Реестр событий операционного риска: как автоматизировать ведение

Карточка события должна содержать достаточно сведений, чтобы его можно было классифицировать, оценить и связать с соответствующим процессом. В зависимости от методологии банка в ней могут фиксироваться:

дата и обстоятельства возникновения;

• подразделение и бизнес-процесс;
• источник и категория риска;
• фактические или потенциальные последствия;
• прямые и косвенные потери, а также возмещения;
• связанные события;
• ответственные сотрудники;
• меры реагирования;
• статус и этап обработки.

Единый порядок заполнения помогает сопоставлять события между подразделениями и выявлять повторяющиеся причины или проблемные процессы.

 

Реестр становится рабочим инструментом, когда за записью следует управляемый процесс. Событие регистрируется и классифицируется, передаётся на согласование, при необходимости направляется на оценку потерь, после чего ответственным подразделениям назначаются меры реагирования.

В Финист-ОперРиск события можно обрабатывать по этапам и контролировать в общей базе, в том числе пока они находятся на утверждении или оценке. Риск-менеджер получает обзор статусов, а подразделения — задачи, связанные с конкретным событием.

Так карточка события отражает не только факт происшествия, но и действия банка по его рассмотрению.

Финансовые последствия важно связать с событием, к которому они относятся. Если сведения о потерях поступают из учётной системы отдельно, банк может сначала зарегистрировать финансовый факт, а затем определить его связь с конкретным событием и обстоятельствами.

Финист-ОперРиск позволяет учитывать фактические потери и возмещения, связывать их с событиями, а также работать с нераспределёнными суммами. Для отражения прямых потерь и анализа проводок решение может интегрироваться с учётными системами банка. Состав интеграции определяется ИТ-ландшафтом и требованиями проекта.

Несколько зарегистрированных случаев могут иметь общую причину. Например, один технологический сбой может привести к разным последствиям в нескольких процессах или подразделениях.

Если система хранит связи между событиями, риск-менеджер может анализировать не только отдельные записи, но и цепочки инцидентов. Это помогает увидеть повторяемость, оценить масштаб последствий и проверить, устраняют ли принятые меры первопричину.

Часть информации об инцидентах уже возникает в системах банка. Например, ИТ-инциденты могут фиксироваться в Service Desk, а события информационной безопасности — в профильных системах мониторинга.

При наличии подходящих интерфейсов эти сведения можно включать в общий контур управления операционными рисками. Это сокращает повторный ввод и помогает связывать данные из разных источников. Возможность и порядок подключения Service Desk, SIEM, IDM и других систем определяются архитектурой банка и составом проекта.

По мере пополнения реестра банк получает данные для анализа:

• динамики и структуры событий;
• источников риска и затронутых процессов;
• размера потерь и возмещений;
• повторяющихся случаев и общих причин;
• выполнения и результативности мер реагирования.

Эти сведения помогают выявлять системные проблемы и оценивать, достаточно ли действующих контрольных процедур. Реестр событий также может использоваться вместе с перечнем операционных рисков: сведения о реализовавшихся случаях дополняют оценку потенциальных угроз.

Финист-ОперРиск поддерживает работу как с базой событий, так и с перечнем операционных рисков. Подробнее о возможностях системы — на странице автоматизации управления операционными рисками.

Переход на автоматизированную систему не обязательно требует начинать накопление истории заново. При внедрении Финист-ОперРиск можно импортировать существующую базу событий, перечень операционных рисков и данные ключевых справочников.

После переноса исторические сведения продолжают использоваться в общей системе — для обработки событий и анализа их динамики.

Автоматизация помогает выстроить единый процесс: регистрация события → классификация → согласование → оценка последствий → учёт потерь и возмещений → меры реагирования → анализ. Чтобы обсудить состав данных и интеграций, свяжитесь с Финист Софт.