Положение Банка России от 08.04.2020 № 716-П, пункты 6.6 и 6.10
Событие ПНИИИМР как событие регуляторного риска в базе событий операционного риска
Нарушение требований о противодействии неправомерному использованию инсайдерской информации — это по своей природе событие регуляторного риска. А события регуляторного риска в кредитной организации не живут отдельной жизнью: по пункту 6.10 Положения Банка России № 716-П они включаются в базу событий операционного риска. Это не смежная тема, а рамка, в которой событие ПНИИИМР существует с момента регистрации.
Практический вывод простой: если у банка уже выстроен процесс управления операционным риском, событие ПНИИИМР не требует отдельного контура учёта — оно требует правильной классификации и полноты сведений. Продукт ведёт именно такую базу событий, и состав карточки сопоставим с перечнем сведений пункта 6.6. Ниже это сопоставление приведено поле за полем.
Пункт 6.10: события регуляторного риска включаются в базу событий операционного риска
Положение Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», пункт 6.10. Источник: consultant.ru. Приведён пересказ, а не дословная цитата.Пересказ. Пункт 6.10 главы 6 Положения относит к событиям, подлежащим включению в базу событий операционного риска, в том числе события регуляторного риска и других нефинансовых рисков.
Что это значит на практике. Реализовавшееся нарушение требований 224-ФЗ — например, передача сведений лицу, не имевшему к ним доступа, — не остаётся внутренним делом комплаенса. Оно регистрируется как событие в базе событий операционного риска со всем составом сведений, который требует Положение, и дальше участвует в общей аналитике: в отчётности, в оценке уровня риска, в расчёте потерь.
Отсюда следует и требование к системе: она должна не просто фиксировать факт нарушения, а вести полноценную карточку события операционного риска. Продукт ведёт именно её — и одновременно поддерживает процедурную часть правил внутреннего контроля, потому что это один и тот же объект учёта, рассматриваемый по фиксированному маршруту.
К какому типу событий относится нарушение по ПНИИИМР
Пункт 3.6 Положения № 716-П перечисляет семь типов событий операционного риска. Ближайший к предмету 224-ФЗ — тип 3.6.4.
Положение Банка России от 08.04.2020 № 716-П, пункт 3.6, подпункт 3.6.4. Источник: consultant.ru. Приведён пересказ, а не дословная цитата.Пересказ. Тип 3.6.4 — нарушение со стороны кредитной организации прав клиентов и контрагентов, включая нанесение им ущерба, при оказании им услуг и совершении операций, включая нарушение условий договоров и сохранности конфиденциальной информации.
Классификаторы 716-П поставляются вместе с продуктом: типы риска, направления деятельности, виды потерь, формы контроля, справочник бизнес-процессов. В справочнике бизнес-процессов есть процессы «Ведение списка инсайдеров» и «Ведение списка инсайдеров Банка», а в справочнике мер — «Противодействие неправомерному использованию инсайдерской информации». Эти строки позволяют пометить событие как относящееся к предметной области ПНИИИМР. Они не выполняют ни одной обязанности по 224-ФЗ: это классификация, а не функциональность.
Сопоставление с пунктом 6.6: состав сведений о событии и поля карточки
Пункт 6.6 Положения № 716-П задаёт состав сведений о событии операционного риска. Ниже — построчное сопоставление с реквизитами карточки события регуляторного риска в продукте. Это проверяемое утверждение: каждую строку можно открыть на демонстрации и увидеть поле.
| Сведения по пункту 6.6 (пересказ) | Поля карточки события | Комментарий |
|---|---|---|
| Идентификационный номер и дата регистрации события | «Уникальный идентификатор», «Дата создания», «Дата регистрации», «Год», «Квартал» | Идентификатор и год с кварталом входят в состав колонок реестра, поэтому событие адресуется в переписке однозначно. |
| Дата и время реализации события | «Дата наступления события», «Дата выявления события», «Дата получения информации о регуляторном риске» | Три разные даты, а не одна: разрыв между наступлением и выявлением — самостоятельный показатель качества контроля. |
| Описание события: в чём заключается | «Описание события регуляторного риска в области ПНИИИМР», «Краткое описание», «Описание подтверждённого регуляторного риска» | Первичное описание и описание, подтверждённое по результатам анализа, хранятся раздельно — видно, как менялась картина. |
| Описание события: каким образом обнаружено | «Кто обнаружил», «Структурное подразделение, обнаружившее событие», «Способ создания», «Лицо, направившее сообщение» | Способ создания — справочник со значениями «ручной ввод», «загрузка», «выявление по алгоритму системы». |
| Описание события: что явилось причиной | «Причины возникновения», «Описание причин возникновения регуляторного риска», «Причины возникновения, установленные по результатам анализа» | Установление причин — отдельный статус маршрута («Анализ: Причины возникновения»), а не поле, которое можно оставить пустым. |
| Классификационные элементы: категория источника, тип события, вид риска | Справочники типов риска, видов потерь, причин и форм контроля из поставки; признак «Событие является регуляторным риском в области ПНИИИМР (ДА/НЕТ)» | Классификаторы поставляются заполненными по 716-П; признак отношения к ПНИИИМР — отдельная колонка реестра. |
| Причастные структурные подразделения | «Структурное подразделение, в котором произошло событие», «Подразделение инициатора», «Владелец процесса» и его куратор | Подразделения берутся из загруженной оргструктуры, а не вводятся текстом, поэтому сводятся в отчётности. |
| Направления деятельности и бизнес-процессы | «Бизнес-процесс» — справочник процессов из поставки | В справочнике есть процессы «Ведение списка инсайдеров» и «Ведение списка инсайдеров Банка» — событие можно отнести к ним как к объекту классификации. |
| Сведения о потерях и возмещениях | «Сумма фактических финансовых потерь», «Код потерь», «Реализованное нефинансовое влияние», «Потенциальные последствия реализации риска (штрафы, предписания и иные последствия)», «Финансовые последствия», «Нефинансовые последствия» | Нефинансовое влияние ведётся наравне с суммой: для событий ПНИИИМР репутационные и надзорные последствия обычно весомее прямых потерь. |
| Сведения о принятых мерах (в развитие требования) | «Первичные меры по снижению или устранению риска», «Меры по минимизации риска // Рекомендации», «Срок исполнения рекомендаций», «Статус исполнения рекомендаций» | Меры ведутся собственной статусной моделью из 6 статусов и 7 переходов с отчётом об исполнении и оценкой надлежащего исполнения. |
Дополнительно к пункту 6.6 карточка содержит реквизиты, которых Положение не требует, но которые нужны именно для ПНИИИМР: гриф доступа, уровень конфиденциальности, статус проработки кейса, плановая дата окончания контрольных процедур, работа, проведённая для сбора информации, и заключение с номером и датой.
26 колонок реестра событий: что видно, не открывая карточку
Реестр событий регуляторного риска настроен на 26 колонок. Ширина колонок и порядок сортировки задаются данными представления, а не кодом, поэтому состав реестра меняется настройкой. Сортировка по умолчанию — по году.
| Группа | Колонки |
|---|---|
| Регистрация | Год · Квартал · Кто обнаружил · Дата получения информации · Дата выявления события · Дата наступления события · Уникальный идентификатор |
| Обстоятельства | Подразделение, в котором произошло событие · Описание регуляторного риска · Описание причин возникновения · Бизнес-процесс · Работа, проведённая для сбора информации и анализа события |
| Квалификация | Событие является регуляторным риском в области ПНИИИМР (ДА/НЕТ) · Описание подтверждённого регуляторного риска · Причины, установленные по результатам анализа · Статус проработки кейса |
| Последствия | Сумма фактических финансовых потерь · Реализованное нефинансовое влияние · Потенциальные последствия реализации риска · Финансовые последствия · Нефинансовые последствия · Вероятность возникновения риска · Уровень риска по событию |
| Меры | Первичные меры по снижению или устранению риска · Меры по минимизации риска // Рекомендации · Срок исполнения рекомендаций · Статус исполнения рекомендаций |
Эти же сведения — основа для ответа на запрос Банка России по статье 14 224-ФЗ: подробнее о доказательной выгрузке — в разделе о рабочем месте ответственного должностного лица.
Форма 0409106: состав выгрузки и её предмет
В продукте реализована выгрузка формы отчётности Банка России 0409106 по официальной схеме регулятора, с подразделами 1.1, 1.2, 2.1–2.5 и 3, справочной частью, реквизитами составителя и исполнителя и протоколом контроля.
Показатели формы — прямые потери от событий операционного риска, чистые потери, возмещения и контрольные показатели уровня операционного риска, в том числе риска информационной безопасности. Форма 0409106 — отчётность по операционному риску целиком, где события ПНИИИМР составляют одну из категорий. Продукт формирует эту регуляторную отчётность и ведёт базу событий, в которую по пункту 6.10 включаются события регуляторного риска, в том числе события ПНИИИМР.
Отдельно в поставке есть шаблоны расчёта, имя которых отсылает к Положению Банка России от 07.12.2020 № 744-П о порядке расчёта размера операционного риска: это расчёт капитала под операционный риск, в периметр которого попадают и события ПНИИИМР.
Что это даёт ИТ-директору и владельцу процесса
- Один контур учёта вместо двух. События ПНИИИМР и остальные события операционного риска ведутся одной системой с общими классификаторами 716-П. Отдельная база под инсайдерские события не заводится, сверять две базы не придётся.
- Классификаторы приходят заполненными. Типы риска, направления деятельности, виды потерь, формы контроля и справочник бизнес-процессов поставляются в составе продукта — их не нужно собирать с нуля.
- Отчётность по операционному риску уже есть. Выгрузка формы 0409106 в формате регулятора, шаблоны расчёта по 744-П, отчёт по событиям, отчёт о своевременности, отчёты по качеству, интерактивная отчётность.
- Реестр настраивается данными. Состав и порядок колонок задаются представлением, а не сборкой: изменение состава реестра не требует выпуска новой версии.
Куда идти дальше
На чём основана разработка
Продукт предоставляет инструменты, которыми организация ведёт базу событий и исполняет процедуры своих правил внутреннего контроля, и оставляет доказательство их исполнения для ответственного должностного лица. Разработано с учётом требований Положения Банка России № 716-П, статьи 11 Федерального закона № 224-ФЗ и Указания Банка России № 5222-У.
- Статусная модель универсальна: тот же механизм обслуживает и события операционного риска — одна кодовая база и одна модель доступа. Специфика ПНИИИМР задаётся наименованиями реквизитов, классификацией и настройкой прав.
- Карта рисков, ключевые индикаторы и дашборд работают на управление операционным и регуляторным риском в целом, и события ПНИИИМР попадают в них наравне с остальными событиями базы.
Смежные разделы: карта «требование ↔ функция» по статье 11 224-ФЗ; маршрут события и статусная модель; рабочее место ответственного должностного лица; контур комплаенса.