtania.

(26) Az „ERM at the Federal Reserve Bank of Richmond” (Vállalati kockázatkezelés a Federal Reserve Bank of Richmond-nál) (2007, Jack Dorminey and Richard Mohn) c. cikk következtetései alapján.

(27) Forrás: A Bank of Canada honlapja: „Medium-term plan 2010-12” (2010–2012-es középtávú terv) (www.bankofcanada.ca, 2011. július 13.).

(28) Többek között az információtechnológiai projektekre vonatkozóan külön eljárások vannak érvényben (a projektszervezési és ellenőrzési eljárásrend értelmében). A projektkockázatokról külön beszámoló készül a projektirányító bizottság/új székház projektirányító bizottság révén. A konkrét projektekkel kapcsolatos kockázatkezelési eljárásokra ez a számvevőszéki ellenőrzés nem vonatkozott.

(29) „High-level principles for business continuity” (Az üzletmenet-folytonosság magas szintű elvei), Bázeli Bankfelügyeleti Bizottság, 2006. augusztus, 9. bekezdés.

(30) Üzleti gyakorlati kézikönyv (BPH), 5. kiadás, EKB, 2010. szeptember 24.

(31) „High-level principles for business continuity” (Az üzletmenet-folytonosság magas szintű elvei), Bázeli Bankfelügyeleti Bizottság, 2006. augusztus, 10. bekezdés.

(32) „Az EKB üzleti hatásvizsgálata”, 2006-os felülvizsgálat, Humánerőforrás, Költségvetés és Szervezet Főigazgatóság, 2007. január 16.

(33) Az EKB alapvető feladatait a Központi Bankok Európai Rendszere és az Európai Központi Bank alapokmányáról szóló (4) jegyzőkönyv 3. cikke szabja meg.

(34) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery (Üzletmenet-folytonossági útmutató: Vészhelyzeti felkészültség a gyakorlatban, válságkezelés és katasztrófa-helyreállítás), ASIS international 2005, 11.3. bekezdés.

(35) Az üzleti hatásvizsgálat felméri, hogy hat különböző katasztrófahelyzetben az egyes szervezeti egységek mennyire lennének működőképesek.

(36) Pedig ezt megköveteli a High-level principles for business continuity (Az üzletmenet-folytonosság magas szintű elvei), Bázeli Bankfelügyeleti Bizottság, 2006. augusztus, 23. bekezdése.

(37) Vagyis: válság esetén mely testületek hoznak döntéseket; kikből áll az üzletmenet-folytonossági csoport; hogyan tart ez kapcsolatot más csoportokkal; hol tevékenykednek az egyes csoportok.

(38) Vagyis azok, amelyeket az üzleti hatásvizsgálat keretében meghatároztak és jóváhagytak; azon tevékenységeket feltüntető feladatlista, amelyek szükségesek az említett kritikus fontosságú folyamatok folytonosságának biztosításához.

(39) Informatikai és irodai berendezések, kézikönyvek.

(40) „High-level principles for business continuity” (Az üzletmenet-folytonosság magas szintű elvei), Bázeli Bankfelügyeleti Bizottság, 2006. augusztus, 13. bekezdés.

(41) Az Informatikai Rendszerek Főigazgatóság (DG-IS) külön üzletmenet-folytonossági eljárást alkalmaz. Azt, hogy ez mennyiben felel meg az ISO 20000-nek, külső ellenőrzés vizsgálja, ezért a DG-IS üzletmenet-folytonossági terveire a Számvevőszék 2010-es ellenőrzése nem terjedt ki.

(42) „High-level principles for business continuity” (Az üzletmenet-folytonosság magas szintű elvei), Bázeli Bankfelügyeleti Bizottság, 2006. augusztus, 6. alapelv.

(43) British Standard’s Code of Practice for BCM (A British Standard gyakorlati szabályzata a BCM-re vonatkozóan).

(44) „ECB Business Continuity Testing and Training Strategy” (Az EKB üzletmenet-folytonossági tesztelési és képzési stratégiája), Működési Kockázati Bizottság, 2008. március 4.

(45) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery (Üzletmenet-folytonossági útmutató: Vészhelyzeti felkészültség a gyakorlatban, válságkezelés és katasztrófa-helyreállítás); ASIS international; 2005; 12.1.1. bekezdés.

(46) „ECB Business Continuity Testing and Training Strategy” (Az EKB üzletmenet-folytonossági tesztelési és képzési stratégiája), Működési Kockázati Bizottság, 2008. március 4.

(47) „Business Continuity Testing and Training Strategy” (Üzletmenet-folytonossági tesztelési és képzési stratégia), 15. o.; Üzleti gyakorlati kézikönyv, 26.1; „Business Continuity Framework” (Üzletmenet-folytonossági keretrendszer) (EKB intranet); „Business Continuity Management Policy document” (Üzletmenet-folytonossági tervezési szakpolitikai dokumentum).

(48) Beszámoló az EKB 2010-es és 2009-es belső alkalmazotti elégedettségi felméréséről.

(49) Bázel, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations – Támogató szervezetek vállalati kockázatkezelési bizottsága).

(50) Az Európai Központi Bank iránymutatása (2008. június 20.) az Európai Központi Bank devizatartalékokat megtestesítő eszközeinek nemzeti központi bankok általi kezeléséről, valamint az ilyen eszközöket érintő műveletek jogi dokumentációjáról (átdolgozás) (EKB/2008/5) (2008/596/EK).

(51) „OFM útmutató”, 2010. július, „Az EKB szavatolótőke-befektetési iránymutatása”, 2010. szeptember.

(52) Az Európai Központi Bank iránymutatása (2002. szeptember 26.) a monetáris politika keretébe tartozó műveletek és az EKB devizatartalékaival folytatott devizaügyletek végzése és az EKB devizatartalékokat megtestesítő eszközei kezelése tekintetében az Európai Központi Bankra és a nemzeti központi bankokra vonatkozó minimumszabályokról (EKB/2002/6).

(53) Ideértve az aranytartalékokat.

(54) A fedezettkötvény-vásárlási program (Covered Bonds Purchase Programme, CBPP) portfóliója és az értékpapír-piaci program (Securities Markets Programme, SMP) portfóliója.

(55) Ezt az alkalmazást az EKB devizatartalékainak és szavatolótőkéjének kezelésére, illetve a teljesítményre vonatkozó számadatok létrehozására használják.

(56) Pénzügyi kockázatkezelési kézikönyv, Politikák és eljárások, 2008. március.

(57) Az i–v. pont rendszeres, legalább éves gyakoriságú felülvizsgálata, amelyet az Igazgatóság és a Kormányzótanács végez.

(58) Az RMA részleg javaslatai alapján a devizatartalék esetében a Kormányzótanács, a szavatolótőkét illetően az Igazgatóság hoz döntést.

(59) A CFA (Chartered Financial Analyst – bejegyzett pénzügyi elemző) Intézet által létrehozott és adminisztrált GIPS (Global Investment Performance Standards – A befektetések teljesítménymérésének globális szokványai) az ágazaton belül egységesen alkalmazott etikai elvek, amelyek eligazítanak a befektetési eredmények kiszámításában és az azokról történő beszámolásban. A GIPS-szokványok alkalmazása önkéntes jellegű, és azon alapelv szerint történik, hogy a befektetési teljesítmény eredményeit teljes körűen, valós képet adva közzé kell tenni.