RO Jurnalul Oficial al Uniunii Europene C 173/1

RAPORTUL

privind auditul gestionării riscurilor în cadrul Băncii Centrale Europene pentru exercițiul financiar 2010, însoțit de răspunsurile BCE

2012/C 173/01

CUPRINS

Puncte Pagina INTRODUCERE … 1-4 3 SFERA ȘI ABORDAREA AUDITULUI … 5-6 3 CONSTATĂRILE DE AUDIT … 7-91 3 A stabilit BCE un cadru de guvernanță corespunzător și exhaustiv pentru gestionarea riscurilor? … 7-18 3 Cadrul general de gestionare a riscurilor … 8-14 3 Prezentarea cadrului de gestionare a riscurilor al BCE către părți externe … 15-18 4 A gestionat BCE în mod eficace riscurile sale operaționale? … 19-66 5 Gestionarea riscurilor operaționale … 20-39 5 Gestionarea continuității activității în cadrul BCE … 40-66 7 A gestionat BCE în mod eficace riscurile sale financiare? … 67-91 10 Cadrul de gestionare a riscurilor financiare pentru activitățile de plasament și pentru operațiunile de politică monetară … 69-74 10 Metodologia de gestionare a riscurilor financiare … 75-83 11 Aplicarea metodologiei de gestionare a riscurilor financiare … 84-88 12 Caracterul adecvat al raportării cu privire la riscurile financiare … 89-91 12 CONCLUZII ȘI RECOMANDĂRI … 92-100 13 A stabilit BCE un cadru de guvernanță corespunzător și exhaustiv pentru gestionarea riscurilor? … 92-93 13 A gestionat BCE în mod eficace riscurile sale operaționale? … 94-98 13 A gestionat BCE în mod eficace riscurile sale financiare? … 99-100 13 Răspunsurile Băncii Centrale Europene … 15

ABREVIERI

BCE Banca Centrală Europeană BCM Gestionarea continuității activității (Business Continuity Management) BPH Manual de practici organizaționale (Business Practice Handbook) BRI Banca Reglementelor Internaționale CBPP Programul de achiziționare de obligațiuni garantate (Covered Bonds Purchase Programme) CE Comitetul executiv CRO Responsabilul cu gestionarea riscurilor (Chief Risk Officer) D-CO Direcția comunicare DG-A Direcția generală administrație DG-H Direcția generală resurse umane, buget și organizare DG-IS Direcția generală sisteme informatice DG-M Direcția generală operațiuni de piață DG-P Direcția generală plăți și infrastructura piețelor DG-S Direcția generală statistică FOS Servicii privind operațiunile financiare (Financial Operation Services) GIPS Standardele globale de prezentare a performanței investițiilor (Global Investment Performance Standards) IAS Standardele Internaționale de Contabilitate (International Accounting Standards) IASB Comitetul pentru Standarde Internaționale de Contabilitate (International Accounting Standards Board) IFRS Standardele Internaționale de Raportare Financiară (International Financial Reporting Standards) INV Serviciul plasamente (Investment Division) MOS Sisteme ale operațiunilor de piață (Market Operations Systems) OFM Gestionarea fondurilor proprii (Own Funds Management) ORC Comitetul pentru riscuri operaționale (Operational Risk Committee) ORM Gestionarea riscurilor operaționale (Operational Risk Management) RMA Serviciul gestionarea riscurilor (din cadrul DG-H) (Risk Management Division) SEBC Sistemul European al Băncilor Centrale SMP Programul destinat piețelor titlurilor de valoare (Securities Markets Programme) VaR Valoare la risc (Value at Risk)

INTRODUCERE

1. Banca Centrală Europeană (BCE), împreună cu băncile centrale naționale ale tuturor statelor membre ale Uniunii Europene (UE), formează Sistemul European al Băncilor Centrale (SEBC). Obiectivul principal al SEBC este menținerea stabilității prețurilor. SEBC susține, de asemenea, politicile economice generale ale UE pentru a contribui la realizarea obiectivelor Uniunii (1). În acest scop, BCE îndeplinește funcțiile specificate în statutul său (2) și este responsabilă de gestionarea activităților și a finanțelor sale.

2. Auditul eficienței administrării BCE efectuat de Curtea de Conturi Europeană (Curtea) are drept temei juridic articolul 27.2 din Protocolul privind statutul SEBC și al BCE (3). Auditul pentru exercițiul 2010 acoperă sistemele și procedurile pe care BCE le utilizează în scopul gestionării riscurilor și modul în care acestea sunt puse în aplicare.

3. Organele de decizie ale BCE sunt Consiliul guvernatorilor și Comitetul executiv (4). Comitetul executiv pune în aplicare politica monetară în conformitate cu orientările și deciziile adoptate de Consiliul guvernatorilor (5) și deține responsabilitatea globală privind gestionarea activității zilnice și a resurselor BCE. Tot Comitetului executiv îi revine și responsabilitatea finală privind gestionarea riscurilor în cadrul BCE.

4. BCE dispune de două cadre separate pentru gestionarea riscurilor. Unitatea de gestionare a riscurilor operaționale [ORM (6)/BCM] acoperă totalitatea riscurilor operaționale (a se vedea nota de subsol 22), inclusiv continuitatea activității. Serviciul gestionarea riscurilor (RMA) are ca obiect gestionarea riscurilor financiare (a se vedea punctul 70), inclusiv riscurile legate de activitățile de plasament și de operațiunile de creditare ale BCE.

SFERA ȘI ABORDAREA AUDITULUI

5. Obiectivul auditului desfășurat de Curte pentru exercițiul financiar 2010 a fost de a evalua gradul de adecvare al cadrului de gestionare a riscurilor financiare și operaționale din cadrul BCE (7). Gestionarea riscurilor în cadrul BCE a fost evaluată prin prisma următoarelor întrebări-cheie de audit: — A stabilit BCE un cadru de guvernanță corespunzător și exhaustiv pentru gestionarea riscurilor? — A gestionat BCE în mod eficace riscurile sale operaționale? — A gestionat BCE în mod eficace riscurile sale financiare?

6. Auditul gestionării riscurilor la nivelul BCE (8) a inclus următoarele elemente: (a) examinarea cadrului general al BCE pentru gestionarea riscurilor, inclusiv o analiză a celor mai bune practici utilizate de alte organizații internaționale similare în domeniul gestionării riscurilor (9); (b) examinarea cadrului de gestionare a riscurilor operaționale și testarea unui număr de șase servicii (direcții generale) selectate, pentru a se evalua implementarea cadrului de gestionare a riscurilor. Selecția a avut la bază îndeplinirea următoarelor criterii: (i) să se asigure faptul că sunt acoperite riscuri operaționale semnificative, (ii) să se acopere atât activități de bază, cât și activități conexe ale BCE și (iii) să se acopere activități care necesită o gestionare a riscurilor orizontale. Direcțiile generale (DG) selectate au fost: Operațiuni de piață (DG-M), Plăți și infrastructura piețelor (DG-P), Statistică (DG-S), Administrație (DG-A), Sisteme informatice (DG-IS), precum și Direcția comunicare (D-CO). (c) examinarea cadrului de gestionare a riscurilor financiare și efectuarea de teste detaliate în ceea ce privește Serviciul gestionarea riscurilor (RMA) din cadrul Direcției generale resurse umane, buget și organizare (DG-H), precum și în ceea ce privește serviciile Sisteme ale operațiunilor de piață (MOS), Servicii privind operațiunile financiare (FOS) și Plasamente (INV), aceste din urmă trei servicii făcând parte din DG-M. Evaluarea atât a metodologiei BCE de gestionare a riscurilor, cât și a modului în care aceasta a fost aplicată s-a efectuat cu ajutorul asistenței tehnice furnizate de o echipă de experți în domeniul riscurilor financiare, din cadrul Ernst and Young, Luxemburg.

CONSTATĂRILE DE AUDIT

A stabilit BCE un cadru de guvernanță corespunzător și exhaustiv pentru gestionarea riscurilor?

7. Obiectivul declarat al BCE este de a aplica cele mai bune practici în procesul său de gestionare a riscurilor: „Banca Centrală Europeană a acordat, încă de la început, o atenție deosebită gestionării riscurilor. În calitate de membru nou al comunității băncilor centrale, ambiția sa a fost de a respecta cele mai înalte standarde de guvernanță în organizarea funcției de gestionare a riscurilor în cadrul instituției și de a aplica instrumente ultramoderne” (10).

Cadrul general de gestionare a riscurilor

8. „ Existența unei culturi solide cu privire la riscuri la nivel de instituție reprezintă unul dintre elementele-cheie necesare pentru a realiza o gestionare eficace a riscurilor. Una dintre condițiile prealabile pentru crearea unei astfel de culturi în materie de riscuri o constituie stabilirea unei funcții cuprinzătoare (care să acopere toate tipurile de riscuri, toate liniile de activitate și toate riscurile pertinente) și independente, aflate sub răspunderea directă a responsabilului cu gestionarea riscurilor (CRO) sau, în cazul în care un astfel de responsabil nu a fost desemnat, sub răspunderea directă a membrilor conducerii, în conformitate cu principiul proporționalității. ” ( 11 )

9. În cadrul BCE, fiecare unitate organizațională (12) răspunde de gestionarea propriilor riscuri și controale. Există două funcții/servicii care acordă sprijin unităților organizaționale în procesul de gestionare a riscurilor: — Funcția ORM/BCM (13) răspunde de consolidarea metodologiei, de coordonarea tuturor activităților legate de riscurile operaționale, precum și de furnizarea de consiliere proactivă diverselor servicii (14); — Serviciul gestionarea riscurilor (RMA) are drept sferă de competență riscurile financiare (15). Responsabilitatea Serviciului gestionarea riscurilor este de a propune politici și proceduri și de a furniza sprijin organizațional în ceea ce privește gestionarea riscurilor pentru toate operațiunile de pe piața financiară desfășurate de BCE sau de Eurosistem în numele BCE. Serviciul este organizat în două compartimente: secțiunile Analiza riscurilor, respectiv Strategia în materie de riscuri.

10. Pentru a sprijini Comitetul executiv în cadrul procesului de luare a deciziilor, s-au constituit mai multe comitete care răspund de diverse aspecte ale gestionării riscurilor; printre aceste comitete se numără și Comitetul pentru riscuri operaționale, Comitetul pentru investiții, Comitetul pentru active și pasive și Comitetul pentru credite.

11. Structura organizațională este exhaustivă, cu o repartizare clară a rolurilor și a responsabilităților. Cu toate acestea, există o demarcare puternică între gestionarea riscurilor financiare și a celor operaționale în cadrul BCE, ceea ce sporește riscul ca aceasta să nu dispună de o viziune de ansamblu completă asupra riscurilor globale la care este expusă.

12. Niciun organism unic și independent, de exemplu, un responsabil cu gestionarea riscurilor sau un comitet general pentru gestionarea riscurilor, nu a fost constituit pentru a face legătura între Comitetul executiv și cele două funcții/unități axate pe riscuri, ORM/BCM și RMA. La momentul desfășurării acestui audit, membrul Comitetului executiv care era însărcinat cu gestionarea riscurilor mai răspundea de o serie de alte domenii, în timp ce un responsabil cu gestionarea riscurilor s-ar concentra exclusiv pe acest domeniu.

13. Mai mult, lipsa unei funcții de gestionare a riscurilor care să fie independentă din punct de vedere ierarhic sporește riscul ca anumite chestiuni legate de gestionarea riscurilor să nu beneficieze de o prioritate suficientă, cum ar fi alocarea de resurse de personal unor sarcini de gestionare a riscurilor, întrucât astfel de chestiuni intră sub incidența deciziilor luate de DG-H.

14. În urma analizei celor mai bune practici existente în cadrul altor organizații internaționale similare, s-a constatat că Banca Canadei a adoptat un cadru integrat de gestionare a riscurilor, care include un responsabil cu gestionarea riscurilor și un grup de lucru pentru gestionarea riscurilor. Aceștia au drept sarcină elaborarea unui profil de risc exhaustiv al băncii, profil care include riscurile specifice activității acesteia, riscurile operaționale și riscurile financiare, astfel cum este descris în caseta 1. Cadrul de gestionare a riscurilor al băncii este încorporat pe deplin în procesele sale de planificare strategică, de întocmire a bugetului și, respectiv, în procesul său de evaluare a performanței de la sfârșitul exercițiului. Caseta 1 Exemplu de gestionare integrată a riscurilor – Banca Canadei Responsabilul cu gestionarea riscurilor are următoarele responsabilități: — coordonează elaborarea și îmbunătățirea cadrului strategic de gestionare integrată a riscurilor și solicită aprobarea din partea conducerii; — furnizează altor membri ai conducerii orientări și consiliere în domeniul gestionării riscurilor și prezidează Grupul de lucru pentru gestionarea riscurilor; — coprezidează, împreună cu Ministerul Finanțelor, Comitetul pentru riscuri al Comitetului pentru gestionarea fondurilor. Grupul de lucru pentru gestionarea riscurilor are următoarele sarcini: — facilitează actualizarea completă a autoevaluării de către bancă a riscurilor și întocmirea raportului anual și a celui semestrial privind gestionarea riscurilor; — se reunește de trei până la patru ori pe an pentru a examina profilul de risc al băncii și pentru a realiza un schimb de informații cu reprezentanții diverselor funcții/departamente referitor la inițiativele din domeniul gestionării riscurilor.

Prezentarea cadrului de gestionare a riscurilor al BCE către părți externe

15. Ar trebui să existe o transparență suficientă pentru a permite părților externe să evalueze abordarea adoptată de BCE în domeniul gestionării riscurilor.

16. BCE publică un raport anual, care include conturile anuale și notele explicative aferente (16). Informațiile prezentate în conturile anuale referitor la gestionarea riscurilor sunt relativ restrânse, iar informațiile referitoare la principiile și cifrele privind gestionarea riscurilor în cadrul BCE nu sunt făcute publice [cu excepția indicatorului consolidat privind valoarea la risc (17) (VaR)]. Raportul anual al BCE conține informații pe scurt cu privire la anumite aspecte de gestionare a riscurilor, însă nu prezintă o imagine de ansamblu a procesului de gestionare a riscurilor în cadrul organizației, neindicând nici riscurile cu care Banca se confruntă, nici abordarea pe care conducerea o adoptă cu privire la aceste riscuri.

17. Utilizarea Standardelor Internaționale de Raportare Financiară (IFRS) (18) reprezintă cea mai bună practică în ceea ce privește prezentarea conturilor unei entități. Standardul Internațional de Raportare Financiară 7 „Instrumente financiare: Informații de furnizat” prevede că entitățile trebuie să prezinte în conturile lor informații cu privire la riscurile cu care se confruntă; acest standard nu a fost însă aplicat de BCE.

18. Alte organizații bancare internaționale sau bănci centrale naționale, precum Banca Reglementelor Internaționale (BRI) și Banca Canadei, prezintă, în situațiile lor financiare anuale, informații cu privire la gestionarea riscurilor, chiar dacă una dintre aceste două bănci nu aplică standardele IFRS (a se vedea caseta 2 prezentată în continuare). Caseta 2 Ilustrarea modului în care sunt prezentate informațiile cu privire la gestionarea riscurilor Organizație Prezentarea de informații cu privire la gestionarea riscurilor în conturile anuale Cadrul de raportare financiară Banca Reglementelor Internaționale (BRI) Conturile anuale prezintă riscurile cu care această bancă se confruntă, abordarea și organizarea în domeniul gestionării riscurilor, precum și o descriere detaliată a riscului de credit, a riscului de piață, a riscului de lichiditate și a riscului operațional. Cadru specific de raportare financiară stipulat în statutul băncii Banca Canadei Conturile anuale prezintă o imagine de ansamblu asupra procesului de gestionare a riscurilor, a structurii de guvernanță a riscurilor, a rolului pe care îl are responsabilul de riscurile financiare (Financial Risk Officer), a riscului financiar cu care banca se confruntă, precum și o descriere detaliată a riscului de credit, a riscului de piață și a riscului de lichiditate. IFRS (19)

A gestionat BCE în mod eficace riscurile sale operaționale?

19. Gestionarea continuității activității completează cadrul de gestionare a riscurilor operaționale (ORM) al BCE, ambele formând un element important al guvernanței corporative (20).

Gestionarea riscurilor operaționale

20. Un cadru eficace de gestionare a riscurilor operaționale presupune strategii clare, supraveghere din partea consiliului de administrație și din partea membrilor conducerii, o cultură solidă cu privire la riscurile operaționale și la controlul intern (inclusiv stabilirea unor linii clare de responsabilitate și o separare a sarcinilor), precum și un sistem de raportare eficace pe plan intern.

21. Pentru a evalua gestionarea riscurilor operaționale în cadrul BCE, Curtea a examinat: — politicile în materie de gestionare a riscurilor operaționale (politicile ORM) stabilite de BCE; — structura organizațională și responsabilitățile în ceea ce privește gestionarea riscurilor operaționale; — legătura dintre gestionarea riscurilor operaționale și planificarea strategică și financiară (ciclul bugetar anual); și — identificarea și evaluarea riscurilor, măsurile luate ca răspuns la aceste riscuri, raportarea cu privire la riscuri, monitorizarea și urmărirea lor atât la nivel de servicii, cât și la nivel central.

Politicile privind riscurile operaționale

22. Politicile ORM ar trebui să ofere o definiție clară, la nivelul de ansamblu al Băncii, pentru riscul operațional și să pună bazele politicilor care definesc abordarea adoptată de Bancă în ceea ce privește identificarea, evaluarea, monitorizarea și controlul/atenuarea riscurilor.

23. Cadrul de gestionare a riscurilor operaționale al BCE a fost aprobat de Comitetul executiv în octombrie 2007 (21) și este descris în Business Practice Handbook (BPH), care este publicat pe intranetul instituției, fiind pus la dispoziția întregului personal. Acest document prezintă, în linii mari, definiția dată de BCE conceptului de gestionare a riscurilor operaționale (22), politica de toleranță la risc, precum și repartizarea rolurilor și a responsabilităților în acest domeniu; documentul prezintă, în egală măsură, o imagine de ansamblu asupra politicilor legate de evaluarea riscurilor, de luarea de măsuri ca răspuns la acestea, de raportarea cu privire la riscuri și de monitorizarea acestora.

24. Politicile ORM stabilite oferă o definiție clară, la nivelul de ansamblu al Băncii, pentru riscul operațional și pun bazele politicilor care definesc abordarea adoptată de Bancă în ceea ce privește evaluarea, monitorizarea și controlul/atenuarea riscurilor. Cu toate acestea, BPH nu conține detalii referitoare la abordarea Băncii cu privire la identificarea riscurilor.

Structura organizațională și responsabilitățile

25. Personalul de conducere al unui serviciu dat ar trebui să răspundă de implementarea politicilor, a proceselor și a procedurilor de gestionare a riscului operațional în cadrul tuturor activităților, proceselor și sistemelor importante ale Băncii. De asemenea, Banca ar trebui să dispună de un sistem de gestionare a riscurilor operaționale care să includă alocarea de responsabilități clare unei funcții de gestionare a riscurilor.

26. Comitetului executiv îi revine responsabilitatea finală privind gestionarea riscurilor operaționale în cadrul BCE. Comitetul pentru riscuri operaționale (ORC) tratează subiecte cu caracter strategic și cu perspective pe termen mediu, precum și chestiuni pertinente punctuale (ad-hoc), încadrate într-un orizont pe termen scurt (23). Comitetul este format dintr-un membru al Comitetului executiv (președintele) și din șapte responsabili de nivel înalt din cadrul Băncii (24) și dispune de competențe decizionale în ceea ce privește acceptarea riscurilor de nivel mediu, în timp ce acceptarea riscurilor globale de nivel ridicat ține de competența Comitetului executiv. Comitetul se reunește o dată la două luni sau mai des, în cazul în care este necesar.

27. BPH descrie în mod clar faptul că serviciile sunt responsabile de gestionarea propriilor riscuri operaționale (25). În consecință, fiecare serviciu ar trebui să desemneze (cel puțin) un coordonator privind gestionarea riscurilor, care să sprijine directorii serviciilor în procesul de gestionare a riscurilor operaționale și care să îndeplinească rolul primei persoane de contact pe probleme de gestionare a riscurilor operaționale în cadrul serviciului în cauză. Directorii serviciilor sunt, în egală măsură, responsabili de asigurarea faptului că personalul își însușește și își consolidează competențele necesare pentru a-și putea asuma atât responsabilitatea pentru gestionarea riscurilor operaționale, cât și obligația de a da seamă cu privire la acest aspect. Funcția ORM/BCM ar trebui să dezvolte și să consolideze cadrul de gestionare a riscurilor operaționale, asigurând totodată coordonarea abordării adoptate de diferitele servicii în acest domeniu.

28. Din cei opt membri ai personalului funcției ORM-BCM, doar patru erau angajați permanenți la momentul auditului. Restul erau detașați de la băncile centrale naționale sau erau angajați în baza unor contracte de muncă cu durate determinate cuprinse între trei luni și doi ani. Aceasta înseamnă că există o rată ridicată de fluctuație a personalului, ceea ce are drept rezultat o pierdere de continuitate la nivelul unei funcții importante și sporește riscul ca BCE să nu implementeze în mod adecvat acest cadru de gestionare a riscurilor operaționale.

29. În 2009 și în 2010, s-au desfășurat o serie de sondaje în rândul personalului, care au urmărit să evalueze, printre altele, în ce măsură este acesta conștient de cadrul de gestionare a riscurilor operaționale. Sondajul din 2009 arăta că aproximativ 40 % din respondenți au indicat că nu au primit suficiente informații despre acest cadru, 56 % nu cunoșteau cine fusese desemnat drept coordonator al gestionării acestor riscuri în cadrul serviciului lor, iar 45 % nu cunoșteau de unde anume de pe intranet să își procure informații cu privire la acest aspect. Potrivit rezultatelor sondajului din 2010, în continuare, 40 % nu cunoșteau unde anume pot găsi informații cu privire la ORM.

Legătura cu planificarea strategică și financiară (ciclul bugetar anual)

30. Gestionarea riscurilor ar trebui să fie încorporată în guvernanța BCE ca parte integrantă a planificării strategice, a planificării activităților și a planificării financiare a Băncii.

31. O parte importantă în stabilirea profilului de risc al BCE o reprezintă evaluarea anuală a riscurilor operaționale desfășurată de diferitele servicii și de funcția ORM/BCM. Evaluările pentru 2009 au fost efectuate de diferitele servicii în perioada iunie-august 2009, după care a avut loc o ședință de calibrare cu coordonatorii pentru gestionarea riscurilor. Raportul bazat pe o abordare „de sus în jos” a fost finalizat în ianuarie 2012.

32. Profilul de risc ar trebui să fie unul dintre elementele care contribuie la procesul de planificare strategică, care, la rândul său, este determinant pentru elaborarea planului financiar. Auditul a arătat însă că evaluarea anuală a riscurilor operaționale nu este integrată în ciclul de planificare strategică și financiară al BCE. Prin urmare, ORM riscă să devină un exercițiu izolat și este posibil ca planul financiar să nu prevadă o alocare adecvată a resurselor astfel încât să permită îndeplinirea obiectivelor strategice (26).

33. Un exemplu de bună practică este dat de Banca Canadei, unde profilul de risc al băncii reprezintă o parte integrantă din ciclul global de planificare strategică și financiară al acesteia (27).

Procesul ORM: Identificarea și evaluarea riscurilor, măsurile luate ca răspuns la aceste riscuri, raportarea cu privire la riscuri și monitorizarea și urmărirea lor

Identificarea și evaluarea riscurilor și măsurile luate ca răspuns la aceste riscuri

34. Toate riscurile operaționale inerente activităților, proceselor și sistemelor ar trebui identificate și evaluate. Riscurile ar trebui evaluate în raport cu politica existentă și cu nivelul de toleranță, pentru a determina măsurile adecvate care trebuie luate pe baza unor calcule suficiente ale costurilor. Ar trebui să existe o raportare regulată a informațiilor pertinente către membrii conducerii și către Comitetul executiv, cu scopul de a sprijini gestionarea proactivă a riscurilor operaționale.

35. Cadrul ORM a fost implementat în principal prin evaluări bazate pe o abordare „de sus în jos”. Conform politicii BCE în materie de riscuri, serviciile din cadrul Băncii ar trebui să realizeze la rândul lor, în mod constant, evaluări bazate pe o abordare „de jos în sus” cu privire la procesele pe care le derulează, iar riscurile care sunt astfel identificate ar trebui să fie supuse aprobării (28).

36. BCE a desfășurat evaluări ale riscurilor, pe baza unei abordări „de sus în jos”, în 2008 și în 2009. Funcția ORM/BCM a pus la dispoziția diferitelor servicii o serie de riscuri globale de nivel ridicat predefinite care au servit drept bază pentru evaluările efectuate de acestea cu privire la riscuri. Raportul final a inclus un plan de acțiune pentru fiecare dintre servicii. BPH prevede că serviciile trebuie să analizeze și să definească strategii de răspuns la riscurile identificate și să efectueze o analiză a raportului costuri/beneficii al posibilelor soluții.

37. Toate serviciile identificaseră riscuri și măsuri aferente care să fie întreprinse ca răspuns la aceste riscuri, în cadrul demersului de evaluare „de sus în jos” din 2009. Raportul privind evaluarea „de sus în jos” din 2009 conținea o serie de puncte de acțiune care trebuiau urmărite de fiecare serviciu. Nu exista însă nicio documentație cu privire la analizele costuri/beneficii din cadrul serviciilor incluse în eșantionul auditat.

38. Pentru unele riscuri, procedura de acceptare de către ORC/CE, derulată după identificarea riscului de către serviciul în cauză, era foarte lentă. De exemplu, două riscuri identificate în iulie-august 2009 nu erau încă aprobate în decembrie 2010. Lista punctelor de acțiune în curs, care au fost examinate în cadrul reuniunilor ORC, indică de asemenea că unele puncte rămăseseră deschise mai mult de un an, iar altele până la doi ani.

39. Doar în cazul a trei din șase servicii incluse în eșantion a fost posibilă identificarea unor resurse alocate în mod specific activităților de gestionare a riscurilor operaționale în cadrul programului lor de activitate, însă descrierea acestor activități era formulată în termeni vagi; de asemenea, nu a fost posibilă identificarea unei corelații între punctele de acțiune rezultate din exercițiul de evaluare „de sus în jos” din 2009 privind gestionarea riscurilor operaționale și programele de activitate ale diferitelor servicii.

Gestionarea continuității activității în cadrul BCE

40. Gestionarea continuității activității (BCM) reprezintă o componentă semnificativă a gestionării riscurilor operaționale. Pentru a se asigura continuitatea activităților și a proceselor de maximă importanță în eventualitatea unei situații de criză, este nevoie de planuri de urgență și de planuri de redresare pentru scenariile cele mai pesimiste.

41. Curtea a examinat dacă: (i) cadrul general de gestionare a continuității activității este adecvat și dacă este conform cu cele mai bune practici; (ii) procesele de maximă importanță au fost identificate în mod adecvat; (iii) planurile individuale de continuitate a activității (business continuity plan – BCP) ale diferitelor servicii selectate abordează în mod adecvat riscurile existente, astfel încât să asigure o continuitate corespunzătoare a operațiunilor de maximă importanță; (iv) mecanismele instituite pentru a asigura continuitatea activității au fost testate în mod adecvat; (v) mecanismele respective au fost aduse la cunoștința personalului și dacă au avut loc formări ale personalului cu privire la acestea.

Cadrul BCM

42. Gestionarea continuității activității reprezintă o abordare organizațională globală care include politici, standarde și proceduri menite să asigure că anumite operațiuni pot fi menținute sau recuperate în timp util în eventualitatea unei perturbări a activității. Scopul său este de a reduce la minimum consecințele operaționale, financiare, juridice sau pe cele legate de reputație, precum și alte consecințe semnificative cauzate de o astfel de perturbare (29).

43. Scopul BCM este de a asigura faptul că mecanismele și soluțiile în materie de continuitate a activității sunt conforme cu obiectivele, cu obligațiile și cu atribuțiile statutare ale BCE, precum și cu politica de toleranță la risc a acesteia (30).

44. Auditul a cuprins examinarea principalelor documente care constituie cadrul BCM: — capitolul 26 din Business Practice Handbook definește cadrul general, procesele care trebuie derulate și rezultatele care trebuie obținute, precum și rolurile și responsabilitățile aferente; — strategia BCE de formare a personalului în materie de continuitate a activității și strategia de testare în acest domeniu; — programul de testare în ceea ce privește continuitatea activității; și — manualul de gestionare a crizelor.

45. BCE a elaborat un manual de gestionare a crizelor care definește rolurile, responsabilitățile și procesele care trebuie îndeplinite în situații de criză și care conține datele de contact ale membrilor echipei de gestionare a crizelor. Fiecare serviciu este pe deplin responsabil de elaborarea propriului plan de continuitate a activității. Modelul elaborat la nivel înalt pentru a fi utilizat de către fiecare serviciu la întocmirea acestui plan nu prevede însă elaborarea unui plan general de continuitate a activității la nivelul BCE și, în consecință, BCE nu a elaborat niciun astfel de plan.

46. BCE a instituit un cadru solid care furnizează orientări în ceea ce privește politicile, procesele și responsabilitățile în materie de gestionare a continuității activității în cadrul organizației. Cu toate acestea, abordarea sa descentralizată dă naștere totodată la riscul ca, în lipsa unei coordonări stricte, gestionarea continuității activității să nu fie implementată în mod coerent în cadrul întregii organizații.

Identificarea proceselor de maximă importanță

47. Analizele de impact asupra activității constituie un proces dinamic de identificare a operațiunilor și a serviciilor de maximă importanță, a relațiilor principale de dependență, interne și externe, și a nivelurilor corespunzătoare de reziliență. Acest proces evaluează riscurile și impactul potențial al unor diverse scenarii de perturbare a activității asupra operațiunilor organizației și asupra reputației acesteia (31).

48. Cea mai recentă analiză completă de impact asupra activității a fost realizată în 2006 (32) pentru a identifica produsele și serviciile BCE indispensabile pentru continuitatea principalelor operațiuni ale Băncii. Printre domeniile-cheie pe care această analiză de impact s-a axat s-au numărat următoarele: — identificarea proceselor operaționale de maximă importanță; — clasificarea pe categorii a cerințelor de maximă importanță; — îndrumări cu privire la modalitatea în care să se abordeze procesele nerecurente sau cele mai puțin frecvente; — identificarea cerințelor de sprijin suplimentare.

49. În urma unei actualizări cuprinzătoare în 2007 a analizei de impact asupra activității, s-au constatat lacune în ceea ce privește continuitatea activității și mecanismele aferente existente în acea perioadă. S-a elaborat o strategie de urmărire a situației respective. Aceasta propunea diferite soluții vizând fie remedierea lacunelor identificate, fie acceptarea riscurilor și a costurilor. Cu toate acestea, deși documentul conținea o prezentare a costurilor pe care le implicau diferitele soluții legate de tehnologia informației și de infrastructura logistică, acesta nu conținea și o defalcare detaliată care să indice impactul diferitelor niveluri de risc asupra costurilor.

50. Cea mai recentă actualizare a analizei de impact asupra activității, al cărei obiectiv a fost de a remedia lacunele identificate în 2007, a fost finalizată în 2010. De la declanșarea crizei financiare, nu s-a mai realizat nicio analiză completă de impact asupra activității.

Planurile de continuitate a activității

Operațiunile de maximă importanță

51. Planurile de continuitate a activității trebuie concepute în așa manieră încât să identifice operațiunile de maximă importanță pentru ca BCE să își poată îndeplini obligațiile statutare, astfel cum sunt acestea definite în protocolul privind statutul Băncii Centrale Europene (33). Aceste planuri ar trebui dezvoltate având la bază „scenariul cel mai pesimist”, ținând seama de faptul că măsurile care trebuie luate pot fi de o mai mică amploare, pentru a fi adaptate la situația reală de criză (34).

52. BCE a stabilit o serie de criterii de referință principale în raport cu care să se determine nivelul critic corespunzător unui număr de riscuri, pe baza obligațiilor sale statutare (a se vedea caseta 3). Caseta 3 Principalele criterii de referință în raport cu care se determină nivelul critic Îndeplinirea obligațiilor statutare, inclusiv: — definirea și aplicarea politicii monetare pentru zona euro; — desfășurarea operațiunilor de schimb valutar; — deținerea și administrarea rezervelor valutare oficiale ale țărilor din zona euro; — promovarea bunei funcționări a sistemelor de plăți. Întreruperea oricăruia dintre procesele identificate poate avea drept consecințe: — instabilitatea pieței; — pierderea credibilității/prejudiciu adus imaginii/prejudiciu adus reputației Băncii; — pierdere financiară pentru BCE; — pierdere financiară pentru alte instituții; — posibile probleme de natură juridică; — alte consecințe care nu sunt incluse în cele de mai sus. Sursa: Analizele de impact asupra activității, BCE, examinarea pentru 2006.

53. În urma examinării de către Curte a acestor criterii de referință principale și pe baza unei evaluări preliminare a nivelului potențial la care ar urma să se continue operațiunile în condițiile scenariilor stabilite (35), s-a constatat că planurile erau concepute astfel încât să permită îndeplinirea obligațiile statutare ale Băncii. În schimb, în urma examinării planurilor de continuitate a activității, Curtea a identificat o lipsă de planuri care să abordeze o pierdere importantă de resurse umane (36) în caz de dezastru. Deși serviciile responsabile de procesele în cauză desemnaseră atât personalul răspunzător de continuitatea activității, cât și pe înlocuitorii acestuia, niciun serviciu nu dispunea de un plan de rezervă în caz de indisponibilitate masivă a personalului.

Gradul de respectare a modelului elaborat la nivel înalt pentru planurile de continuitate a activității

54. Conform modelului elaborat la nivel înalt pentru planurile de continuitate a activității, fiecare dintre acestea ar trebui să acopere: — aspecte de natură organizatorică (37); — procesele de maximă importanță (38); — resursele necesare (39); și — lista părților interesate. În cadrul unei organizații, se va efectua o comparație între, pe de o parte, beneficiile directe pe care aceasta le obține ca urmare a măsurilor luate pentru îmbunătățirea rezilienței sale la eventualele perturbări de activitate și, pe de altă parte, costurile măsurilor respective (40).

55. Modelul general elaborat la nivel înalt de BCE pentru planurile de continuitate a activității conține structura și cuprinsul pe care planul elaborat de fiecare dintre serviciile Băncii trebuie să le conțină în mod obligatoriu. Prin urmare, acest model cuprinde doar structura pe care trebuie să o aibă documentele privind planul de continuitate a activității, furnizate de fiecare serviciu.

56. Planurile de continuitate a activității sunt întocmite la nivelul fiecărui serviciu, departament sau divizie. În general, modelul privind planul de continuitate a activității este respectat din punctul de vedere al conținutului obligatoriu, însă există diferențe mari în ceea ce privește gradul de detaliere. Deși funcția ORM/BCM joacă un rol de coordonare centrală, calitatea fiecărui plan de continuitate a activității depinde de persoana responsabilă în acest sens la nivelul fiecărui serviciu în parte. Nu exista nicio probă care să ateste că diferitele planuri de continuitate a activității sunt revizuite în mod suficient de către funcția ORM/BCM.

57. Dintre cele cinci servicii (41) selectate pentru a fi testate în detaliu, patru elaboraseră planuri de continuitate a activității în conformitate cu cerințele prevăzute, iar trei dintre aceste patru servicii abordaseră în totalitate chestiunea proceselor de maximă importanță care fuseseră identificate în cadrul analizei de impact asupra activității.

58. În cea mai mare parte a cazurilor, în serviciile selectate, nu exista nicio documentație în sprijinul analizelor costuri/beneficii privind diversele soluții pentru continuitatea activității, și nici în ceea ce privește evaluarea diverselor niveluri de risc.

Testare

59. Organizațiile ar trebui să testeze planurile lor de continuitate a activității, să le evalueze eficacitatea și să își actualizeze gestionarea continuității activității, acolo unde este necesar (42). BS 25999 (43) prevede că organizația trebuie să se asigure că mecanismele sale privind gestionarea continuității activității sunt validate prin intermediul testelor și al revizuirii și că sunt actualizate în mod constant.

60. Au fost examinate următoarele documente: — strategia de testare a continuității activității (44); — programele și calendarele de efectuare a testelor pentru perioada 2008-2010; și — rapoartele întocmite în urma efectuării testelor.

61. Strategia de testare este axată pe planurile de continuitate a activității și pe planurile de recuperare a sistemelor informaționale elaborate, obiectivul acesteia fiind de a examina dacă planurile respective acoperă toate procesele de maximă importanță ce au fost identificate în cadrul analizei de impact asupra activității. Cadrul de testare include o repartizare clară a responsabilităților, stabilirea sferei și a frecvenței testelor, definirea cerințelor de raportare, precum și un program pertinent de testare pe termen mediu. În urma examinării, s-a constatat că acest cadru de testare este adecvat și că a fost stabilit în conformitate cu cerințele standardului BS 25999.

62. Testele efectuate au relevat că exercițiile de simulare, deși vizează personalul-cheie și sunt realizate în mod regulat, nu reproduc întotdeauna situațiile cu care BCE s-ar confrunta în caz de perturbare majoră a activității. Testele planificate pentru 2009 și 2010 nu au acoperit toate scenariile elaborate de BCE și nu toate testele planificate inițial au fost executate.

Formare și sensibilizare

63. Echipele responsabile de gestionarea crizelor și de luarea de măsuri în situații de criză trebuie formate cu privire la responsabilitățile și sarcinile care le revin. Aceste echipe ar trebui să beneficieze de formare cel puțin o dată pe an, iar noii membri ar trebui să treacă printr-un parcurs de formare în acest domeniu atunci când se alătură echipelor respective. Fiecare membru al personalului ar trebui să fie format astfel încât să fie capabil să își îndeplinească responsabilitățile care îi revin în situații de criză. De asemenea, întregul personal ar trebui să fie informat cu privire la principalele componente ale planului de continuitate a activității (45).

64. Strategia de formare adoptată de BCE prevede că întregul personal ar trebui să beneficieze de programul de creștere a sensibilizării în ceea ce privește gestionarea continuității activității (46). În ceea ce privește testarea, strategia de formare prevede stabilirea unui program de formare care să furnizeze detaliile de implementare.

65. În 2010, au avut loc, pentru cinci jumătăți de zi, programe de formare în domeniul gestionării crizelor, în cadrul cărora s-a oferit posibilitatea de a „parcurge” manualul de gestionare a crizelor adoptat de BCE. Per ansamblu, atât pentru introducerea realizată cu privire la manual, cât și pentru sesiunea de formare, s-au primit evaluări pozitive din partea cursanților, însă, totodată, s-a subliniat că ar fi în mare măsură apreciată inițiativa de a se efectua o serie de exerciții de simulare.

66. Auditul a identificat probe care atestă în mod clar faptul că au loc formări ale personalului responsabil de continuitatea activității, în principal prin intermediul testării planurilor de continuitate a activității; în schimb, auditul nu a identificat nicio probă care să indice că chestiunea sensibilizării celorlalți membri ai personalului cu privire la cadrul și la procesele de continuitate a activității era abordată în mod activ. În mai multe documente interne de referință (47), se recunoaște faptul că, deși testarea joacă un rol esențial în formarea personalului, este nevoie ca întregul personal să fie informat prin intermediul unui program de sensibilizare. Nu s-a elaborat un astfel de program până în prezent, întrucât funcția ORM/BCM consideră că gradul de sensibilizare a personalului cu privire la mecanismele de continuitate a activității este satisfăcător. Cu toate acestea, rezultatele unei anchete interne (48) arată faptul că peste 12 % (20 % în 2009) din respondenți nu cunosc mecanismele de continuitate a activității pentru serviciul în care își desfășoară activitatea și nici nu cunosc de unde anume să își procure informații cu privire la modul în care ar trebui să reacționeze în situații de criză.

A gestionat BCE în mod eficace riscurile sale financiare?

67. Gestionarea riscurilor financiare este un proces prin care sunt abordate incertitudinile cauzate de piețele financiare. Procesul implică evaluarea riscurilor financiare cu care se confruntă organizația și elaborarea unor strategii de gestiune care să fie în conformitate cu prioritățile și politicile interne.

68. Curtea a examinat dacă: — cadrul global de gestionare a riscurilor financiare pentru activitățile de plasament și pentru operațiunile de politică monetară este adecvat și conform cu cele mai bune practici; — metodologia privind riscurile financiare utilizată de BCE este adecvată pentru gestionarea acestora; — metodologia privind riscurile financiare este aplicată în mod eficace de BCE; — raportarea cu privire la gestionarea riscurilor financiare are loc în mod regulat și dacă este fiabilă.

Cadrul de gestionare a riscurilor financiare pentru activitățile de plasament și pentru operațiunile de politică monetară

69. Cadrul ar trebui să furnizeze o definiție a riscului financiar la nivel de organizație și să stabilească principiile legate de modul în care riscul financiar trebuie identificat, evaluat, monitorizat și controlat/atenuat (49). Banca trebuie să dispună de un sistem de gestionare a riscurilor financiare în cadrul căruia responsabilitățile să fie alocate în mod clar.

70. Cadrul BCE privind gestionarea riscurilor financiare este conceput cu scopul de a acoperi riscurile la care sunt expuse următoarele două tipuri de operațiuni desfășurate de Bancă: (i) operațiunile de plasament; și (ii) operațiunile de creditare. Operațiunile de plasament sunt legate de două portofolii, și anume portofoliul de rezerve valutare (50) (60 600 de milioane de euro la 31 decembrie 2010) și portofoliul de fonduri proprii (51) (13 300 de milioane de euro la 31 decembrie 2010). Operațiunile de creditare sunt legate de operațiunile de politică monetară (52). Printre activitățile de plasament ale BCE se numără administrarea rezervelor valutare ale BCE (53), administrarea portofoliului de fonduri proprii al BCE și a fondului de pensii, precum și activități legate de cele două portofolii deținute în scopuri de politică monetară (54).

71. Serviciul gestionarea riscurilor este responsabil de actualizarea constantă a cadrului general de gestionare a riscurilor pentru operațiunile de plasament, precum și pentru monitorizarea, evaluarea și controlul riscurilor rezultate din astfel de operațiuni. Serviciul respectiv supraveghează conformitatea acestui cadru cu politicile și procesele convenite în materie de gestionare a riscului de credit și a riscului de piață. Cazurile de neconformitate sunt raportate urmându-se o serie de proceduri de intervenție în etape.

72. DG-M este serviciul din cadrul BCE care desfășoară operațiunile de plasament ale Băncii. Acest serviciu este, de asemenea, responsabil de actualizarea și de dezvoltarea constantă a aplicației destinate administrării portofoliilor Eurosistemului (55). Serviciul plasamente al DG-M răspunde de elaborarea propunerilor Comitetului pentru plasamente, propuneri legate de nivelul de referință tactic pentru portofoliile de rezerve valutare și de administrarea directă a portofoliului de fonduri proprii al BCE.

73. Principalul document legat de gestionarea riscurilor financiare rezultate din activitățile de plasament, intitulat Handbook of Financial Risk Management (56), prezintă în mod exhaustiv totalitatea politicilor, proceselor și procedurilor relevante, făcând referire în special la documentele adoptate de organul de decizie al BCE.

74. Cadrul general, precum și cadrul de gestionare a riscurilor financiare instituit de BCE pentru gestionarea operațiunilor de plasament și a celor de politică monetară oferă o definiție a riscului financiar la nivelul de ansamblu al Băncii și stabilesc modalitățile în care riscul financiar trebuie identificat, evaluat, monitorizat și controlat/atenuat.

Metodologia de gestionare a riscurilor financiare

75. Ar trebui să se stabilească orientări adecvate în ceea ce privește plasamentele, pentru a se putea determina într-un mod satisfăcător apetitul pentru risc și pentru a se furniza îndrumări exhaustive referitor la aceste tipuri de operațiuni.

76. Documentul elaborat de BCE, intitulat Handbook of Financial Risk Management, definește următoarele elemente: (i) toleranța la risc a BCE; (ii) instrumentele și operațiunile aprobate; (iii) contrapartidele și emitenții eligibili – fixarea limitelor; (iv) alocarea strategică a activelor; (v) raportare cu privire la monitorizare și evaluare; și (vi) revizuirea cadrului (57).

77. Procesul de plasament al rezervelor valutare are la bază o structură de trei niveluri, care cuprinde nivelul de referință strategic, nivelul de referință tactic și portofoliile efective. Nivelul de referință strategic reflectă preferințele în ceea ce privește riscurile și randamentele pe termen lung și este decis de Consiliul guvernatorilor.

78. Procesul de plasament al fondurilor proprii are la bază o structură de două niveluri, nivelul de referință strategic și portofoliul efectiv. Nivelul de referință strategic este decis de Comitetul executiv.

79. Randamentele sunt valorificate la maximum, făcând obiectul constrângerii „zero pierderi” și al celei legate de alocarea activelor și sunt implementate prin intermediul unei alocări strategice specifice a activelor (58).

80. Listele privind țările, emitenții și contrapartidele eligibile sunt administrate de RMA. Limitele pentru contrapartide sunt fixate de RMA pe baza metodologiei aprobate de Comitetul executiv. În ceea ce privește administrarea rezervelor valutare, fixarea limitelor pentru băncile centrale naționale este bazată pe metodologia aprobată de Consiliul guvernatorilor. O dată pe an, se procedează în mod sistematic la o actualizare a tuturor limitelor. În plus, este luat în considerare în mod prompt impactul pe care îl are modificarea ratingurilor asupra eligibilității și asupra limitelor.

81. Alocarea strategică a activelor ține seama de următoarele cerințe de politică stabilite la nivel înalt: (i) scopurile în care sunt deținute rezervele; (ii) preferințele legate de riscuri/randamente; (iii) abordarea în ceea ce privește elaborarea de modele; (iv) orizontul de timp aferent plasamentelor și frecvența de revizuire; (v) împărțirea responsabilităților între factorii de decizie privind nivelul de referință strategic, pe de o parte, și nivelul de referință tactic, pe de altă parte, în lanțul activităților de plasament; (vi) conținutul de informații pe care se sprijină deciziile legate de activitățile de plasament; (vii) plasamentele eligibile; și (viii) constrângerile care se impun în ceea ce privește plasamentele. Orizontul de timp privind plasamentele și orizontul de risc sunt stabilite o dată pe an pentru rezervele valutare și o dată la cinci ani pentru fondurile proprii.

82. Auditul desfășurat de Curte a inclus examinarea: — caracterului exhaustiv și adecvat al definițiilor privind apetitul pentru risc și strategia în materie de riscuri; — orientările în materie de plasamente; — procesul decizional prin care se fixează limitele pentru plasamente; — măsurile luate pentru a atenua diferitele riscuri și coerența acestor măsuri: riscul de piață, riscul de credit, riscul de contrapartidă, riscul de lichiditate și riscul operațional privind activitățile de plasament.

83. Examinarea cadrului de gestionare a riscurilor financiare indică faptul că metodologia aplicată în acest domeniu permite, într-un mod satisfăcător, determinarea apetitului pentru risc și că aceasta furnizează orientări exhaustive pentru operațiunile de plasament derulate de BCE.

Aplicarea metodologiei de gestionare a riscurilor financiare

84. Metodologia privind gestionarea riscurilor financiare, astfel cum este descrisă în secțiunea anterioară, ar trebui pusă în aplicare în mod eficace.

85. Auditul Curții a inclus: (i) examinarea caracterului adecvat al nivelurilor de referință în raport cu profilul de risc al portofoliului, inclusiv măsurile luate în vederea detectării erorilor, calitatea datelor, administrarea datelor și securitatea datelor privind nivelul de referință strategic și cel tactic; (ii) examinarea instrumentelor și a sistemului care stau la baza calculului și actualizării portofoliilor și a nivelurilor de referință; și (iii) examinarea modului de gestionare a modificărilor nivelurilor de referință.

86. În ceea ce privește examinarea cadrului privind valoarea la risc, s-au avut în vedere următoarele aspecte: (i) analiza calității datelor și analiza administrării datelor, examinarea datelor legate de securitate și de control; (ii) analiza tehnicii de elaborare a modelelor, a ipotezelor de la baza modelelor, a componentelor-cheie din cadrul procesului de elaborare a modelelor; și (iii) teste de rezonabilitate, examinarea rezultatelor obținute în urma testelor ex post, analize ale rapoartelor.

87. Testele de audit au arătat că metodologia a fost implementată în mod adecvat. Cu toate acestea, nu există nicio documentație care să ateste că s-a aplicat „principiul celor patru ochi”. În plus, în urma examinării modelelor utilizate pentru calculul nivelurilor de referință strategice și tactice și pentru calculul valorii la risc (VaR), inclusiv examinarea modului în care s-a realizat validarea modelelor, s-au constatat următoarele pentru unele dintre modele: (a) recent, nu s-a efectuat niciun fel de test ex post regulat pentru modele, neexistând nicio documentație în acest sens; (b) modelele aplicate nu au făcut obiectul niciunei validări independente și niciunei actualizări recente; (c) ipotezele de la baza modelelor nu erau întotdeauna suficient de documentate.

88. Analiza celor mai bune practici existente în cadrul altor organizații internaționale similare a arătat că, în urma crizei financiare din Statele Unite, Federal Reserve Bank of New York a constituit o echipă însărcinată cu validarea modelelor, în cadrul inițiativei sale de a-și consolida capacitățile de gestionare a riscurilor financiare. Sarcinile principale ale acestei echipe sunt descrise în caseta 4. Caseta 4 Echipa din cadrul Federal Reserve Bank of New York, însărcinată cu validarea modelelor Sarcinile principale ale echipei sunt enumerate în continuare: — realizarea inventarului tuturor modelelor utilizate în scopul gestionării riscurilor financiare; — examinarea și validarea documentației aferente modelelor; — elaborarea unei documentații detaliate în cazul în care documentele existente sunt considerate a fi insuficiente, în urma evaluării lor; — testarea modelelor.

Caracterul adecvat al raportării cu privire la riscurile financiare

89. Ar trebui să existe un proces prin care să se monitorizeze în mod regulat profilurile de risc și expunerile majore la riscul de pierderi. Ar trebui să se instituie un sistem fiabil de monitorizare și de raportare.

90. RMA supraveghează conformitatea cu politicile și procesele convenite în materie de gestionare a riscului de credit și a riscului de piață, răspunzând și de raportarea cazurilor de neconformitate prin utilizarea unor proceduri de intervenție în etape. Serviciul RMA din cadrul BCE raportează în mod regulat cu privire la raportul risc/randament și la performanța ambelor portofolii ale Băncii, și anume rezervele valutare și fondurile proprii, precum și cu privire la nivelurile de referință strategice și tactice conexe. Raportarea are loc zilnic, săptămânal, lunar, trimestrial și anual.

91. Testele și interviurile derulate de auditori au confirmat faptul că raportarea performanțelor se realizează în mod regulat și este comunicată conducerii executive în timp util. Cu toate acestea, s-a luat notă de faptul că standardele GIPS (59), considerate a fi drept unele dintre cele mai bune practici în domeniu, nu sunt respectate în totalitate în cadrul raportării interne a BCE cu privire la performanță.

CONCLUZII ȘI RECOMANDĂRI

A stabilit BCE un cadru de guvernanță corespunzător și exhaustiv pentru gestionarea riscurilor?

92. Structura organizațională stabilită de BCE este completă, iar rolurile și responsabilitățile sunt alocate în mod clar. Cu toate acestea, există o demarcare puternică între gestionarea riscurilor financiare și a celor operaționale în cadrul Băncii, ceea ce sporește riscul ca aceasta să nu dispună de o viziune de ansamblu completă asupra riscurilor la care este expusă. Niciun organism unic și independent, de exemplu, un responsabil cu gestionarea riscurilor sau un comitet pentru gestionarea riscurilor, nu a fost constituit pentru a face legătura între Comitetul executiv și cele două funcții/unități axate pe riscuri, ORM/BCM și RMA.

93. Conturile anuale ale BCE conțin doar informații pe scurt cu privire la anumite aspecte de gestionare a riscurilor, în loc să prezinte o imagine de ansamblu a procesului de gestionare a riscurilor în cadrul organizației, neindicând nici riscurile cu care Banca se confruntă, nici abordarea pe care conducerea o adoptă cu privire la aceste riscuri. Recomandări 1. BCE ar trebui să aibă în vedere crearea unei funcții de gestionare a riscurilor care să fie unică și independentă din punct de vedere ierarhic, cum ar fi un responsabil cu gestionarea riscurilor sau un comitet, care să se concentreze numai pe gestionarea riscurilor și care să asigure o imagine exhaustivă asupra expunerilor la risc ale Băncii. 2. BCE ar trebui să îmbunătățească în continuare nivelul de transparență privind practicile de gestionare a riscurilor pe care le prezintă părților externe în conturile anuale, prin aplicarea celor mai bune practici, precum IFRS 7.

A gestionat BCE în mod eficace riscurile sale operaționale?

94. BCE dispune de o structură organizațională clară și a instituit politici adecvate de gestionare a riscurilor operaționale care definesc abordarea adoptată de Bancă în ceea ce privește evaluarea, monitorizarea și controlul/atenuarea riscurilor.

95. Deși s-au efectuat evaluări bazate pe o abordare „de sus în jos” în 2008 și în 2009 și s-au identificat planuri de acțiune pentru fiecare serviciu în parte, nu exista nicio documentație cu privire la analizele raporturilor costuri/beneficii.

96. S-a instituit un sistem de raportare, de monitorizare și de urmărire cu privire la riscuri și s-a convenit asupra unui calendar pentru urmărirea măsurilor luate în vederea atenuării riscurilor de nivel mediu și ridicat. Cu toate acestea, în cazul anumitor riscuri, procedura de acceptare de către ORC/CE a avut o durată foarte îndelungată. Nu există nicio relație de integrare între ciclul de planificare și ciclul de gestionare a riscurilor operaționale. De asemenea, activitățile de gestionare a riscurilor operaționale nu erau indicate în mod clar în programele de activitate ale unora dintre serviciile auditate.

97. BCE a elaborat un manual exhaustiv de gestionare a crizelor care definește rolurile, responsabilitățile și procesele care trebuie îndeplinite în situații de criză și care conține datele de contact ale membrilor echipei de gestionare a crizelor. Fiecare serviciu este pe deplin responsabil de elaborarea propriului plan de continuitate a activității.

98. BCE a instituit un cadru solid, care furnizează orientări în ceea ce privește politicile, procesele și responsabilitățile în materie de gestionare a continuității activității în cadrul organizației. Cu toate acestea: (a) deși o actualizare cuprinzătoare a analizei de impact asupra activității a avut loc în 2007 și a fost finalizată în 2010, de la declanșarea crizei financiare nu s-a realizat nicio analiză completă de impact asupra activității; (b) s-a identificat o lipsă de planuri care să abordeze o eventuală pierdere importantă de resurse umane în caz de dezastru; (c) testele planificate nu au acoperit în întregime toate scenariile de dezastre prevăzute de BCE; și (d) unele teste planificate pentru 2009 și 2010 nu au mai fost executate. Recomandări 3. Evaluarea anuală a riscurilor operaționale ar trebui inclusă în ciclul de planificare strategică și financiară al BCE și în programele anuale de activitate ale diferitelor servicii. 4. Ar trebui să se decidă cât mai rapid posibil cu privire la problema referitoare la măsurile care trebuie luate în legătură cu riscurile de nivel mediu și ridicat. 5. BCE ar trebui să continue îmbunătățirea planurilor sale de continuitate a activității și a programului de testare a acestora, precum și să depună eforturi pentru a se asigura că toate testele planificate sunt executate.

A gestionat BCE în mod eficace riscurile sale financiare?

99. Cadrul general, precum și cadrul de gestionare a riscurilor financiare instituit de BCE pentru gestionarea operațiunilor de plasament și a celor de politică monetară sunt adecvate. Examinarea cadrului de gestionare a riscurilor financiare a indicat faptul că metodologia aplicată în acest domeniu este solidă și adecvată pentru gestionarea operațiunilor de plasament și a celor de politică monetară derulate de BCE. Cu toate acestea, este nevoie de îmbunătățiri în ceea ce privește punerea în practică a metodologiei respective, de exemplu referitor la modelele utilizate pentru calculul nivelurilor de referință strategice și tactice și pentru calculul valorii la risc (VaR).

100. Rapoartele interne privind gestionarea riscurilor furnizează membrilor conducerii și Comitetului executiv al BCE informații exacte, adecvate și exhaustive privind gestionarea riscurilor financiare. Raportarea cu privire la performanță are loc în mod regulat și în timp util, însă nu este actualizată în mod regulat pentru a reflecta modificările aduse standardelor GIPS. Recomandări 6. BCE ar trebui să continue să amelioreze examinarea și validarea modelelor utilizate pentru calculul nivelurilor de referință strategice și tactice și pentru calculul valorii la risc (VaR), inclusiv să elaboreze documentații detaliate în cazul în care, în urma evaluării lor, documentele existente sunt considerate a fi insuficiente, să testeze modelele și să asigure o examinare regulată a ipotezelor de la baza modelelor. 7. Modificările aduse standardelor GIPS ar trebui analizate în fiecare an și ar trebui să se aibă în vedere aplicarea în totalitate a acestora la raportarea internă a BCE cu privire la performanță.

Prezentul raport a fost adoptat de Camera IV, condusă de domnul Louis GALEA, membru al Curții de Conturi, la Luxemburg, în ședința sa din 27 martie 2012. Pentru Curtea de Conturi Vítor Manuel da SILVA CALDEIRA Președinte

(1) Articolul 127 alineatul (1) din Tratatul privind funcționarea Uniunii Europene.

(2) Statutul Sistemului European al Băncilor Centrale și al Băncii Centrale Europene reprezintă un protocol anexat la tratat.

(3) Articolul 27.2 din Protocolul privind Statutul SEBC și al BCE prevede următoarele: „Dispozițiile articolului 287 din Tratatul privind funcționarea Uniunii Europene se aplică numai cu privire la examinarea eficienței administrării BCE”.

(4) Articolul 9.3 din Protocolul privind Statutul SEBC și al BCE. Consiliul guvernatorilor este constituit din cei șase membri ai Comitetului executiv și din guvernatorii băncilor centrale naționale ale statelor membre a căror monedă este euro. Comitetul executiv este constituit din președinte, vicepreședinte și alți patru membri.

(5) Articolul 12.1 din Protocolul privind Statutul SEBC și al BCE.

(6) Sfera ORM acoperă riscurile legate de activitățile BCE, inclusiv pe cele legate de procesele și de proiectele aferente SEBC/Eurosistemului.

(7) Criteriile pe baza cărora Curtea a evaluat cadrul de gestionare a riscurilor financiare și operaționale al BCE sunt indicate în prezentul document cu caractere cursive. Criteriile sunt elaborate de Curte, cu excepția celor pentru care s-au furnizat referințe.

(8) Sfera auditului nu a cuprins gestionarea riscurilor de la nivelul Sistemului European al Băncilor Centrale (SEBC).

(9) Au avut loc vizite de informare la Federal Reserve Bank of New York și la Banca Canadei și s-au trimis chestionare către aceste două instituții și către Banca Națională a Elveției.

(10) José Manuel González-Páramo, membru al Comitetului executiv al BCE, Ulrich Bindseil și Evangelos Tabakis, Risk Management for Central Banks and Other Public Investors (Gestionarea riscurilor pentru băncile centrale și pentru alți investitori din sectorul public), Cambridge University Press, 2009.

(11) High level principles for risk management (Principii de nivel înalt pentru gestionarea riscurilor), Comitetul european al inspectorilor bancari (CEBS), februarie 2010 (citat preluat cu caractere cursive de Curtea de Conturi Europeană, textul original fiind în caractere aldine).

(12) Secție, serviciu, direcție sau direcție generală.

(13) Aceasta face parte din DG-H.

(14) Funcția ORM/BCM asigură, de asemenea, secretariatul Comitetului pentru riscuri operaționale (ORC).

(15) RMA face parte din punct de vedere administrativ din DG-H, însă acest serviciu raportează în mod direct membrului Comitetului executiv căruia îi revine responsabilitatea gestionării riscurilor financiare.

(16) BCE aplică propriul cadru de raportare contabilă stabilit prin Decizia BCE/2006/17 privind conturile anuale ale Băncii Centrale Europene, modificată.

(17) Valoarea la risc (VaR) este un indicator de măsurare a riscurilor utilizat la scară largă pentru a evalua riscul de pierdere pentru un portofoliu dat de active financiare. Pentru un portofoliu, un nivel de încredere și un orizont de timp dat, VaR este definită ca fiind o valoare-prag, astfel încât probabilitatea ca pierderea evaluată la prețul pieței pentru un portofoliu dat, pe parcursul unui orizont de timp dat, să depășească această valoare-prag, în condiții normale de piață și fără să aibă loc tranzacționări în cadrul portofoliului, reprezintă nivelul de probabilitate definit [potrivit Value at Risk: The New Benchmark for Managing Financial Risk (ediția a 3-a), Philippe Jorion, McGraw-Hill Professional, 2006].

(18) Standardele Internaționale de Raportare Financiară sunt standarde, interpretări și un cadru bazate pe o serie de principii adoptate de Comitetul pentru Standarde Internaționale de Contabilitate (IASB), fiind cunoscute, de asemenea, sub denumirea veche – Standardele Internaționale de Contabilitate (IAS). În februarie 2001, Comisia Europeană a elaborat o propunere de regulament care prevedea ca toate societățile din UE cotate pe o piață reglementată, inclusiv băncile și societățile de asigurare, să treacă, până în 2005 cel târziu, la întocmirea conturilor consolidate în conformitate cu IAS. Statele membre ale UE aveau posibilitatea de a extinde această cerință astfel încât aceasta să se aplice și pentru societățile necotate și pentru conturile întocmite de alte societăți individuale. S-a creat un mecanism UE de adoptare a IAS, atât la nivel politic, cât și la nivel tehnic, având ca scop supravegherea integrării acestor standarde în cadrul UE.

(19) Până la 31 decembrie 2010, Banca Canadei a întocmit rapoarte pe baza principiilor contabile general acceptate canadiene (Canadian Generally Accepted Accounting Principles), prezentând totuși informații cu privire la gestionarea riscurilor, în mod asemănător celor prevăzute în IFRS. De la 1 ianuarie 2011, Banca Canadei raportează conform IFRS.

(20) Manual de practici organizaționale (Business Practice Handbook), capitolul 26.

(21) În 2008, Comitetul executiv a decis alinierea cadrului de gestionare a riscurilor operaționale al BCE la cadrul adoptat la nivelul SEBC.

(22) Riscul operațional este definit ca fiind „riscul unui impact negativ asupra aspectelor financiare, asupra activității și/sau asupra reputației, rezultat ca urmare a caracterului inadecvat sau a eșecului guvernanței interne și al proceselor operaționale sau determinat de persoane, sisteme sau evenimente externe entității”.

(23) Comitetul este mandatat să stimuleze și să supervizeze elaborarea, implementarea și consolidarea procesului de gestionare a riscurilor operaționale în cadrul BCE.

(24) Membrii ORC includ responsabili de nivel înalt din cadrul direcțiilor generale Operațiuni de piață, Sisteme informatice, Administrație, Resurse umane, buget și organizare, precum și din cadrul a două servicii principale, prin rotație anuală, precum și consilierul directorului general al Direcției generale resurse umane, buget și organizare.

(25) Serviciul („proprietarul riscului”) responsabil de riscul orizontal (un risc care are un impact asupra mai multor servicii) ar trebui să recomande și/sau să pună în aplicare măsuri corespunzătoare de tratament al riscului respectiv, care să fie aplicabile la nivelul de ansamblu al BCE.

(26) Potrivit concluziilor articolului ERM at the Federal Reserve Bank of Richmond, 2007, Jack Dorminey și Richard Mohn.

(27) Sursa: pagina de internet a Băncii Canadei, Medium-term plan 2010-12 (www.bankofcanada.ca, 13 iulie 2011).

(28) În ceea ce privește proiectele legate de tehnologia informației, de exemplu, există o serie de proceduri specifice, astfel cum sunt cele descrise în documentul Project Organisation and Control Procedures (Procedurile de organizare și de control al proiectelor). Riscurile de la nivelul proiectelor sunt raportate în mod separat prin intermediul Comitetului de coordonare a proiectelor sau prin intermediul Comitetului de coordonare a proiectului privind noul sediu al BCE. Gestionarea riscurilor legate de diferitele proiecte nu a făcut parte din sfera acestui audit.

(29) High-level principles for business continuity (Principii fundamentale în materie de continuitate a activității), Comitetul de la Basel pentru supraveghere bancară, august 2006, punctul 9.

(30) Business Practice Handbook (BPH), ediția a cincea, BCE, 24 septembrie 2010.

(31) High-level principles for business continuity, Comitetul de la Basel pentru supraveghere bancară, august 2006, punctul 10.

(32) Analize de impact asupra activității (ECB Business Impact Analyses), BCE, examinarea pentru 2006, Direcția generală resurse umane, buget și organizare, 16 ianuarie 2007.

(33) Articolul 3 din Protocolul (nr. 4) privind Statutul Sistemului European al Băncilor Centrale și al Băncii Centrale Europene definește misiunile statutare care trebuie îndeplinite de BCE.

(34) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management and Disaster Recovery (Orientări privind continuitatea activității: o abordare practică în ceea ce privește pregătirea pentru situațiile de urgență, pentru gestionarea situațiilor de criză și pentru recuperare în caz de dezastru), ASIS International, 2005, punctul 11.3.

(35) Având la bază șase scenarii de dezastre, analiza de impact asupra activității estimează impactul asupra capacității operaționale a fiecăruia dintre serviciile Băncii.

(36) Astfel cum este prevăzut în documentul High-level principles for business continuity, Comitetul de la Basel pentru supraveghere bancară, august 2006, punctul 23.

(37) Mai exact, organele de decizie în situații de criză, componența echipei responsabile de continuitatea activității, relațiile cu alte echipe, localizarea echipei responsabile de continuitatea activității.

(38) Mai exact, procesele care au fost identificate și aprobate ca făcând parte din analiza de impact asupra activității, lista de sarcini în care să se detalieze diferitele activități necesare pentru a asigura continuitatea proceselor de maximă importanță menționate.

(39) Mai exact, echipamente informatice și de birotică, precum și manuale.

(40) High-level principles for business continuity, Comitetul de la Basel pentru supraveghere bancară, august 2006, punctul 13.

(41) DG-IS dispune de un proces distinct de continuitate a activității. Acesta face obiectul auditului extern prin care se verifică dacă procesul se derulează în conformitate cu ISO 20000 și, din acest motiv, planul de continuitate a activității elaborat de DG-IS nu a făcut parte din sfera auditului desfășurat de Curte pentru 2010.

(42) High-level principles for business continuity, Comitetul de la Basel pentru supraveghere bancară, august 2006, principiul 6.

(43) Codul bunelor practici al standardului britanic privind gestionarea continuității activității.

(44) ECB Business Continuity Testing and Training Strategy (Strategia BCE de formare a personalului în materie de continuitate a activității și strategia de testare în acest domeniu), Comitetul pentru riscuri operaționale, 4 martie 2008.

(45) Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery; ASIS International; 2005; punctul 12.1.1.

(46) ECB Business Continuity Testing and Training Strategy, Comitetul pentru riscuri operaționale, 4 martie 2008.

(47) Business continuity testing and training strategy, p. 15; Business Practice Handbook, 26.1; Business Continuity Framework (Cadru privind continuitatea activității, disponibil pe intranetul BCE); documentul intitulat Business Continuity Management Policy (Politica privind gestionarea continuității activității).

(48) Raport bazat pe ancheta internă privind „satisfacția clientului”, desfășurată de BCE în 2010 și în 2009.

(49) Basel, ERM COSO [cadrul de referință Enterprise Risk Management (Gestionarea riscurilor întreprinderii) elaborat de Comitetul de Sponsorizare a Organizațiilor].

(50) Orientarea Băncii Centrale Europene din 20 iunie 2008 privind administrarea activelor din rezervele valutare ale Băncii Centrale Europene de către băncile centrale naționale, precum și documentația juridică aferentă operațiunilor având ca obiect aceste active (reformare) (BCE/2008/5) (2008/596/CE).

(51) OFM Guideline (Orientări privind gestionarea fondurilor proprii), iulie 2010, documentul BCE Own Funds Investment Guidelines (Orientări privind plasamentul fondurilor proprii), septembrie 2010.

(52) Orientarea Băncii Centrale Europene din 26 septembrie 2002 privind standardele minime aplicabile Băncii Centrale Europene și băncilor centrale naționale cu ocazia efectuării operațiunilor de politică monetară, a operațiunilor de schimb cu rezervele valutare ale BCE și a gestionării activelor din rezervele valutare ale BCE (BCE/2002/6).

(53) Inclusiv rezervele de aur.

(54) Unul dintre portofolii este destinat programului de achiziționare de obligațiuni garantate (Covered Bond Purchase Programme – CBPP), iar celălalt programului privind piețele titlurilor de valoare (SMP).

(55) Aplicație utilizată pentru gestionarea rezervelor valutare și a fondurilor proprii ale BCE, precum și pentru obținerea cifrelor legate de performanță.

(56) Handbook of Financial Risk Management, Policies and procedures (Manual privind gestionarea riscurilor financiare, politici și proceduri), martie 2008.

(57) Revizuirea punctelor (i)-(v) în mod regulat sau cel puțin o dată pe an de către Comitetul executiv sau de către Consiliul guvernatorilor.

(58) Consiliul guvernatorilor decide cu privire la această alocare în cazul rezervelor valutare, iar Comitetul executiv în cazul fondurilor proprii, pe baza propunerilor prezentate de RMA.

(59) GIPS (Global Investment Performance Standards) – Standardele globale de prezentare a performanței investițiilor – reprezintă un set de principii deontologice standardizate și aplicate la nivelul de ansamblu al acestui sector, create și administrate de CFA Institute (Chartered Financial Analyst Institute – Institutul Analiștilor Financiari Autorizați), principii care furnizează orientări cu privire la modul de calcul și de raportare a rezultatelor investițiilor. Aplicarea acestor standarde este opțională și este bazată pe principiile fundamentale privind transparența totală și prezentarea fidelă a rezultatelor performanței investițiilor.