LT Europos Sąjungos oficialusis leidinys C 173/1

ATASKAITA

dėl Europos Centrinio Banko rizikos valdymo 2010 finansiniais metais audito su ECB atsakymais

2012/C 173/01

TURINYS

Dalys Puslapis ĮVADAS … 1–4 3 AUDITO APIMTIS IR METODAS … 5–6 3 AUDITO METU NUSTATYTI FAKTAI … 7–91 3 Ar ECB įdiegė tinkamą ir išsamią rizikos valdymo sistemą? … 7–18 3 Bendroji rizikos valdymo sistema … 8–14 3 ECB rizikos valdymo sistemos atskleidimas išorės šalims … 15–18 4 Ar ECB veiksmingai valdė operacinę riziką? … 19–66 5 Operacinės rizikos valdymas … 20–39 5 ECB veiklos tęstinumo valdymas … 40–66 7 Ar ECB veiksmingai valdė finansinę riziką? … 67–91 10 Su investicijomis ir politikos operacijomis susijusi finansinės rizikos valdymo sistema … 69–74 10 Finansinės rizikos valdymo metodika … 75–83 11 Finansinės rizikos valdymo metodikos taikymas … 84–88 12 Teikiamų ataskaitų apie finansinę riziką tinkamumas … 89–91 12 IŠVADOS IR REKOMENDACIJOS … 92–100 13 Ar ECB įdiegė tinkamą ir išsamią rizikos valdymo sistemą? … 92–93 13 Ar ECB veiksmingai valdė operacinę riziką? … 94–98 13 Ar ECB veiksmingai valdė finansinę riziką? … 99–100 13 Europos Centrinio Banko atsakymai … 15

SANTRUMPOS

D-CO Komunikacijos direktoratas DG-A Administracijos generalinis direktoratas DG-H Žmogiškųjų išteklių, biudžeto ir organizavimo generalinis direktoratas DG-IS Informacinių sistemų generalinis direktoratas DG-M Rinkos operacijų generalinis direktoratas DG-P Mokėjimo sistemų generalinis direktoratas DG-S Statistikos generalinis direktoratas ECB Europos Centrinis Bankas ECBS Europos centrinių bankų sistema FOP Finansinių operacijų paslaugos GIPS Visuotiniai investicijų rezultatyvumo standartai, angl. Global Investment Performance Standards INV Investicijų skyrius NLV Nuosavų lėšų valdymas ORK Operacinės rizikos komitetas ORV Operacinės rizikos valdymas POPP Padengtų obligacijų pirkimo programa PVA Poveikio veiklai analizės RMA (DG-H) Rizikos valdymo skyrius ROS Rinkos operacijų sistemos TAB Tarptautinių atsiskaitymų bankas TAS Tarptautiniai apskaitos standartai TASV Tarptautinių apskaitos standartų valdyba TFAS Tarptautiniai finansinės atskaitomybės standartai VaR Rizikos vertė VPRP Vertybinių popierių rinkų programa VPV Veiklos praktikos vadovas VTP Veiklos tęstinumo planas VTV Veiklos tęstinumo valdymas VV Vykdomoji valdyba

ĮVADAS

1. Europos Centrinis Bankas (ECB) ir visų Europos Sąjungos (ES) valstybių narių nacionaliniai centriniai bankai sudaro Europos centrinių bankų sistemą (ECBS). Pagrindinis ECBS tikslas – palaikyti kainų stabilumą. ECBS taip pat remia bendrąsias ES ekonominės politikos kryptis, kad padėtų siekti ES tikslų (1). Siekdamas šio tikslo, ECB atlieka savo statute (2) nustatytas užduotis ir yra atsakingas už veiklos ir finansų valdymą.

2. Europos Audito Rūmų (Audito Rūmų) atliekamas ECB veiklos efektyvumo auditas pagrįstas protokolo dėl ECBS ir ECB statuto 27 straipsnio 2 dalimi (3). 2010 m. audito metu buvo nagrinėjamos ECB įdiegtos rizikos valdymo procedūros ir sistemos bei jų taikymas.

3. ECB sprendimus priimantys organai yra Valdančioji taryba ir Vykdomoji valdyba (4). Vykdomoji valdyba įgyvendina pinigų politiką pagal Valdančiosios tarybos (5) nustatytas gaires ir sprendimus bei yra atsakinga už kasdienės ECB veiklos ir jo išteklių valdymą. Be to, Vykdomajai valdybai tenka galutinė atsakomybė už ECB rizikos valdymą.

4. Riziką valdo du atskiri ECB struktūriniai dariniai. Operacinės rizikos valdymo padaliniui (ORV (6)/VTV) tenka atsakomybė už visas operacinės rizikos rūšis (žr. 22 išnašą), įskaitant veiklos tęstinumą. Rizikos valdymo skyrius (RMA) vykdo finansinės rizikos valdymą (žr. 70 dalį), įskaitant ECB investicinę veiklą ir kredito operacijas.

AUDITO APIMTIS IR METODAS

5. 2010 finansinių metų Audito Rūmų audito tikslas buvo įvertinti ECB operacinės ir finansinės rizikos valdymo sistemos adekvatumą (7). ECB rizikos valdymas buvo vertinamas nagrinėjant šiuos pagrindinius audito klausimus: — Ar ECB įdiegė tinkamą ir išsamią rizikos valdymo sistemą? — Ar ECB veiksmingai valdė operacinę riziką? — Ar ECB veiksmingai valdė finansinę riziką?

6. ECB rizikos valdymo auditas (8) apėmė šiuos elementus: a) bendrosios ECB taikomos rizikos valdymo sistemos peržiūrą, įskaitant kitose panašiose tarptautinėse organizacijose nustatytų geriausios praktikos pavyzdžių rizikos valdymo srityje peržiūrą (9); b) operacinės rizikos valdymo sistemos peržiūrą ir šešių atrinktų veiklos sričių (generalinių direktoratų) testavimą siekiant įvertinti rizikos valdymo sistemos įgyvendinimą. Atranka buvo grindžiama: i) reikšmingų operacinės rizikos rūšių aprėpties užtikrinimu; ii) pagrindinės ir nepagrindinės ECB veiklos aprėptimi; iii) veiklos, kurią plėtojant būtina vykdyti horizontalios rizikos valdymą, aprėptimi. Buvo atrinkti šie generaliniai direktoratai (DG): Rinkos operacijų (DG-M), Mokėjimo sistemų (DG-P), Statistikos (DG-S), Administracijos (DG-A), Informacinių sistemų (DG-IS) ir Komunikacijos (D-CO); c) finansinės rizikos valdymo sistemos peržiūrą ir išsamių testų Žmogiškųjų išteklių, biudžeto ir organizavimo generalinio direktorato (DG-H) Rizikos valdymo skyriuje (RMA) bei DG-M Rinkos operacijų sistemų (ROS), Finansinių operacijų paslaugų (FOP) ir Investicijų (INV) skyriuose atlikimą. ECB rizikos valdymo metodikos ir jos taikymo įvertinimas buvo atliktas pasinaudojus Ernst and Young (Liuksemburgas) finansinės rizikos ekspertų grupės suteikta technine pagalba.

AUDITO METU NUSTATYTI FAKTAI

Ar ECB įdiegė tinkamą ir išsamią rizikos valdymo sistemą?

7. ECB pareikštas siekis – rizikos valdymo srityje taikyti geriausią praktiką. „Europos Centrinis Bankas nuo pat pradžių ypatingą dėmesį skyrė rizikos valdymui. Tapęs nauju centrinių bankų bendrijos nariu, jis siekė įgyvendinti aukščiausius valdymo standartus institucijoje organizuodamas savo rizikos valdymo funkciją ir taikydamas pažangiausias priemones.“ (10)

Bendroji rizikos valdymo sistema

8. „Tvirti visų institucijų mastu nustatyti rizikos principai yra vienas svarbiausių veiksmingo rizikos valdymo elementų. Viena būtinų šių rizikos principų sukūrimo sąlygų – išsamios (apimančios visus rizikos tipus, veiklos rūšis ir susijusią riziką) ir nepriklausomos rizikos valdymo funkcijos nustatymas, už kurį būtų tiesiogiai atsakingas rizikos priežiūros direktorius arba, jei jis nėra paskirtas, – vyresnioji vadovybė laikantis proporcingumo principo.“ (11)

9. Kiekvienas ECB organizacinis padalinys (12) yra atsakingas už savo rizikos rūšių ir kontrolės priemonių valdymą. Dvi funkcinės grupės (skyriai) padeda organizaciniams padaliniams valdyti riziką: — ORV/VTV funkcinės grupės paskirtis (13) – užtikrinti metodinę priežiūrą, visos su operacine rizika susijusios veiklos koordinavimą ir veiklos sritims skirtų iniciatyvių konsultacijų teikimą (14), — Rizikos valdymo skyrius (RMA) yra atsakingas už klausimus, susijusius su finansine rizika (15). Rizikos valdymo skyrius yra atsakingas už visoms ECB arba ECB vardu Eurosistemos vykdomoms finansų rinkų operacijoms skirtų su rizikos valdymu susijusių strategijų ir procedūrų siūlymą bei organizacinės paramos teikimą. Skyrių sudaro du padaliniai: rizikos analizės ir rizikos strategijos sekcijos.

10. Siekiant palengvinti Vykdomosios valdybos (VV) sprendimų priėmimą, buvo įsteigti keli įvairius rizikos valdymo aspektus nagrinėjantys komitetai, kaip antai: Operacinės rizikos komitetas, Investicijų komitetas, Turto ir įsipareigojimų komitetas ir Kredito komitetas.

11. Yra nustatyta išsami organizacinė struktūra su aiškiai priskirtomis funkcijomis ir pareigomis. Tačiau ECB finansinės ir operacinės rizikos valdymo sritys yra labai aiškiai atskirtos, o tai padidina riziką, kad rizikos veiksnių, kurie veikia Banką kaip organizaciją, vaizdas gali būti neišsamus.

12. Nebuvo įsteigtas joks nepriklausomas atskiras už ryšius tarp Vykdomosios valdybos ir dviejų rizikos funkcinių grupių (padalinių) (t. y. ORV/VTV ir RMA) atsakingas struktūrinis darinys, pavyzdžiui, bendrasis rizikos valdymo komitetas arba pareigybė, kaip antai rizikos priežiūros direktoriaus pareigybė. Audito metu už rizikos valdymą atsakingam Vykdomosios valdybos nariui taip pat buvo priskirtos kitos atsakomybės sritys, tuo tarpu rizikos priežiūros direktorius visą dėmesį skirtų tik rizikos valdymui.

13. Taip pat dėl to, kad nėra hierarchiškai nepriklausomos rizikos valdymo funkcijos, padidėja rizika, jog nebus skiriama pakankamai dėmesio rizikos valdymo klausimams spręsti, pavyzdžiui, susijusiems su darbuotojų skyrimu rizikos valdymo užduotims vykdyti, kadangi tokius klausimus sprendžia DG-H.

14. Išnagrinėjus geriausios praktikos pavyzdžius kitose panašiose tarptautinėse organizacijose, buvo nustatyta, kad Kanados bankas yra patvirtinęs integruotą rizikos valdymo sistemą, kuri apima rizikos priežiūros direktoriaus pareigybę ir rizikos valdymo darbo grupę. Šie abu subjektai yra atsakingi už bankui skirto išsamaus rizikos profilio, apimančio veiklos, operacinę ir finansinę riziką, nustatymą, kaip apibūdinta 1 langelyje. Banko rizikos valdymo sistema yra visiškai integruota į jo strateginio planavimo, biudžeto sudarymo ir veiklos rezultatų vertinimo metų pabaigoje procesus. 1 langelis Integruoto rizikos valdymo pavyzdys: Kanados bankas Rizikos priežiūros direktorius atlieka šias pareigas: — gavęs vadovybės sutikimą, vadovauja integruotos rizikos valdymo politikos sistemos plėtotei ir gerinimui, — kitiems vyresniosios vadovybės pareigūnams teikia su rizikos valdymu susijusias gaires ir konsultacijas bei pirmininkauja rizikos valdymo darbo grupei, — kartu su Finansų departamentu pirmininkauja Fondų valdymo komiteto Rizikos komitetui. Rizikos valdymo darbo grupė vykdo šias užduotis: — padeda visapusiškai atnaujinti Banko rizikos savianalizę ir rengti metinę ir metų vidurio rizikos valdymo ataskaitą, — susirenka tris keturis kartus per metus, kad peržiūrėtų Banko rizikos profilį ir su atstovų funkcinėmis grupėmis (departamentais) pasidalytų rizikos valdymo iniciatyvomis.

ECB rizikos valdymo sistemos atskleidimas išorės šalims

15. Turėtų būti viešai atskleista pakankamai informacijos, kad išorės šalys galėtų įvertinti rizikos valdymo srityje ECB taikomą metodą.

16. ECB skelbia metinę ataskaitą, apimančią metinę atskaitomybę ir prie jos pridedamus informacijos atskleidimo raštus (16). Metinėje atskaitomybėje pateikta informacija apie rizikos valdymą yra gana ribota, o informacija apie ECB rizikos valdymo principus ir atitinkamus skaičius nėra viešai prieinama (išskyrus konsoliduotą rizikos vertės (17) (VaR) dydį). Metinėje ECB ataskaitoje pateikta glausta informacija apie tam tikrus rizikos valdymo klausimus, tačiau neapžvelgiamas organizacijoje vykdomas rizikos valdymo procesas, rizikos rūšys, su kuriomis yra susiduriama, bei vadovybės požiūris į jas.

17. Tarptautinių finansinės atskaitomybės standartų (TFAS) (18) naudojimas yra geriausios subjekto finansinių ataskaitų teikimo praktikos pavyzdys. 7-ajame TFAS „Finansinių priemonių atskleidimas“ nagrinėjamas rizikos rūšių, su kuriomis susiduria organizacija, pateikimas finansinėse ataskaitose, tačiau šio standarto ECB netaikė.

18. Kitos tarptautinės ar nacionalinės centrinių bankų organizacijos, pavyzdžiui, Tarptautinių atsiskaitymų bankas (TAB) arba Kanados bankas rizikos valdymo informaciją atskleidžia savo metinėje finansinėje atskaitomybėje, nepaisant to, kad viena iš šių organizacijų netaiko TFAS (žr. 2 langelį ). 2 langelis Rizikos valdymo atskleidimo principo taikymo iliustravimas Organizacija Rizikos valdymo atskleidimas metinėse finansinėse ataskaitose Finansinės atskaitomybės sistema Tarptautinių atsiskaitymų bankas (TAB) Metinėse finansinėse ataskaitose atskleidžiamos rizikos rūšys, su kuriomis susiduria bankas, rizikos valdymo metodas ir struktūra, išsami kredito rizikos, rinkos rizikos, likvidumo rizikos ir operacinės rizikos apžvalga. Konkreti banko statute nustatyta finansinės atskaitomybės sistema Kanados bankas Metinėse finansinėse ataskaitose atskleidžiama rizikos valdymo proceso, rizikos valdymo struktūros, už finansinę riziką atsakingo pareigūno vaidmens ir finansinės rizikos, su kuria susiduria bankas, apžvalga bei išsami kredito rizikos, rinkos rizikos ir likvidumo rizikos apžvalga. TFAS (19)

Ar ECB veiksmingai valdė operacinę riziką?

19. Veiklos tęstinumo valdymas papildo ECB operacinės rizikos valdymo (ORV) sistemą. Šie abu elementai sudaro svarbią įmonių valdymo dalį (20).

Operacinės rizikos valdymas

20. Veiksminga operacinės rizikos valdymo sistema apima aiškių strategijų nustatymą ir direktorių valdybos bei vyresniosios vadovybės vykdomą priežiūrą, taip pat tvirtus operacinės rizikos ir vidaus kontrolės principus (įskaitant aiškiai apibrėžtą atsakomybę ir pareigų atskyrimą) bei veiksmingą vidaus atskaitomybę.

21. Siekdami įvertinti, kaip ECB valdo operacinę riziką, Audito Rūmai nagrinėjo: — ECB nustatytas ORV strategijas, — operacinės rizikos valdymo organizacinę struktūrą ir su šiuo valdymu susijusią atsakomybę, — jo sąsają su strateginiu ir finansiniu planavimu (metiniu biudžeto ciklu) bei — rizikos nustatymą, įvertinimą ir atsaką į ją, ataskaitų teikimą, stebėjimą ir tolesnius veiksmus veiklos srityse ir centriniu lygmeniu.

Operacinės rizikos strategijos

22. ORV strategijose turėtų būti pateikta aiški viso banko mastu taikoma operacinės rizikos apibrėžtis ir nustatyta politikos kryptis, apibrėžianti banko taikomą metodą nustatant, vertinant, stebint ir kontroliuojant (mažinant) riziką.

23. 2007 m. spalio mėn. (21) Vykdomoji valdyba patvirtino ECB operacinės rizikos valdymo sistemą, kuri yra aprašyta intranete paskelbtame veiklos praktikos vadove (VPV) ir su kuriuo susipažinti gali visi darbuotojai. Jame pateikta ECB ORV apibrėžtis (22), nustatyta priimtinos rizikos politika, funkcijos ir pareigos bei išdėstytos vertinimo, atsako, ataskaitų teikimo ir stebėjimo strategijos.

24. Nustatytose ORV strategijose pateikta aiški viso Banko mastu taikoma operacinės rizikos apibrėžtis ir nustatyta politika, apibrėžianti Banko taikomą metodą vertinant, stebint ir kontroliuojant (mažinant) riziką. Tačiau VPV išsamiai nenurodyta, kokiu metodu Bankas vadovaujasi nustatydamas riziką.

Organizacinė struktūra ir pareigos

25. Veiklos sričių vadovybė turėtų būti atsakinga už politikos krypčių, procesų ir procedūrų, susijusių su operacinės rizikos valdymu įgyvendinant visą reikšmingą banko veiklą, procesus ir sistemas, vykdymą. Bankas taip pat turėtų būti įdiegęs operacinės rizikos valdymo sistemą, aiškias pareigas priskiriant rizikos valdymo funkcijai.

26. Vykdomajai valdybai tenka galutinė atsakomybė už ECB operacinės rizikos valdymą. Operacinės rizikos komitetas (ORK) nagrinėja strateginius ir vidutinės trukmės klausimus bei svarbias trumpalaikes ir ad hoc temas (23). Komitetą sudaro Vykdomosios valdybos narys (pirmininkas) ir septyni vyresnieji Banko vadovai (24). Jam suteikti sprendimų priėmimo dėl vidutinio lygio rizikos pripažinimo įgaliojimai, o aukšto lygio riziką visuomet turi pripažinti Vykdomoji valdyba. Posėdžiai rengiami kas du mėnesius arba prireikus jie rengiami dažniau.

27. VPV aiškiai įvardyta, kad veiklos sritys yra atsakingos už savo operacinės rizikos rūšių valdymą (25). Taigi kiekvienoje veiklos srityje turėtų būti paskirtas (bent) vienas rizikos koordinatorius, teikiantis paramą veiklos sričių vadovams ORV srityje ir kuris yra pirmasis asmuo, į kurį galima kreiptis dėl ORV klausimų atitinkamoje veiklos srityje. Veiklos sričių vadovai taip pat yra atsakingi už užtikrinimą, kad darbuotojai įgytų ir išlaikytų kompetenciją, kuri yra būtina tam, kad jie galėtų prisiimti su ORV susijusią atsakomybę ir atskaitomybę. ORV/VTV funkcinė grupė turėtų plėtoti ir tvarkyti ORV sistemą bei koordinuoti ORV srityje taikomus veiklos sričių metodus.

28. Audito metu iš aštuonių ORV/VTV funkcinei grupei priklausančių darbuotojų tik keturi buvo nuolatiniai darbuotojai. Kitus darbuotojus komandiravo nacionaliniai centriniai bankai arba su jais buvo sudarytos terminuotos sutartys, kurių trukmė – nuo trijų mėnesių iki dvejų metų. Tai reiškia, kad darbuotojų kaita yra didelė, o dėl to nutrūksta su šia svarbia funkcija susijęs darbo tęstinumas ir padidėja rizika, kad ORV sistema ECB nėra tinkamai įgyvendinama.

29. Darbuotojų informuotumo apie ORV sistemą klausimas buvo įtrauktas į 2009 ir 2010 m. darbuotojų apklausas. 2009 m. apklausos metu apie 40 % respondentų nurodė, kad jie negavo pakankamai informacijos apie ORV; 56 % respondentų nežinojo, kas buvo paskirtas jų veiklos srities rizikos koordinatoriumi, o 45 % jų nežinojo, kur konkrečiai intranete susirasti informacijos apie ORV. 2010 m. apklausos rezultatai parodė, kad 40 % respondentų vis dar nežinojo, kur susirasti informacijos apie ORV.

Sąsaja su strateginiu ir finansiniu planavimu (metiniu biudžeto ciklu)

30. Rizikos valdymas ECB valdymo struktūroje turėtų būti įtvirtintas kaip neatskiriama banko strateginio, veiklos ir finansinio planavimo dalis.

31. Svarbi ECB rizikos profilio nustatymo dalis – veiklos sričių ir ORV/VTV funkcinės grupės atliekamas metinis operacinės rizikos įvertinimas. 2009 m. įvertinimus veiklos sritys atliko 2009 m. birželio–rugpjūčio mėn. Vėliau buvo surengtas posėdis su rizikos koordinatoriais rezultatams sutikrinti. „Iš viršaus į apačią“ metodu pagrįsta ataskaita buvo užbaigta 2010 m. sausio mėn.

32. Rizikos profilis turėtų būti vienas iš strateginio planavimo proceso, kurį vykdant parengiamas finansinis planas, sudėtinių dalių. Tačiau auditas parodė, kad metinis operacinės rizikos įvertinimas ir ECB strateginio bei finansinio planavimo ciklas nėra sujungiami. Todėl iškyla rizika, kad ORV nebebus proceso dalis, o remiantis finansiniu planu skiriami ištekliai gali būti netinkamai paskirstomi strateginiams tikslams pasiekti (26).

33. Kaip gerosios praktikos pavyzdį galima įvardyti Kanados banką, kuriame banko rizikos profilis yra neatskiriama banko bendrojo strateginio ir finansinio planavimo ciklo dalis (27).

ORV procesas: rizikos nustatymas, įvertinimas ir atsakas į ją, ataskaitų teikimas, stebėjimas ir tolesni veiksmai

Rizikos nustatymas, įvertinimas ir atsakas į ją

34. Visa veiklai, procesams ir sistemoms būdinga operacinė rizika turėtų būti nustatyta ir įvertinta. Rizika turėtų būti vertinama vadovaujantis taikoma politika ir priimtinos rizikos lygiu siekiant nustatyti tinkamas atsakomąsias priemones remiantis pakankamais sąnaudų apskaičiavimais. Vyresniajai vadovybei ir Vykdomajai valdybai turėtų būti reguliariai perduodama svarbi informacija, padedanti vykdyti iniciatyvų operacinės rizikos valdymą.

35. ORV sistema iš esmės buvo įgyvendinta atliekant įvertinimus taikant metodą „iš viršaus į apačią“. Remiantis ECB rizikos politika, veiklos sritys taip pat turėtų nuolat atlikti veiklos srities procesų įvertinimus taikydamos metodą „iš apačios į viršų“, o nustatyta rizika turėtų būti patvirtinama (28).

36. 2008 ir 2009 m. ECB atliko „iš viršaus į apačią“ metodu grindžiamus rizikos įvertinimus. ORV/VTV funkcinė grupė veiklos sritis informavo apie tam tikras iš anksto nustatytas aukšto lygio rizikos rūšis, kurios buvo naudojamos kaip pagrindas joms atliekant rizikos įvertinimus. Į galutinę ataskaitą buvo įtrauktas su kiekviena veiklos sritimi susijęs veiksmų planas. Pagal VPV reikalaujama, kad veiklos sritys išnagrinėtų ir apibrėžtų atsako į riziką strategijas ir atliktų galimų sprendimo būdų sąnaudų ir naudos analizę.

37. Visose veiklos srityse buvo nustatyta su 2009 m. įvertinimu, pagrįstu „iš viršaus į apačią“ metodu, susijusi rizika ir atsakas į ją. 2009 m. įvertinimo, pagrįsto „iš viršaus į apačią“ metodu, ataskaitoje buvo pateikti kiekvienai veiklos sričiai skirti tolesni veiksmai. Tačiau į imtį įtrauktose veiklos srityse atliktos sąnaudų ir naudos analizės nebuvo paremtos dokumentais.

38. Kai kurių rizikos rūšių atveju veiklos sričiai nustačius riziką, ORK/VV vykdoma rizikos pripažinimo procedūra buvo labai vangi. Pavyzdžiui, 2009 m. liepos–rugpjūčio mėn. nustatytos dvi rizikos rūšys 2010 m. gruodžio mėn. vis dar nebuvo patvirtintos. Išnagrinėjus ORK posėdžių metu peržiūrėtą neatliktų veiksmų sąrašą taip pat paaiškėjo, kad kai kurie veiksmai nebuvo atliekami ilgiau nei metus, o kai kurių veiksmų vykdymas vėlavo iki dvejų metų.

39. Tik trijų iš šešių į imtį įtrauktų veiklos sričių darbo programose buvo įmanoma nustatyti konkrečius ORV veiklai skirtus išteklius, tačiau ORV veiklos aprašymas buvo neaiškus, o veiklos sričių darbo programose nebuvo įmanoma atsekti 2009 m. ORV įvertinime, pagrįstame „iš viršaus į apačią“ metodu, išdėstytų veiksmų.

ECB veiklos tęstinumo valdymas

40. Veiklos tęstinumo valdymas (VTV) yra svarbi operacinės rizikos valdymo sudėtinė dalis. Pagal šio valdymo principus būtina parengti blogiausio atvejo scenarijui skirtus nepaprastosios padėties ir atkūrimo planus, kad būtų užtikrintas esminės veiklos ir procesų tęstinumas krizės atveju.

41. Audito Rūmai tikrino, ar: i) bendroji VTV sistema yra tinkama ir atitinka geriausios praktikos pavyzdžius; ii) esminiai procesai nustatyti tinkamai; iii) atskiruose atrinktų veiklos sričių veiklos tęstinumo planuose (VTP) rizika yra tinkamai nagrinėjama siekiant užtikrinti deramą esminių operacijų tęstinumą; iv) veiklos tęstinumo mechanizmai buvo tinkamai testuojami ir ar v) darbuotojai buvo informuojami apie veiklos tęstinumo mechanizmus ir atitinkamai apmokomi.

VTV sistema

42. Veiklos tęstinumo valdymas – tai bendrasis veiklos metodas, apimantis strategijas, standartus ir procedūras, skirtas užtikrinti, kad nutrūkus veiklai būtų galima laiku išsaugoti ar atkurti konkrečias operacijas. Jo tikslas – kiek įmanoma labiau sumažinti nutrūkusios veiklos sukeltas finansines, teisines, veiklą ir reputaciją paveikiančias bei kitas svarbias pasekmes (29).

43. VTV tikslas – užtikrinti, kad veiklos tęstinumo mechanizmai ir sprendimo būdai atitiktų ECB tikslus, prievoles, aktų numatytus įpareigojimus ir ECB priimtinos rizikos politiką (30).

44. Audito metu taip pat buvo tikrinami pagrindiniai VTV pagrindą sudarantys dokumentai: — veiklos praktikos vadovo 26 skyrius, kuriame nustatyta bendroji sistema, apibrėžti tolesni procesai ir siektini išdirbiai bei įvardytos funkcijos ir pareigos, — ECB veiklos tęstinumo testavimo ir apmokymo strategija, — veiklos tęstinumo testavimo programa, — krizių valdymo vadovas.

45. ECB parengė krizių vadovą, kuriame apibrėžtos kilus krizei vykdytinos funkcijos, pareigos ir procesai bei nurodyti krizių valdymo grupės kontaktiniai duomenys. Kiekviena veiklos sritis visiškai atsako už savo VTP parengimą. Tačiau pagal aukšto lygio VTP šabloną nereikalaujama, kad ECB lygmeniu būtų parengtas bendras VTP, todėl tam tikras vienas VTP ir nebuvo parengtas.

46. ECB įdiegė patikimą sistemą, teikiančią VTV politikos, procesų ir atsakomybės organizacijoje gaires. Tačiau dėl taikomo decentralizuoto metodo taipogi kyla rizika, kad nevykdant griežto koordinavimo VTV organizacijoje gali nebūti nuosekliai įgyvendintas.

Esminių procesų nustatymas

47. Poveikio veiklai analizės (PVA) – tai dinamiškas esminių operacijų ir paslaugų, pagrindinių priklausinių nuo vidaus ir išorės veiksnių ir atitinkamų gebėjimo atsigauti lygių nustatymo procesas. Šioje analizėje vertinama įvairių veiklos nutrūkimo scenarijų rizika ir jų galimas poveikis organizacijos operacijoms ir reputacijai (31).

48. Naujausia išsami poveikio veiklai analizė (PVA) buvo atlikta 2006 m. (32) siekiant nustatyti tuos ECB siektinus rezultatus ir paslaugas, kurie yra esminiai užtikrinant Banko pagrindinių operacijų tęstinumą. Atliekant PVA daugiausia dėmesio buvo skirta šioms pagrindinėms sritims: — esminių veiklos procesų nustatymui, — esminių reikalavimų klasifikavimui, — gairėms, kaip nagrinėti nepasikartojančius ar nedažnai pasitaikančius procesus, — papildomų pagalbinių reikalavimų nustatymui.

49. 2007 m. atliktoje išsamioje, naujausiais duomenimis papildytoje PVA analizėje buvo nustatytos veiklos tęstinumo ir tuo metu galiojusių mechanizmų spragos. Buvo nustatyta tolesnė strategija. Į ją buvo įtrauktos nustatytų spragų pašalinimo arba rizikos ir sąnaudų pripažinimo alternatyvos. Tačiau nors šiame dokumente buvo pateiktos su IT ir logistikos infrastruktūros sprendimais susijusios sąnaudos, jos nebuvo suklasifikuotos siekiant atspindėti skirtingų rizikos lygių poveikį sąnaudoms.

50. Paskutinė naujausiais duomenimis papildyta PVA analizė, atlikta siekiant pašalinti 2007 m. nustatytas spragas, buvo užbaigta 2010 m. Po finansų krizės nebuvo atlikta nė viena išsami poveikio veiklai analizė.

Veiklos tęstinumo planai

Esminės operacijos

51. VTP turėtų būti parengti taip, kad būtų galima nustatyti esmines operacijas, kurios yra būtinos užtikrinant ECB gebėjimą vykdyti savo teisės aktais nustatytas prievoles, apibrėžtas atitinkamame protokole dėl ECB statuto (33). VTP turėtų būti rengiami atsižvelgiant į „blogiausio atvejo scenarijų“, suvokiant, kad atsako į riziką mastas gali būti atitinkamai sumažinamas, veiksmus pritaikant prie esamos krizės (34).

52. ECB nustatė kritiškumui nustatyti skirtus pirminius atskaitos rodiklius, susijusius su rizikos rūšių skaičiumi ir grindžiamus teisės aktais nustatytomis ECB prievolėmis (žr. 3 langelį ). 3 langelis Kritiškumui nustatyti skirti pirminiai atskaitos rodikliai Teisės aktais nustatytų prievolių vykdymas, įskaitant: — euro zonos pinigų politikos nustatymą ir įgyvendinimą, — užsienio valiutų keitimo operacijų vykdymą, — euro zonos šalių oficialiųjų užsienio atsargų laikymą ir valdymą, — sklandaus mokėjimo sistemų veikimo skatinimą. Veiklos nutrūkimo poveikis įvardytam procesui, susijęs su: — rinkos nestabilumu, — pasitikėjimo (prestižo ar reputacijos) praradimu, — ECB patiriamais finansiniais nuostoliais, — kitų institucijų patiriamais finansiniais nuostoliais, — galimomis teisinėmis problemomis, — kitu pirmiau nepaminėtu poveikiu. Šaltinis: ECB 2006 m. PVA peržiūra.

53. Remiantis Audito Rūmų atlikta šių pirminių atskaitos rodiklių peržiūra ir preliminariu pagal nustatytus scenarijus (35) tebevykdomų operacijų potencialaus lygio įvertinimu parengti planai buvo sudaryti taip, kad būtų užtikrintas teisės aktais nustatytų prievolių vykdymas. Tačiau Audito Rūmams patikrinus VTP, buvo nustatyta, jog nėra parengti planai, kuriais būtų sprendžiamas didelio žmogiškųjų išteklių praradimo įvykus nelaimei klausimas (36). Nors už procesus atsakingos veiklos sritys buvo nustačiusios veiklos tęstinumą užtikrinantį personalą ir pavaduojančius darbuotojus, nė viena jų neturėjo atsarginio plano esant dideliam darbuotojų trūkumui.

Aukšto lygio VTP šablono reikalavimų laikymasis

54. Vadovaujantis aukšto lygio VTP šablono reikalavimais, atskiri veiklos sričių VTP turėtų apimti: — organizacinius aspektus (37), — esminius procesus (38), — reikalavimus (39), — suinteresuotųjų šalių sąrašą. Organizacija palygina tiesioginę naudą, gautą taikant priemones, skirtas padidinti gebėjimą atsigauti po veiklos sutrikdymo, su šių priemonių sąnaudomis (40).

55. Bendrajame ECB aukšto lygio VTP šablone numatyta atskirų veiklos sričių VTP privaloma struktūra ir turinys. Šiame šablone nurodyta tik VTP dokumentų, kuriuos turi pateikti veiklos sritys, struktūra.

56. VTP rengiami veiklos srities, departamento ar skyriaus lygmeniu. Aukšto lygio VTP šablone nustatytų privalomo turinio reikalavimų iš esmės yra laikomasi, tačiau išsamumo lygis dokumentuose yra labai skirtingas. Nors ORV/VTV funkcinė grupė atlieka pagrindinį koordinavimo vaidmenį, atskirų VTP kokybė priklauso nuo atsakingojo asmens veiklos srities lygmeniu. Nebuvo aptikta įrodymų, kad ORV/VTV funkcinė grupė atlieka pakankamą atskirų VTP peržiūrą.

57. Iš penkių išsamiesiems testams atlikti atrinktų veiklos sričių (41) keturiose veiklos srityse VTP buvo parengtas laikantis reikalavimų, o trijose jų buvo visapusiškai išnagrinėti PVA nustatyti esminiai procesai.

58. Daugeliu atvejų į imtį įtrauktose veiklos srityse ekonominės naudos analizė, susijusi su veiklos tęstinumo alternatyvomis, įskaitant įvairių rizikos lygių įvertinimą, nebuvo pagrįsta dokumentais.

Testavimas

59. Organizacijos turėtų testuoti savo veiklos tęstinumo planus, vertinti jų veiksmingumą ir prireikus atnaujinti savo veiklos tęstinumo valdymą (42). Pagal BS25999 (43) reikalaujama, kad organizacija užtikrintų, jog jos VTV mechanizmų veikimas būtų patvirtintas atliekant testus ir peržiūrą ir kad šie mechanizmai būtų atnaujinami.

60. Buvo peržiūrėti šie dokumentai: — veiklos tęstinumo testavimo strategija (44), — 2008–2010 m. testavimo programos ir grafikai, — testų ataskaitos.

61. Vykdant testavimo strategiją daugiausia dėmesio skiriama VTP ir informacinių sistemų atkūrimo planams, parengtiems siekiant pagal PVA išnagrinėti esminius procesus. Testavimo sistemą sudaro aiškus pareigų paskirstymas, testavimo apimties, ataskaitų teikimo reikalavimų, testų dažnumo ir atitinkamos vidutinės trukmės testavimo programos nustatymas. Peržiūros rezultatai parodė, kad buvo nustatyta tinkama testavimo sistema, atitinkanti BS 25999 reikalavimus.

62. Atlikti testai parodė, kad testavimas, nors jis ir apima pagrindinį personalą ir yra atliekamas reguliariai, ne visada imituoja aplinkybes, su kuriomis ECB susidurtų didelio veiklos sutrikdymo atveju. 2009 ir 2010 m. suplanuoti testai neapėmė visų ECB sukurtų scenarijų ir nebuvo atlikti visi iš pat pradžių suplanuoti testai.

Mokymai ir informuotumas

63. Krizių valdymo ir atsako į riziką grupės turėtų būti informuojamos apie savo pareigas ir prievoles. Grupės turėtų būti apmokomos mažiausiai kartą per metus, o nauji nariai turėtų būti apmokomi jiems prisijungus prie grupės. Visi darbuotojai turėtų būti apmokomi, kaip vykdyti savo individualias pareigas ištikus krizei. Jie taip pat turėtų būti supažindinti su pagrindinėmis veiklos tęstinumo plano sudėtinėmis dalimis (45).

64. ECB patvirtintoje mokymo strategijoje nurodyta, kad visi darbuotojai turėtų pasinaudoti informuotumo apie VTV didinimo programa (46). Kalbant apie testavimą, mokymo strategijoje numatyta sukurti mokymo programą, kurioje būtų pateikta išsamesnė įgyvendinimo informacija.

65. 2010 m. buvo surengtos penkios pusę dienos trukusios krizių valdymo mokymo programos siekiant išsamiai paaiškinti ECB patvirtinto krizių vadovo procedūras. Iš esmės ir įvadinį kursą apie vadovą, ir mokymo kursus dalyviai įvertino teigiamai, tačiau taip pat buvo pažymėta, jog būtų labai pageidautina surengti modeliavimo testus.

66. Nors audito metu buvo aptikta aiškių įrodymų, jog yra rengiami atitinkamo veiklos tęstinumą užtikrinančio personalo mokymai, visų pirma pasitelkiant VTP testus, jie nerado įrodymų, kad būtų aktyviai didinamas kitų darbuotojų informuotumas apie veiklos tęstinumo sistemą ir procesus. Keliuose vidaus informaciniuose dokumentuose (47) pripažįstama, kad nors testavimas atlieka pagrindinį vaidmenį rengiant darbuotojų mokymus, būtina visiems darbuotojams taikyti darbuotojų informuotumo programą. Tokia programa dar nėra parengta, kadangi centrinė ORV/VTV funkcinė grupė mano, jog darbuotojų informuotumas apie veiklos tęstinumo mechanizmus yra pakankamas. Vis dėlto vidaus apklausos (48) rezultatai rodo, kad daugiau nei 12 % respondentų (20 % 2009 m.) nėra informuoti apie jų veiklos sričiai taikomus veiklos tęstinumo mechanizmus ir nežinotų, kur rasti informacijos apie tai, kaip reaguoti iškilus krizei.

Ar ECB veiksmingai valdė finansinę riziką?

67. Finansinės rizikos valdymas – tai dėl finansinių rinkų kylančio netikrumo šalinimo procesas. Jis apima finansinės rizikos, su kuria susiduria organizacija, vertinimą bei vidaus prioritetus ir politiką atitinkančių valdymo strategijų rengimą.

68. Audito Rūmai tikrino, ar: — bendroji su investicijomis ir politikos operacijomis susijusi finansinės rizikos valdymo sistema yra tinkama ir atitinka geriausios praktikos pavyzdžius, — ECB naudojama finansinės rizikos metodika yra tinkama finansinei rizikai valdyti, — ECB veiksmingai taiko finansinės rizikos metodiką, — ataskaitos apie finansinės rizikos valdymą yra patikimos ir teikiamos reguliariai.

Su investicijomis ir politikos operacijomis susijusi finansinės rizikos valdymo sistema

69. Sistema turėtų pateikti visos įmonės mastu taikomą finansinės rizikos apibrėžtį ir nustatyti finansinės rizikos nustatymo, vertinimo, stebėjimo ir kontroliavimo (mažinimo) principus (49). Bankas turi turėti finansinės rizikos valdymo sistemą su aiškiai priskirtomis pareigomis.

70. ECB finansinės rizikos valdymo sistema parengta taip, kad apimtų rizikos veiksnius, kylančius vykdant dviejų rūšių ECB operacijas: i) investicijų ir ii) kredito. Investicijų operacijos yra susijusios su dviem investicijų portfeliais: užsienio atsargomis (50) (2010 m. gruodžio 31 d. jos sudarė 60 600 milijonų eurų) ir nuosavomis lėšomis (51) (2010 m. gruodžio 31 d. jos sudarė 13 300 milijonų eurų). Kredito operacijos yra susijusios su pinigų politikos operacijomis (52). ECB investicinė veikla apima ECB užsienio atsargų (53), ECB nuosavų lėšų portfelio, pensijų fondo ir veiklos, susijusios su abiem pinigų politikos tikslais laikomais portfeliais (54), valdymą.

71. RMA skyrius yra atsakingas už bendrosios rizikos valdymo sistemos, susijusios su investicijų operacijomis, tvarkymą bei rizikos rūšių, kylančių vykdant šias operacijas, stebėjimą, vertinimą ir kontrolę. Jis prižiūri, kad būtų tinkamai vykdoma sutarta rinkos ir kredito rizikos valdymo politika ir procesai. Apie neatitikties atvejus pranešama pagal sutartas incidentų eskalavimo procedūras.

72. DG-M – tai ECB investicijų operacijas vykdanti veiklos sritis. Ji taip pat atsakinga už Eurosistemos portfelio valdymo programos priežiūrą ir tolesnę plėtotę (55). DG-M investicijų skyrius yra atsakingas už Investicijų komiteto pasiūlymų dėl užsienio atsargų portfeliams taikomų taktinių gairių parengimą ir tiesioginį ECB tiesioginių lėšų portfelio valdymą.

73. Finansinės rizikos valdymo vadove (56), kuris yra pagrindinis investicinės veiklos finansinės rizikos valdymo dokumentas, pateikta išsami visų svarbių politikos krypčių, procesų ir procedūrų apžvalga su nuorodomis į ECB sprendimų priėmimo organo patvirtintus dokumentus.

74. ECB sukurta investicijų ir politikos operacijų valdymui skirta bendroji sistema ir finansinės rizikos valdymo sistema pateikia viso banko mastu taikomą finansinės rizikos apibrėžtį ir nustato finansinės rizikos nustatymo, vertinimo, stebėjimo, kontroliavimo (mažinimo) principus.

Finansinės rizikos valdymo metodika

75. Turėtų būti nustatytos tinkamos investavimo gairės, kuriose būtų pakankamai apibrėžtas rizikos toleravimo lygis ir pateiktos išsamios investicijų operacijoms skirtos rekomendacijos.

76. ECB finansinės rizikos valdymo vadove apibrėžti šie elementai: i) ECB priimtina rizika; ii) patvirtintos priemonės ir operacijos; iii) tinkamos sandorio šalys ir emitentai, ribų nustatymas; iv) strateginis turto paskirstymas; v) ataskaitų teikimo ir vertinimo priežiūra; vi) sistemos peržiūra (57).

77. Vykdant užsienio atsargų investavimo procesą, vadovaujamasi trijų lygmenų struktūra, apimančia strategines bei taktines gaires ir faktinius portfelius. Strateginės gairės, dėl kurių nusprendžia Valdančioji taryba, atspindi ilgalaikes rizikos ir grąžos preferencijas.

78. Nuosavų lėšų investavimo procesas yra pagrįstas dviejų lygmenų struktūra, kurią sudaro strateginės gairės ir faktinis portfelis. Strategines gaires nustato Vykdomoji valdyba.

79. Grąža yra maksimaliai padidinama atsižvelgiant į turto paskirstymo apribojimus ir apribojimą, kad nebus patirta nuostolių. Ji įgyvendinama taikant konkrečią strateginio turto paskirstymo priemonę (58).

80. Tinkamų šalių, emitentų ir sandorio šalių sąrašus tvarko RMA. Sandorių šalims taikomas ribas nustato RMA remdamasis Vykdomosios valdybos patvirtinta metodika. Užsienio atsargų valdymo srityje ribos yra paskirstomos nacionaliniams centriniams bankams remiantis Valdomosios tarybos patvirtinta metodika. Kartą per metus sistemingai atnaujinamos visos ribos. Be to, nedelsiant atsižvelgiama į reitingų pokyčių pasekmes tinkamumui ir riboms.

81. Atliekant strateginį turto paskirstymą atsižvelgiama į šiuos aukšto lygio politikos reikalavimus: i) atsargų laikymo tikslus; ii) rizikos ir grąžos preferencijas; iii) modeliavimo koncepciją; iv) investicijų perspektyvą ir peržiūros dažnumą; v) investicinę grandinę sudarančių už strategines ir taktines gaires atsakingų lygmenų pareigų pasidalijimą; vi) informacijos turinį, pagrindžiantį sprendimus dėl investicijų; vii) tinkamas investicijas; viii) nustatytus investavimo apribojimus. Investicijų ir rizikos perspektyvos nustatomos vieneriems metams užsienio atsargų atveju ir penkeriems metams nuosavų lėšų atveju.

82. Audito Rūmų audito metu buvo tikrinama: — rizikos toleravimo lygio ir rizikos strategijos apibrėžties išsamumas ir tinkamumas, — investavimo gairės, — sprendimų dėl investavimo ribų priėmimo procesas, — rizikos priemonės ir jų nuoseklumas: rinkos rizika, kredito rizika, sandorio šalies rizika, likvidumo rizika ir investicinės veiklos operacinė rizika.

83. Patikrinus finansinės rizikos valdymo sistemą paaiškėjo, kad finansinės rizikos valdymo metodikoje pakankamai apibrėžtas ECB taikomas rizikos toleravimo lygis ir pateiktos išsamios investicijų operacijoms skirtos rekomendacijos.

Finansinės rizikos valdymo metodikos taikymas

84. Ankstesniame skirsnyje apibūdinta finansinės rizikos valdymo metodika turėtų būti veiksmingai taikoma praktikoje.

85. Audito Rūmų auditas apėmė: i) gairių tinkamumo lyginant su portfelio rizikos profiliu peržiūrą, įskaitant klaidų taisymo priemones, duomenų kokybę, duomenų valdymą ir strateginių bei taktinių gairių duomenų saugumą; ii) su portfeliais ir gairėmis susijusių skaičiavimų ir atnaujinimo pagalbinių priemonių ir sistemos peržiūrą; iii) su gairėmis susijusių pokyčių valdymo peržiūrą.

86. Tikrinant rizikos vertės sistemą buvo nagrinėjami šie aspektai: i) duomenų kokybės ir duomenų valdymo analizė bei saugumo ir kontrolės duomenų peržiūra; ii) modeliavimo metodo, modeliais pagrįstų prielaidų ir pagrindinių modeliavimo sudėtinių dalių analizė; iii) pagrįstumo testai, grįžtamojo patikrinimo rezultatų peržiūra, ataskaitų teikimo analizė.

87. Testų rezultatai parodė, kad metodika buvo tinkamai įdiegta. Tačiau „keturių akių principas“ nebuvo paremtas dokumentais. Be to, atlikus modelių, naudojamų strateginėms ir taktinėms gairėms bei rizikos vertei apskaičiuoti, peržiūrą, apėmusią ir modelių patvirtinimą, paaiškėjo, kad kai kurių modelių atveju: a) modelių grįžtamasis patikrinimas pastaruoju metu nebuvo reguliariai vykdomas ir dokumentuojamas; b) nepriklausomas taikomų modelių patvirtinimas nebuvo atliktas; šie modeliai pastaruoju metu nebuvo atnaujinti; c) modeliais grindžiamos prielaidos ne visuomet būdavo pakankamai patvirtinamos dokumentais.

88. Išnagrinėjus geriausios praktikos pavyzdžius kitose panašiose tarptautinėse organizacijose, buvo nustatyta, kad po JAV įvykusios finansų krizės Niujorko federalinis rezervų bankas, siekdamas sustiprinti savo finansinės rizikos valdymo gebėjimus, sukūrė modelių tvirtinimo grupę. Pagrindinės šios grupės užduotys apibūdintos 4 langelyje . 4 langelis Niujorko federalinio rezervų banko modelių tvirtinimo grupė Pagrindinės šios grupės užduotys yra šios: — visų finansinės rizikos valdymo srityje naudojamų modelių įtraukimas į aprašą, — su modeliais susijusios dokumentacijos peržiūra ir patvirtinimas, — išsamių dokumentų parengimas tais atvejais, kai jie nėra pakankamai išsamūs, — modelių testavimas.

Teikiamų ataskaitų apie finansinę riziką tinkamumas

89. Turėtų būti vykdomas reguliarios rizikos profilių ir reikšmingų galimų nuostolių priežiūros procesas. Turėtų būti įdiegta patikima priežiūros ir ataskaitų teikimo sistema.

90. RMA prižiūri, ar tinkamai vykdoma sutarta rinkos ir kredito rizikos valdymo politika ir procesai. Šis skyrius taip pat atsakingas už pranešimą apie neatitikties atvejus pagal sutartas incidentų eskalavimo procedūras. ECB RMA reguliariai teikia ataskaitas apie riziką, grąžą ir veiklos rezultatus, susijusius tiek su ECB užsienio atsargų ir nuosavų lėšų portfeliais, tiek su atitinkamomis strateginėmis ir taktinėmis gairėmis. Ataskaitos teikiamos kasdien, kas savaitę, kas mėnesį, kas ketvirtį ir kasmet.

91. Auditoriams atlikus testus ir surengus interviu buvo patvirtinta, kad apie veiklos rezultatus pranešama reguliariai ir kad jie laiku pateikiami vykdomajai vadovybei. Tačiau buvo pažymėta, kad teikiant ECB vidines ataskaitas apie veiklos rezultatus nėra visapusiškai laikomasi GIPS standartų, kurie yra laikomi geriausios praktikos pavyzdžiu (59).

IŠVADOS IR REKOMENDACIJOS

Ar ECB įdiegė tinkamą ir išsamią rizikos valdymo sistemą?

92. ECB nustatė išsamią organizacinę struktūrą su aiškiai priskirtomis funkcijomis ir pareigomis. Tačiau Banko finansinės ir operacinės rizikos valdymo sritys yra labai aiškiai atskirtos, o tai padidina riziką, kad Banką veikiančių rizikos veiksnių vaizdas gali būti neišsamus. Nebuvo įsteigtas joks nepriklausomas atskiras už ryšius tarp Vykdomosios valdybos ir dviejų rizikos funkcinių grupių (padalinių) (t. y. ORV/VTV ir RMA) atsakingas organas, pavyzdžiui, komitetas, arba rizikos priežiūros pareigūno pareigybė.

93. Metinėse ECB finansinėse ataskaitose pateikiama tik glausta informacija apie tam tikrus rizikos valdymo klausimus, o ne apžvelgiamas organizacijoje vykdomas rizikos valdymo procesas, rizikos rūšys, su kuriomis yra susiduriama, bei vadovybės požiūris į jas. Rekomendacijos 1. ECB turėtų apsvarstyti galimybę nustatyti hierarchiškai nepriklausomą atskirą rizikos valdymo funkciją, pavyzdžiui, įsteigti rizikos priežiūros direktoriaus pareigybę arba komitetą, kuris visą dėmesį skirtų vien tik rizikos valdymui ir Banką veikiančių rizikos veiksnių išsamaus vaizdo užtikrinimui. 2. ECB, taikydamas geriausią praktiką, kaip antai 7-ąjį TFAS, turėtų ir toliau gerinti savo metinėse finansinėse ataskaitose išorės šalims viešai atskleidžiamą informaciją apie rizikos valdymo praktiką.

Ar ECB veiksmingai valdė operacinę riziką?

94. ECB turi aiškią organizacinę struktūrą ir yra nustatęs tinkamą operacinės rizikos valdymo politiką, apibrėžiančią Banko taikomą metodą vertinant, stebint ir kontroliuojant (mažinant) riziką.

95. Nors 2008 ir 2009 m. buvo atlikti įvertinimai taikant metodą „iš viršaus į apačią“ ir buvo nustatyti kiekvienai veiklos sričiai skirti veiksmų planai, sąnaudų ir naudos analizės nebuvo paremtos dokumentais.

96. Nustatyta ataskaitų teikimo, stebėjimo ir tolesnių veiksmų sistema bei susitarta dėl vidutinės ir didelės rizikos mažinimo priemonių tolesnės priežiūros grafiko. Tačiau ORK/VV vykdoma kai kurių rizikos rūšių pripažinimo procedūra truko labai ilgai. Planavimas ir ORV ciklai nėra sujungiami. Be to, kai kurių testuotų veiklos sričių darbo programose ORV veikla nebuvo aiškiai nurodyta.

97. ECB parengė išsamų krizių vadovą, kuriame apibrėžtos kilus krizei vykdytinos funkcijos, pareigos ir procesai bei nurodyti krizių valdymo grupės kontaktiniai duomenys. Kiekviena veiklos sritis visiškai atsako už savo VTP parengimą.

98. ECB įdiegė patikimą sistemą, teikiančią VTV politikos, procesų ir atsakomybės organizacijoje gaires. Tačiau: a) nors 2007 m. poveikio veiklai analizė buvo papildyta išsamiais naujausiais duomenimis, o 2010 m. ji buvo užbaigta, nuo finansų krizės pradžios jokia išsami poveikio veiklai analizė nebuvo atlikta; b) buvo nustatyta, jog nėra parengti planai, kuriais būtų sprendžiamas didelio žmogiškųjų išteklių praradimo klausimas; c) suplanuoti testai nevisiškai apėmė visus ECB suplanuotus nelaimių scenarijus; d) kai kurie 2009 ir 2010 m. planuoti testai nebuvo atlikti. Rekomendacijos 3. Metinis operacinės rizikos įvertinimas turėtų būti įtrauktas į ECB strateginio ir finansinio planavimo ciklą ir atskirų veiklos sričių metines darbo programas. 4. Turėtų būti greitai nusprendžiama imtis vidutinei ar didelei operacinei rizikai šalinti skirtų priemonių. 5. ECB turėtų ir toliau gerinti savo veiklos tęstinumo planus ir jų testavimo programą bei stengtis užtikrinti, kad būtų atlikti visi suplanuoti testai.

Ar ECB veiksmingai valdė finansinę riziką?

99. ECB sukurta investicijų ir politikos operacijų valdymui skirta bendroji sistema ir finansinės rizikos valdymo sistema yra tinkamos. Patikrinus finansinės rizikos valdymo sistemą paaiškėjo, kad sukurta finansinės rizikos valdymo metodika yra patikima ir tinkama ECB investicijų ir politikos operacijoms valdyti. Tačiau būtina gerinti metodikos praktinį taikymą, pavyzdžiui, modelių, naudojamų strateginių ir taktinių gairių bei VaR skaičiavimams atlikti, srityje.

100. Vidaus rizikos valdymo ataskaitose ECB vyresniajai vadovybei ir Valdybai pateikiama tiksli, tinkama ir išsami finansinės rizikos valdymo informacija. Ataskaitos apie veiklos rezultatus teikiamos reguliariai ir laiku, tačiau jos nėra reguliariai atnaujinamos siekiant atspindėti GIPS standartų pokyčius. Rekomendacijos 6. ECB turėtų ir toliau gerinti modelių, naudojamų strateginėms ir taktinėms gairėms bei VaR apskaičiuoti, peržiūrą ir patvirtinimą, įskaitant išsamių dokumentų tais atvejais, kai jie nėra pakankamai išsamūs, parengimą, modelių testavimą ir reguliarią modeliais pagrįstų prielaidų peržiūrą. 7. GIPS standartų pakeitimai turėtų būti peržiūrimi kasmet. Turėtų būti apsvarstyta visapusiško jų taikymo ECB teikiant vidines ataskaitas apie veiklos rezultatus galimybė.

Šią ataskaitą priėmė IV kolegija, vadovaujama Audito Rūmų nario Louis GALEA, 2012 m. kovo 27 d. Liuksemburge įvykusiame posėdyje. Audito Rūmų vardu Pirmininkas Vítor Manuel da SILVA CALDEIRA

(1) Sutarties dėl Europos Sąjungos veikimo 127 straipsnio 1 dalis.

(2) ECBS ir ECB statutas yra prie Sutarties pridėtas protokolas.

(3) Protokolo dėl ECBS ir ECB statuto 27 straipsnio 2 dalyje nustatyta: „Sutarties dėl Europos Sąjungos veikimo 287 straipsnio nuostatos taikomos tik ECB vadovybės veiklos efektyvumui tirti.“

(4) Protokolo dėl ECBS ir ECB statuto 9 straipsnio 3 dalis. Valdančioji taryba susideda iš šešių Vykdomosios valdybos narių ir valstybių narių, kurių valiuta yra euro, nacionalinių centrinių bankų valdytojų. Vykdomąją valdybą sudaro pirmininkas, jo pavaduotojas ir keturi kiti nariai.

(5) Protokolo dėl ECBS ir ECB statuto 12 straipsnio 1 dalis.

(6) ORV atsakomybės sritis apima su ECB veikla susijusias rizikos rūšis, įskaitant tas rizikos rūšis, kurios yra susijusios su ECBS / Eurosistemos procesais ir projektais.

(7) Kriterijai, kuriais remdamiesi Audito Rūmai vertino ECB operacinės ir finansinės rizikos valdymo sistemą, šiame dokumente pateikti kursyvu. Kriterijus nustatė Audito Rūmai, nebent būtų nurodyta kitaip.

(8) Į audito apimtį nebuvo įtrauktas rizikos valdymas Europos centrinių bankų sistemos (ECBS) lygmeniu.

(9) Niujorko federaliniame rezervų banke ir Kanados banke buvo surengti informaciniai vizitai; Niujorko federaliniam rezervų bankui, Kanados bankui ir Šveicarijos nacionaliniam bankui buvo išsiųsti klausimynai.

(10) José Manuel González-Páramo, ECB vykdomosios valdybos narys, Ulrich Bindseil ir Evangelos Tabakis, Centrinių bankų ir kitų viešųjų investuotojų rizikos valdymas, Cambridge University Press, 2009 m.

(11) Aukšto lygio rizikos valdymo principai, Europos bankininkystės priežiūros institucijų komitetas (EBPIK), 2010 m. vasario mėn. (kursyvu pateiktas Europos Audito Rūmų tekstas, o paryškintas originalo tekstas pateiktas įprastu šriftu).

(12) Sekcija, skyrius, direktoratas ar generalinis direktoratas.

(13) Kuri yra DG-H dalis.

(14) ORV/VTV funkcinė grupė taip pat atlieka Operacinės rizikos komiteto (ORK) sekretoriato pareigas.

(15) Administraciniu požiūriu RMA yra DG-H dalis, tačiau yra tiesiogiai atskaitingas už finansinės rizikos valdymą atsakingam Vykdomosios valdybos nariui.

(16) ECB taiko atskirą apskaitos ataskaitų teikimo sistemą, nustatytą iš dalies pakeistu Sprendimu ECB/2006/17 dėl ECB metinės atskaitomybės.

(17) Rizikos vertė (VaR) – plačiai naudojamas su konkrečiu finansinio turto portfeliu susijusių nuostolių rizikos matas. Konkretaus portfelio, tikimybės ir laikotarpio atveju VaR yra apibrėžiama kaip tokia ribinė vertė, kuriai esant tikimybė, kad per tam tikrą laikotarpį patirti su rinkos verte susiję portfelio nuostoliai viršys šią vertę, darant prielaidą, kad vyrauja įprastinės rinkos sąlygos ir neprekiaujama portfelį sudarančiais vertybiniais popieriais, ir yra atitinkamas tikimybės lygis (Pagal: Value at Risk: The New Benchmark for Managing Financial Risk (3rd edition), Philippe Jorion, McGraw-Hill Professional, 2006).

(18) Tarptautiniai finansinės atskaitomybės standartai – tai Tarptautinių apskaitos standartų valdybos (TASV) patvirtinti principais grindžiami standartai, jų aiškinimas ir sistema. Jie taip pat žinomi savo senu Tarptautinių apskaitos standartų (TAS) pavadinimu. 2001 m. vasario mėn. Europos Komisija pasiūlė reglamentą, pagal kurį buvo reikalaujama, kad visos reguliuojamoje rinkoje kotiruojamos ES bendrovės, įskaitant bankus ir draudimo bendroves, vėliausiai iki 2005 m., remdamosi TAS, parengtų konsoliduotas finansines ataskaitas. ES valstybėms narėms buvo suteikta galimybė šį reikalavimą taipogi taikyti nekotiruojamoms bendrovėms ir atskirų bendrovių finansinėms ataskaitoms. Politiniu ir techniniu lygmenimis buvo nustatytas ES patvirtinimo mechanizmas siekiant prižiūrėti, kaip TAS diegiami ES mastu.

(19) Iki 2010 m. gruodžio 31 d. Kanados bankas teikė ataskaitas vadovaudamasis Kanados visuotinai priimtais apskaitos principais, tačiau standartai, kuriais jis vadovavosi atskleisdamas rizikos valdymo informaciją, buvo panašūs į TFAS. Nuo 2011 m. sausio 1 d. Kanados bankas ataskaitas teikia vadovaudamasis TFAS.

(20) Veiklos praktikos vadovas, 26 skyrius.

(21) 2008 m. Vykdomoji valdyba nusprendė ECB taikomą ORV sistemą suderinti su ECBS lygmeniu patvirtinta sistema.

(22) Operacinė rizika yra apibrėžiama kaip „neigiamo poveikio finansams, veiklai ir (arba) reputacijai rizika, kylanti dėl netinkamo vidaus valdymo ir veiklos procesų ar jų neveikimo arba kurią sąlygoja žmonės, sistemos ar išorės įvykiai“.

(23) Jam pavesta skatinti ir prižiūrėti ECB operacinės rizikos valdymo plėtotę, įgyvendinimą ir priežiūrą.

(24) Nariai – tai Rinkos operacijų, Informacinių sistemų, Administracijos, Žmogiškųjų išteklių, biudžeto ir organizavimo generalinių direktoratų vyresnieji vadovai, taip pat vadovai, atstovaujantys dviem pagrindinėms veiklos sritims, kurios kasmet keičiasi rotacijos principu, bei Žmogiškųjų išteklių, biudžeto ir organizavimo generalinio direktoriaus patarėjas.

(25) Už horizontaliąją riziką (riziką, kuri turi poveikį kelioms veiklos sritims) atsakinga veiklos sritis (rizikos nešėja) turėtų rekomenduoti ir (arba) įgyvendinti tinkamas visame ECB taikomas rizikos tvarkymo priemones.

(26) Remiamasi išvada iš straipsnio „ERM at the Federal Reserve Bank of Richmond“, 2007, Jack Dorminey and Richard Mohn.

(27) Šaltinis: Kanados banko interneto svetainė „2010–2012 m. vidutinės trukmės planas“ (www.bankofcanada.ca, 2011 m. liepos 13 d.).

(28) Tokiems projektams kaip IT galioja konkreti Projektų organizavimo ir kontrolės procedūrose nustatyta tvarka. Apie su projektais susijusią riziką pranešama atskirai per Projektų valdymo komitetą (Naujų patalpų projektų valdymo komitetą). Su konkrečiais projektais susijęs rizikos valdymas į šio audito apimtį nebuvo įtrauktas.

(29) Veiklos tęstinumo aukšto lygio principai, Bazelio bankų priežiūros komitetas, 2006 m. rugpjūčio mėn., 9 dalis.

(30) Veiklos praktikos vadovas (VPV), 5 leidimas, ECB, 2010 m. rugsėjo 24 d.

(31) Veiklos tęstinumo aukšto lygio principai, Bazelio bankų priežiūros komitetas, 2006 m. rugpjūčio mėn., 10 dalis.

(32) „ECB poveikio veiklai analizės“, 2006 m. peržiūra, Žmogiškųjų išteklių, biudžeto ir organizavimo generalinis direktoratas, 2007 m. sausio 16 d.

(33) Protokolo (Nr. 4) dėl Europos centrinių bankų sistemos ir Europos Centrinio Banko statuto 3 straipsnyje įtvirtintos teisės aktais nustatytos užduotys, kurias turi vykdyti ECB.

(34) Veiklos tęstinumo rekomendacija: pasirengimui esant nepaprastajai padėčiai, krizių valdymui ir veiklos atkūrimui po nelaimės taikomas praktinis metodas, ASIS international, 2005 m., 11.3 dalis.

(35) Remiantis šešiais nelaimių scenarijais, PVA nagrinėjamas poveikis kiekvienos veiklos srities operaciniam pajėgumui.

(36) Kaip to yra reikalaujama pagal veiklos tęstinumo aukšto lygio principus, Bazelio bankų priežiūros komitetas, 2006 m. rugpjūčio mėn., 23 dalis.

(37) T. y. sprendimus priimantys organai ištikus krizei, veiklos tęstinumą užtikrinančios grupės sudėtis, santykiai su kitomis grupėmis, veiklos tęstinumą užtikrinančios grupės vietos.

(38) T. y. tie nustatyti procesai, kurie buvo patvirtinti kaip PVA dalis; užduočių sąrašas, kuriame išsamiai nurodyta konkreti pirmiau paminėtų esminių procesų tęstinumui užtikrinti būtina veikla.

(39) T. y. IT ir biuro įranga, vadovai.

(40) Veiklos tęstinumo aukšto lygio principai, Bazelio bankų priežiūros komitetas, 2006 m. rugpjūčio mėn., 13 dalis.

(41) DG-IS vykdomas atskiras veiklos tęstinumo procesas. Jam taikoma išorės audito, kurio metu tikrinama atitiktis ISO 20000, procedūra, ir dėl šios priežasties DG-IS VTP į Audito Rūmų 2010 m. audito apimtį nebuvo įtrauktas.

(42) Veiklos tęstinumo aukšto lygio principai, Bazelio bankų priežiūros komitetas, 2006 m. rugpjūčio mėn., 6 principas.

(43) Britų standarto VTV praktikos kodeksas.

(44) ECB veiklos tęstinumo testavimo ir mokymo strategija, Operacinės rizikos komitetas, 2008 m. kovo 4 d.

(45) Veiklos tęstinumo rekomendacija: pasirengimui esant nepaprastajai padėčiai, krizių valdymui ir veiklos atkūrimui ištikus nelaimei taikomas praktinis metodas, ASIS international, 2005 m., 12.1.1 dalis.

(46) ECB veiklos tęstinumo testavimo ir mokymo strategija, Operacinės rizikos komitetas, 2008 m. kovo 4 d.

(47) Veiklos tęstinumo testavimo ir mokymo strategija, p. 15; Veiklos praktikos vadovas, 26.1 dalis; Veiklos tęstinumo sistema (ECB intranetas), Veiklos tęstinumo valdymo politikos dokumentas.

(48) 2010 m. ir 2009 m. ECB vidinės klientų poreikių patenkinimo apklausos ataskaita.

(49) Bazelis, ERM COSO (rėmimo organizacijų įmonių rizikos valdymo komitetas, angl. Enterprise Risk Management Committee of Sponsoring Organizations).

(50) 2008 m. birželio 20 d. Europos Centrinio Banko gairės dėl nacionalinių centrinių bankų vykdomo Europos Centrinio Banko užsienio atsargų valdymo ir operacijų su tokiomis atsargomis teisinių dokumentų (suvestinė redakcija) (ECB/2008/5) (2008/596/EB).

(51) „NLV gairės“, 2010 m. liepos mėn., „ECB nuosavų lėšų investavimo gairės“, 2010 m. rugsėjo mėn.

(52) 2002 m. rugsėjo 26 d. Europos Centrinio Banko gairės dėl minimalių standartų Europos Centriniam Bankui ir nacionaliniams centriniams bankams, naudojamų vykdant pinigų politikos operacijas, valiutos keitimo operacijas su Europos Centrinio Banko užsienio atsargomis ir valdant Europos Centrinio Banko užsienio atsargas (ECB/2002/6).

(53) Įskaitant aukso atsargas.

(54) Padengtų obligacijų pirkimo programos (POPP) portfeliu ir Vertybinių popierių rinkų programos (VPRP) portfeliu.

(55) Programa, naudojama ECB užsienio atsargoms ir nuosavoms lėšoms valdyti bei veiklos rodikliams teikti.

(56) Finansinės rizikos valdymo vadovas: politikos kryptys ir procedūros, 2008 m. kovo mėn.

(57) i–v punktų peržiūrą reguliariai arba bent kartą per metus atlieka Vykdomoji valdyba arba Valdančioji taryba.

(58) Ją nustato Valdančioji taryba užsienio atsargų atveju ir Vykdomoji valdyba nuosavų lėšų atveju remdamosi RMA pasiūlymais.

(59) GIPS (Visuotiniai investicijų rezultatyvumo standartai, angl. Global Investment Performance Standards) yra standartizuotų visam sektoriui taikomų etinių principų, kuriuos sukūrė ir administruoja CFA (Atestuotų finansų analitikų institutas), rinkinys, kuriame teikiamos investicinių rezultatų apskaičiavimo ir ataskaitų teikimo apie juos rekomendacijos. Jie taikomi savanoriškai ir yra grindžiami pagrindiniais visapusiško investicinės veiklos rezultatų atskleidimo ir teisingo jų pateikimo principais.