Письмо от 01.01.01 г. N 94-Т (стр. 36 )

3.16.3. ИФР должна оценивать и понимать риски, которым она подвергается со стороны банков-депозитариев, учитывая при этом все аспекты своих отношений с каждым банком-депозитарием. В частности, финансовая организация может являться банком-депозитарием ИФР и одновременно ее расчетным банком и источником ликвидности. Кроме того, банк-депозитарий может являться участником ИФР и оказывать клиринговые услуги другим участникам. ИФР должна тщательно учитывать все аспекты отношений с конкретным банком-депозитарием, чтобы убедиться, что общий риск, которому она подвергается со стороны отдельных депозитариев, не превышает приемлемые лимиты концентрации. В тех случаях, когда это целесообразно, ИФР может пользоваться услугами нескольких депозитариев для хранения своих активов, чтобы диверсифицировать риск, которому ее подвергает единственный депозитарий. Например, ЦКА может передать одному депозитарию активы в форме гарантийных депозитов, а другому - взносы по соглашениям о предварительном финансировании невыполнения обязательств. Однако при этом ЦКА должен найти оптимальное соотношение между преимуществами диверсификации риска и преимуществами объединения ресурсов у одного депозитария или небольшого количества депозитариев. В любом случае ИФР должна постоянно осуществлять мониторинг концентраций риска и финансового положения своих банков-депозитариев.

Инвестиционная стратегия

3.16.4. Стратегия инвестирования ИФР своих активов и активов, предоставленных ей участниками, должна соответствовать общей стратегии управления рисками и быть полностью известна участникам. Принимая инвестиционные решения, ИФР не должна допускать, чтобы стремление к получению прибыли снижало уровень ее финансовой надежности и ухудшало качество управления риском ликвидности. Инвестиции должны быть обеспечены требованиями к высококачественным должникам или являться такими требованиями, чтобы уменьшить кредитный риск, которому подвергается ИФР. Кроме того, поскольку ИФР может понадобиться быстрая реализация стоимости своих инвестиций, инвестиции должны предоставлять возможность быстрой ликвидации при незначительных отрицательных последствиях для их цен или без таких последствий. Например, ИФР может инвестировать в суточные обратные соглашения РЕПО, обеспеченные высоколиквидными ценными бумагами с низким кредитным риском. ИФР должна тщательно оценивать свой общий кредитный риск, которому она подвергается со стороны отдельных должников, учитывая при этом другие аспекты отношений с должником, создающие дополнительные риски, в частности, в том случае, когда должник одновременно является участником или аффилированной компанией участника ИФР. Кроме того, ИФР не должна инвестировать активы участника в собственные ценные бумаги участника или ценные бумаги его аффилированных компаний. Если собственные ресурсы ИФР могут использоваться для покрытия убытков и давления на ликвидность, вызванных невыполнением обязательств участником, то инвестирование этих ресурсов не должно препятствовать их своевременному использованию ИФР в случае необходимости.

Принцип 17: Операционный риск

ИФР должна выявлять возможные источники операционного риска, как внутренние, так и внешние, и ослаблять их влияние за счет использования надлежащих систем, принципов, процедур и средств контроля. Системы должны обеспечивать высокий уровень безопасности и операционной надежности и иметь адекватную пропускную способность, которую можно наращивать. Управление непрерывностью деятельности должно быть направлено на своевременное восстановление операций и выполнение обязанностей ИФР, в том числе в случае широкомасштабного или крупного нарушения в работе.

Ключевые соображения

1. ИФР должна создать надежную структуру управления операционным риском, используя надлежащие системы, принципы, процедуры и средства контроля для выявления, мониторинга и управления операционными рисками.

2. Совет директоров ИФР должен точно определять роли и обязанности по управлению операционным риском и утверждать структуру управления операционным риском ИФР. Системы, операционные принципы, процедуры и средства контроля должны подвергаться проверке, аудиту и тестированию как периодически, так и после существенных изменений.

3. ИФР должна иметь точно определенные цели в области операционной надежности и применять утвержденную политику, предназначенную для достижения этих целей.

4. ИФР должна обеспечивать наличие достаточной пропускной способности и возможности ее наращивания для обработки возросших объемов операций в периоды стресса и достижения целевого уровня обслуживания.

5. ИФР должна выработать комплексные принципы физической и информационной безопасности, учитывающие ее уязвимые стороны и угрозы.

6. ИФР должна иметь план обеспечения непрерывности деятельности, учитывающий события, которые создают значительный риск нарушения операций, в том числе события, которые могли бы вызвать широкомасштабные или значительные нарушения. Этот план должен предусматривать использование резервного объекта и обеспечивать возобновление работы критических компьютерных систем в течение двух часов после событий, вызвавших нарушение в работе. План должен предоставлять ИФР возможность завершения расчетов к концу дня, когда возникло нарушение, даже в экстремальной ситуации. ИФР должна регулярно проводить тестирование своего плана.

7. ИФР должна выявлять, осуществлять мониторинг и управление рисками основных участников, других ИФР, а также провайдеров услуг и коммунальных служб, которым они могут подвергать ее операции. Кроме того, ИФР должна выявлять, осуществлять мониторинг и управление рисками своих операций, которым могут подвергаться другие ИФР.

Пояснительная записка

3.17.1. Операционным риском является риск того, что недостатки информационных систем или внутренних процессов, человеческие ошибки или нарушения, вызванные внешними событиями, приведут к сокращению, ухудшению или нарушению услуг, оказываемых ИФР. Операционные сбои могут повредить репутации ИФР или восприятию ее надежности, привести к юридическим последствиям и финансовым потерям ИФР, ее участников и других сторон. В определенных случаях операционные сбои также могут являться источником системного риска. ИФР должна создавать надежную структуру управления операционными рисками, используя соответствующие системы, принципы, процедуры и средства контроля. В рамках структуры управления операционным риском ИФР должна выявлять вероятные источники возникновения операционного риска; создавать надлежащие системы; вырабатывать соответствующие принципы, процедуры и средства контроля; определять целевые показатели в области операционной надежности; а также разрабатывать план обеспечения непрерывности деятельности. При создании структуры управления операционным риском ИФР должна применять холистический (целостный) подход.

Выявление источников операционного риска

3.17.2. ИФР должна активно выявлять, осуществлять мониторинг и управление вероятными источниками операционного риска и разрабатывать строгие принципы и процедуры их контроля. Операционный риск может возникать как из внутренних, так и из внешних источников. Внутренние источники операционного риска включают неудовлетворительность выявления или понимания рисков, а также средств контроля и процедур, необходимых для их ограничения или управления ими, неадекватный контроль за системами и процессами, недостаточно тщательный подбор персонала, а в более общем плане - не отвечающее требованиям управление. Внешние источники операционного риска включают сбои в работе критических провайдеров услуг или коммунальных компаний или события, оказывающие влияние на обширный регион, такие как природные катастрофы, террористические акты и пандемия. Наличие как внутренних, так и внешних источников операционного риска может вызывать различные операционные сбои, в том числе (a) ошибки или задержки при обработке сообщений, (b) нарушения в работе средств связи, (c) ухудшение качества или прерывание оказания услуг, (d) мошенничество со стороны персонала и (e) раскрытие конфиденциальной информации организациям, не имеющим права на ее получение. Если ИФР оказывает услуги в нескольких часовых поясах, то она может подвергаться повышенным операционным рискам вследствие большей продолжительности рабочего времени и сокращения времени на техническое обслуживание. ИФР должна выявлять все потенциальные отдельные критические точки в ее деятельности. <140> Кроме того, ИФР должна постоянно оценивать изменение операционных рисков, которым она подвергается (например, проводить проверки на наличие пандемии или кибератак), чтобы иметь возможность анализировать свою уязвимость и использовать надлежащие механизмы защиты.

--------------------------------

<140> Отдельной критической точкой является точка в системе, относящаяся к услуге, виду деятельности или процессу, нарушения в работе которой приводят к нарушению работы системы в целом.

3.17.3. Как правило, ТР служит единым источником информации для определенного рынка и может выступать в качестве централизованного реестра некоторых сделок. Поэтому нарушение в работе ТР может вызывать значительную дестабилизацию. Основным риском ТР является операционный риск. Особую озабоченность вызывают недостатки в управлении непрерывностью деятельности, целостностью данных и в защите данных. Неадекватное раскрытие или неправильное предоставление данных ТР компетентным органам или населению может помешать достижению главной цели ТР. Доступ к актуальным и надежным данным обеспечивает более точное представление о рынке деривативов и расширяет возможности компетентных органов по надзору за рынками, которые обслуживает ТР, и их участниками. Данные, накопленные ТР, также могут использоваться в качестве исходных данных участниками ТР, другими инфраструктурами и источниками услуг. Поэтому критическое значение имеет постоянная доступность данных, хранящихся в ТР. <141> Кроме того, ТР должен точно оценивать дополнительные операционные риски, обусловленные его связями, чтобы обеспечить возможность наращивания и надежность компьютеров и сопутствующих источников. Если ТР предоставляет доступ к ИФР другого типа, например ЦКА, связанные между собой ИФР могут подвергаться дополнительным рискам в отсутствие правильного интерфейса. ИФР, устанавливающие связь с ТР, должны обеспечивать, чтобы механизмы работы систем и связи, установленные связанными между собой организациями, были надежными и гарантировали, что использование связи не приведет к возникновению значительных рисков надежности и безопасности.