Kockázati önértékelés és forgatókönyv-elemzés

A kockázati önértékelés és a forgatókönyv-elemzés nem tökéletes szinonimái egymásnak, mégis sokszor – nem meglepően - azonos értelemben, hasonló értelmezésben használják ezeket. A terület összefoglalásáról igen jó cikk olvasható a Hitelintézeti Szemlében.

A kockázati önértékelés (self risk assessment - SRA) során az intézmény vezetői, dolgozói feltárják a lehetséges kockázati tényezőket, és megbecsülik ezek várható veszteségét. A forgatókönyv-elemzés lehet ennek egy speciális formája, mely során elsősorban a súlyos események hatásait igyekeznek meghatározni. A forgatókönyv-elemzések során ezek az események meghatározása mellett vizsgálják ezek okát (így megelőzhetőek), illetve lehetséges kimeneteleit (így kezelési lehetőségeket állapítanak meg. A forgatókönyvek elemzése segít feltárni a sebezhető területeket, és megbecsülni a kockázatok várható, illetve maximális értékét. Megjegyzendő, hogy a forgatókönyv-elemzés is egyfajta önértékelésnek tekinthető.

A forgatókönyv elemzés során elterjedt elemzési segítség a Fault Tree Analysis, mely során az egyes tevékenységek, szolgáltatások hátterét tárhatjuk fel: mivel a bevételek elsősorban bizonyos szolgáltatások végrehajtásából származnak, ezért ez a módszer segít az ezeket akadályozó kockázatok, veszélyeztetett elemek azonosításában.

Ezekben az esetekben arra kell törekednünk, hogy mind a kockázatokat, mind a várható (és nem várható) veszteségeket azok állapítsák meg, akik leginkább érintettek. Ebből adódóan a kockázatok azonosítás, illetve azok értékelése nem feltétlenül kerül egyszerre megállapításra (bár lehet workshop-okat szervezni az együttes értelmezés érdekében. Például egy informatikai kockázatot valószínűleg a legjobban az informatikusok tudnak azonosítani, de a kapcsolódó veszteséget már az érintett üzletág(ak) jobban fogja becsülni.

A kockázatok azonosításának egyik lehetősége a szervezet folyamatainak feltérképezése, és az egyes tevékenységekhez kapcsolódó kockázatok azonosítása. Ez a megközelítés lehetővé teszi, hogy a közvetlenül kapcsolódó kockázatok könnyed azonosíthatóak legyenek, a folyamatokat mintegy sorvezetőként használva. Természetesen léteznek olyan működési kockázatok, melyek nem csak egy tevékenységhez, vagy folyamathoz köthetőek.

A további kockázatok azonosításához az vizsgált területek szakértőivel és vezetőivel folytatott strukturált megbeszélések szükségesek.

Az önértékelés, forgatókönyv-elemzés – bármilyen pontos is legyen – becslés eredménye. Éppen ezért szükséges a körültekintő alkalmazás, illetve az eredmények megbízhatóságának érdekében a független kockázatkezelő szakértők mellett akár a belső ellenőrzés bevonása is indokolt lehet.

Az ellenőrzés történhet a meglévő tényadatokkal való összevetés segítségével is, de ezen adatok esetében eleve probléma a teljesség hiánya, illetve az, hogy nem veszik figyelembe az esetleges szervezeti, vagy környezeti változásokat.

A becslések folyamán problémát jelenthet, ha a szakértők nem képesek becsülni: ismerik a kockázatokat, de nem tudják meghatározni azok várható veszteségét. Ilyenkor elfogadott külső adatokra, benchmarkok-ra támaszkodni, persze a szokásos fenntartásokkal.

A kockázati önértékelés és forgatókönyv-elemzés elsősorban abban segít, hogy segít feltárni a szervezetben a kockázatok okait is, a veszteségeloszlások mellett. Sok esetben a veszteségeloszlás alapú megközelítések nem is igazán vezetnek eredményre, mivel sokszor nem áll elégséges múltbeli adat rendelkezésre.

A folyamat alapú kockázatfelmérés arra is lehetőséget ad, hogy a vizsgált kockázatokhoz kapcsolódóan a folyamatokba kontrollpontokat, vagy ellenintézkedéseket illesszünk be.

Működési kockázatok egyedi jellemzői

A működési kockázatok nem válaszhatóak el a bank működésétől, megvalósított stratégiájától, illetve más kockázataitól. A működési kockázatok minden folyamatban, tevékenységben jelen vannak, és ezen folyamatok változtatásával változik a kapcsolódó működési kockázat is. A McKinsey tapasztalatai szerint a működési kockázatok kezelésével jobb eredmény érhető el, mint a folyamatok költséghatékonysági átszervezésével.

A működési kockázatokból származó veszteség a bankok esetében átlagosan 4-5%-a a szervezet nettó árbevételének. És ez a statisztika csak a nyilvánosságra hozott adatokon alapul, mely így alacsonyabb (akár jóval alacsonyabb), mint a valóságos értékek. Arról nem is beszélve, hogy ezek a kockázati események az azonnali veszteségen túl megjelennek a részvényárfolyamban is: a működési kockázatok felmerülése kihatással van egy vállalat reputációjára, jóhírére, és így közvetett módon is okozhat veszteséget.

A McKinsey tanulmánya rámutat, hogy a bankok gyakorlatában elsősorban a működési kockázatok értékelésére (és tőkefedezet képzésére) koncentrálnak, míg a kockázatkezelés, és így a kockázati érték csökkentése kevesebb figyelmet kap. Így a kockázati területek azonosítása, azok szisztematikus feltárása és a kockázati okok megszüntetése csak kevés helyen jelent működő gyakorlatot.

(McKinsey)

Ráadásul a kockázatok azonosítása és kezelése során elsősorban a jól megfogható (hard) tényezőkre koncentrálnak, míg a puhább (soft) tényezőkkel nem foglalkoznak. Való igaz, hogy egy szervezeti kultúrával, egy dolgozói motivációval sokkal nehezebb megküzdeni, sőt hosszabb időbe is telik, mint mondjuk egy szervernek a backup hátterét létrehozni. Ugyanakkor a puha tényezők azonosításával és fejlesztésével nem csak hosszabb távú (tartósabb), de nagyobb mértékű eredmény is érhető el.

Míg a piaci, vagy hitelezési kockázatok viszonylag jól becsülhetőek múltbéli adatokból (akár saját adatbázisból is), addig a működési kockázatok felmerülése sokkal bizonytalanabb, kiszámíthatatlanabb, és a múltbéli események relevanciája sokkal gyengébb.

Tovább nehezíti a helyzetet, hogy a működési kockázatok minden tevékenység (mind az alap, mind a támogató folyamatok) részét képezik, és az intézményeknek minden területtel foglalkoznia kell (persze a priorizálás minden esetben segít).

„Képzeljünk egy bankot, mely dinamikusan növekszik, és évente 300 új termékkel/szolgáltatással jelentkezik. Ez azzal járt együtt, hogy az üzletkötőknek hiányos ismeretei voltak a termékekről, mégis az ő felelősségük volt a szerződési feltételek elbírálása, illetve az ügyfeleknek a tájékoztatás megadása. Ez persze növelte a kockázatokat a szolgáltatások, illetve az ügyfélelégedettség / ügyfélpanaszok tekintetében.”

Ebben az esetben a vezetők nem ismerték fel időben a tudás és tapasztalatok hiányának kockázatát. Ha felismerték volna ezt a kockázatot, akkor szervezhettek volna oktatást, készíthettek volna támogató informatikai rendszereket (melyek megmutatják a feltételek, vagy segítik a szerződéskötést), vagy akár lehetett volna a termékportfóliót is jobban fókuszálni, vagy az üzletkötőket csoportokra bontani. Összességében a kockázat kezelésére, és erős csökkentésére számtalan lehetőség rendelkezésre állna, ha a kockázat ismert lenne.

A működési kockázatok egyik előidézői maguk a dolgozók. Például egy túlhajtott szervezeti működés esetén a dolgozók figyelmetlenebbé válnak, könnyebben vállalják a kockázatokat. De lehet kockázati ok egy olyan szervezeti kultúra is, ahol az előírások, szabályok tisztelete nem érték.

Folyamat alapú kockázatelemzés, avagy: jobb félni, mint megijedni.

A kockázatokat folyamatok mentén érdemes vizsgálni, ennek a megközelítésnek bizonyos elemeit igyekszem most bemutatni, a kapcsolódási pontokkal. Persze egy ilyen bejegyzés biztos, hogy nem lesz teljes, de idővel folytatom.

A kockázatok kezelésének feltétele, hogy a kockázatok azonosíthatóak legyenek. A kockázatok elemzésének egyik lehetősége a szervezet folyamatainak felmérése. Mivel a szervezeti folyamatok több szervezeti részleg bevonásával kerülnek végrehajtásra, ezért a kockázatok gyakran kevésbé láthatóak. A szervezeti egységek közötti funkcionális függőségi viszonyok lehetnek, de a folyamatok feltárásával azonosíthatóvá vállnak mind az érintett szervezeti egységek, mind az emberek, mind pedig a felhasználandó technológiai megoldások. A folyamatok (és tevékenységek) azonosítása lehetővé teszi a forgatókönyvelemzést, azaz annak vizsgálatát, hogy mi romolhat el, hol mehet valami félre (emlékezzünk Murphy aranyszabályára: ami elromolhat, az el is romlik)?

A forgatókönyvelemzés folyamán támaszkodhatunk múltbéli adatokra, illetve a tevékenységek alapján feltárhatunk új kockázatokat is.

Az adatok hiánya nem jelenti feltétlenül a kockázatok hiányát.

A kockázatok felmérése így két nagyobb megközelítés együttes alkalmazását követelheti meg:

• A top-down megközelítés elsősorban a kockázatok múltbéli (külső és belső) adatokon alapuló értékelése szerint halad, mely feltételezi, hogy csak a múltbéli jelenségek ismétlődnek.
• A bottom-up megközelítés felméri a lehetséges kockázatokat (folyamatalapú, és forgatókönyv alapú megközelítések), de ezek azonosítás sokszor szubjektívnek tekinthető, és szakértői becslések által meghatározott. Ugyanakkor ez a módszer nagyobb teret ad a kockázatok kezelésének azáltal, hogy a kockázati okok pontosabban azonosíthatóak.

Sok esetben a folyamatalapú elemzés során feltárt kockázatokra nincsen múltbéli adatunk, ezért gondolhatnánk azt is, hogy a feltárt kockázat szervezetünk esetében nem releváns. Tipikusan a ritkán jelentkező, de nagy hatású kockázatok esetében hajlamosak a szervezetek arra, hogy ne foglalkozzanak a lehetséges kockázatokkal (itt hadd idézzem egy informatikai vezető mondását: „minden rendszerünk folyamatosan jól, és megbízhatóan működik, nincs szükségünk megelőző intézkedésekre a működés fenntartása érdekében”). Ez a hozzáállás akár jelentős veszteségeket is okozhat, ha egy adott szervezet nem elemezte kellőképpen a lehetséges kockázatokat, illetve azok hatását. Ez sokszor elpocsékolt pénznek tűnik (beleöltük az időt és energiát, és mégsem jelentkezett a kockázat), de hogy néhány közhelyszerű dolgot megemlítsek: jobb félni, mint megijedni, illetve ha az ember esernyőt visz magával nem esik az eső.

Eszembe jut a y2k problémakör (2000. év problémája) kapcsán a vállalatok viselkedése. Az 1998-99 évek folyamán több informatikai tanácsadó cég is igen jól megélt abból, hogy a különböző vállalatokat felkészítették a 2000. év eljövetelére, amikor bizonyos régebbi rendszerek várhatóan leálltak volna. Eljött a 2000. év, és igazából nem történt semmi (bát láttam egy B kategóriás katasztrófafilmet a témában, ahol majdnem robbant egy atomerőmű). Nagyon sok vállalatvezető felháborodott, hogy az egész csak a tanácsadói ipar nagy hülyítése volt, hogy mindenki ész nélkül költse a pénzét. A tanácsadók pedig széttárták a kezüket, és büszkén hirdették: „Jó munkát végeztünk”. Ez persze egy olyan kockázati kategória volt, melyre nem állt rendelkezésre benchmark, ugyanakkor ismerni lehetett a kockázat létezését. Így utólag tehát nehéz igazságot tenni, hogy csak a tanácsadói szektor jó marketingmunkájáról, vagy valós kockázatelhárításról volt szó. Hogy megvédjem a tanácsadókat meg kell említeni, hogy különösen a pénzügyi alkalmazások esetében sok nem 2000. év kompatibilis megoldás is volt, melyeket ki kellett szűrni. De hogy hozzak ellenpéldát a másik oldalról is: egy telekommunikációs cég esetében a tanácsadók még a fénymásolókat is felmérték, hogy 2000. év kompatibilisek-e, bár ezen eszközök nem voltak éppen üzletmenet kritikusak (bár az elvárások között szerepelt a teljességi vizsgálat szükségessége).

A folyamat alapú megközelítés lehetővé teszi, hogy ne csak múltbéli kockázatokra keressünk adatokat, hanem olyan kockázatokat is számba vegyünk, melyek még nem fordultak elő szervezetünk esetében. Az ilyen kockázatok felmérésére és kezelésére elsősorban a külső adatbázisokból származó adatokat (benchmark) szokták felhasználni. Külső adatok felhasználását az intézményeknek indokolnia kell, illetve a felhasználáshoz kapcsolódó megfontolásokat évente független szakértőnek kell értékelnie. A felhasználás és megbízhatóság kérdése azért is érdekes lehet, mivel több adatbázis is rendelkezésre áll a különböző kockázatokból adódó veszteségek gyűjtésére, és azok tartalma sokszor eltérést mutat. Így érdemes szűrni az adatokat azok relevanciája alapján, illetve vizsgálni azt, hogy a kockázati kategóriák, vagy üzletágak alatt ugyanazt értjük-e, mint az adatbázis üzemeltetői. Célszerű olyan külső adatokat használni, melyek követik a CRD (Capital Requirements Directive) 7x8-as mátrixot eredményező veszteség és üzletágstruktúráját.

Az eloszlásokra alapuló modellek hasznos kiegészítői a folyamat alapú megközelítésnek, illetve az eloszlásokra alapuló megközelítéseket a feltárt kockázati lehetőséggel lehet kiegészíteni. Így a két megközelítés együttes használata lehet a legjobb (bár egyben a legkomplexebb) megoldás. Ezt a megközelítést a szakirodalom Hybrid Measurement Approach-nak (HMA) nevezi, és természetesen csak a fejlett mérési módszert alkalmazó bankok használhatják.

Előrejelzések

A folyamatalapú megközelítés hozzájárul a kockázatokra vonatkozó indikátorrendszer meghatározásához is. A folyamatokhoz, illetve az ott megjelenő kockázatokhoz kulcs kockázati indikátorokat (Key Risk Indicators – KRI) rendelhetünk, melyek változásával, illetve figyelembevételével becsülhetjük a kockázatokat. Pl: ATM rablások, munkaerő fluktuáció aránya, ügyfélpanaszok száma, szolgáltatások rendelkezésre állása

Ezen indikátorok mintegy füstérzékelőként működnek: jelzik a füstöt, de nem tudjuk, hogy ég az épület, vagy pedig csak odaégett a kenyér a pirítóban? Ennek kiderítése mindig külön vizsgálatot igényel, de „jobb félni, mint megijedni”. Mindenesetre akkor van csak lehetőségünk a kockázatok felmérésére és kezelésére, ha tisztában vagyunk az üzleti folyamatokkal és azok összefüggésrendszerével.

Ebből következően egy adott indikátor többféle kockázatot is előre jelezhet, illetve az indikátorokat nem egyesével, hanem azok együttesének elemzésével szükséges értelmezni.

Megjegyzendő, hogy a kulcs kockázati indikátorok előrejelző képessége (mely véges) nem biztos, hogy minden kockázatot megfelelően lefed. Ne ringassuk magunkat abba a hitbe, hogy az indikátorok kialakításával kezeltük is a kockázatokat: egyrészről a teljesség sok esetben kérdéses, másrészről a működés, és ezzel együtt a kockázatok is változhatnak. Ugyanakkor a kulcs kockázati indikátorok használata nagy mértékben javíthatja a szervezetek kockázatkezelési lehetőségeit.

Működési kockázati kategóriák kialakítása

Ahogy már korábban bemutattam, a működési kockázatokra hét veszteségkategóriát szokás kialakítani, és az egyes kockázatokat a pénzügyi szervezetek esetében nyolc üzletág szerint szokás értelmezni. Így összesen akár 56 csoportot is kialakíthatunk.

Ha nem csak becsülni, hanem kezelni is szándékozunk a kockázatokat, akkor szükséges a kockázatok okainak is a vizsgálata, ami a gyakorlatban azt jelenti, hogy minden egyes osztály esetében szükséges értelmezni a folyamatokban rejlő, emberi, technológiai, illetve a külső környezet kockázatait.

Problémát jelenthet, hogy egy esemény akár több kategóriát (üzleti és veszteség) is érinthet. Ebben az esetben a veszteségek nyilvántartása, illetve az erre épülő számítások már meglehetősen bonyolulttá válnak, ezért elengedhetetlen a kockázatok nyomon követésére az informatikai megoldások használata.

További problémát jelent (ami egy pénzintézet szempontjából inkább örömteli dolog), hogy a kockázati események alacsony száma miatt kevés adat áll rendelkezésre. A 7x8-as mátrix egyes osztályaiban már a néhány tucat esemény is kiemelkedő lehet, de sokszor egy-egy ilyen osztályba egyetlen esemény sem jut. Habár ez azt jelenti, hogy a pénzintézet viszonylag biztonságban van, kockázatkezelés szempontjából nem jelent elégséges alapadatot.A probléma kiküszöbölése érdekében érdemes egyes veszteség, vagy üzleti kategóriákat összevonni, és így nagyobb kockázati osztályokat kialakítani. Megjegyzendő, hogy míg a veszteségkategóriák összevonása torzíthatja a veszteség-eloszlási elvárásainkat (és így a modellépítést), addig az üzletágankénti összevonás esetében az ilyen problémákkal kevésbé kell szembesülni.

A statisztikai eszközök alkalmazása ellenére ugyanakkor a folyamatalapú kockázatértékelést sokkal inkább üzletágakhoz, mintsem veszteségkategóriákhoz lehet kötni. Ebben az esetben a folyamatokhoz feltárásával jobban elemezhetővé válnak a kockázatok okai, így nagyobb lehetőség nyílik azok kezelésére.

Az összevonások során tehát már döntéshelyzetbe kerülünk a tekintetben, hogy a statisztikai alapú, a kockázatértékelésnek nagyobb lehetőségeket nyújtó megközelítés, vagy pedig a folyamat alapú, és így a kockázat kezelésének nagyobb teret adó megközelítés irányába fordítjuk gyakorlatunkat. A szabályozási elvárások miatt a pénzintézetek rövid távon inkább a statisztikai alapú megközelítés irányába indultak el (kockázat értékelése), míg a tényleges kockázatkezelés inkább hosszabb távú gyakorlat lehet.

A kategóriák kialakítása esetében legfontosabb annak szem előtt tartása (és ez nem csak a működési kockázatokra igaz), hogy ne lőjünk ágyúval verébre, azaz a fejlett megközelítéseket csak akkor használjuk, ha biztosítható, hogy egy adott osztályban rendelkezésre fog állni a statisztikai elemzésekhez szükséges adatmennyiség.

Miért szükséges a működési kockázatok felmérése és kezelése?

Az Uniós és a hazai pénzügyi szabályozás célja, hogy a pénzügyi szervezetek minél jobban feltérképezzék és becsüljék mind működési, mind egyéb kockázataikat. Habár lehetőség van háromféle tőkefedezet-képzési megközelítés használatára is, a szabályozás mégis arra motiválja a pénzintézeteket, hogy tárják fel várható kockázataikat, illetve az ezekre vonatkozó adatokat érthető, és átlátható formában mutassák be. Ekkor ezen pénzintézeteket alacsonyabb tőkefedezeti kötelezettség terheli.

De mik is ezek a módszerek?

1) Basic Indicator Approach (BIA): Legegyszerűbb felépítésű intézetek számára, a bank előző három évi átlagos éves bruttó jövedelmének fix százalékaként fejezhető ki.

2) Standardised Approach (STA): Az egyes tevékenységeket nyolc terület alá kell besorolni, majd az egyes területekre kell meghatározni (bruttó jövedelem alapján) a szükséges tőkefedezetet, majd ezeket kell összesíteni.
2/b) Alternative Standardise Approach (ASA): A STA megközelítés különleges válfaja az ASA, melyben bizonyos üzletágak esetében a bruttó jövedelem helyett a hitelezési tömeget veszik alapul.

3) Advanced Measurement Approach (AMA): A pénzintézetek az általuk alkalmazott kockázatkezelési rendszer által meghatározott kockázatokra képeznek fedezetet.

Míg a BIA módszer alkalmazásának nincs különösebb feltétele, addig a szabályozás szerint a pénzintézeteknek azt a megközelítést kell alkalmaznia, mely leginkább megfelel működési és kockázatvállalási profiljának. Elvileg a felügyeleti hatóságok (nálunk a PSZÁF) ezt ellenőrizhető, sőt mintegy benchmark-ként összevetheti más, hasonló pénzintézetek gyakorlatával.

Az előírások lehetővé teszik - bizonyos feltételek teljesülése esetén - a megközelítések kevert alkalmazását is. Azaz egy pénzintézet számára nem kötelező minden területen pl. az AMA megközelítés alkalmazása. Annál is inkább, mivel a BIA, STA (ASA) megközelítések nem veszik figyelembe a tényleges kockázatokat, de az AMA megközelítés alkalmazása nem éri meg minden esetben a befektetést.

A pénzintézetek motivációja erősen az AMA megközelítés irányába mozdult el. Bár nagyobb munkabefektetést jelent a módszer alkalmazása, az megközelítést követve nem csak alacsonyabb a kötelező tőkefedezet, hanem a pénzintézetek saját kockázataikat is jobban megismerhetik és kezelhetik.

Persze a kockázatok becslése, és azok kezelése nem esik ugyanabba a kategóriába. A becslésre, és így a felügyeleti szervek számára is elegendő a LDA (Loss Distribution Approach) alkalmazása, ugyanakkor ez a módszer még nem mutatja be a kockázati területeket, és nem ad lehetőséget a kockázatok kezelésére, csökkentésére. Pedig a kockázatok csökkentésével nem a csak a működési hatékonyság javulna és a várható veszteség csökkenne, de végső soron a kötelető tőkefedezet képzés is csökkenne. Persze a szabályozás eleve csak az AMA megközelítést alkalmazók esetében engedélyezi pl. a működési kockázataikra kötött biztosítások csökkentő hatását is (a teljes tőkekövetelmény 20%-ig vehető figyelembe).

A működési kockázatok kezelésének kétféle megközelítése

Tegnap egy megbeszélésen került előtérbe, hogy milyen megközelítési módjai is vannak a működési kockázatok azonosításának és értékelésének. A működési kockázatok modellezésének célja, hogy a kockázatok megfelelőképpen mérje, illetve hogy a kockázatokra elegendő tőkét határozzon meg.

Top-down megközelítés

A megközelítés keretében a kockázatszámítás alapja a múltbéli veszteségadatok számbavétele, azok aggregálása. Ennek keretében modellezzük az időegységre jutó veszteség értékét, illetve a veszteségeloszlást. Ezt a megközelítést LDA (Loss Distribution Approach) néven ismerik.

Az összegyűjtött és elemzett veszteségadatokat statisztikai módszerekkel lehet vizsgálni (eloszlások azonosítása, paraméterek becslése, illeszkedésvizsgálat).

A megközelítés lehetővé teszi, hogy múltbéli kockázati eseményeket azonosítsunk, és ezek jövőbeli előfordulására felkészüljünk. Problémát az jelent, hogy míg a gyakori, de kis hatású kockázatok felmerülése viszonylag jól becsülhető, addig a ritka, de nagy hatású kockázatok igen rosszul becsülhetőek. Az ilyen események becslésekor már érdemes szimulációkat is futtatni, az általunk kialakított modelleken.

A modellépítés ugyanakkor már átvezet a másik megközelítés alkalmazási területére.

Bottom-up megközelítés

A megközelítés alapja, hogy felmérjük az összes lehetséges kockázatot. A Top-Down megközelítéshez képest az előnye abban áll, hogy a felméréssel nem csak a kockázatok értéket tudhatjuk meg, hanem pontosan (az előző módszerhez képest jóval pontosabban) meghatározhatjuk a kockázatok helyét, azok lehetséges okait, illetve feltárhatjuk azokat a kockázatokat is, melyekkel a szervezetnek még nem kellett szembesülnie.

A kockázati értékelés egyik fontos eleme a forgatókönyv- (szcenárió-) elemzés. Ekkor meghatározzuk a lehetséges kockázatokat, azok összefüggéseit, majd felállítjuk a lehetséges forgatókönyveket: legtöbbször optimista, normál és pesszimista megközelítéseket. A háromféle lehetőség vizsgálatára azért van szükség, mivel a kockázatok értékelése eleve becslésen alapul, és maga is bizonytalanságot (kockázatot hordoz). Így a különböző forgatókönyvek hivatottak az ebbéli bizonytalanságot tükrözni.

Ez véleményem szerint egyfajta bottom-up megközelítésnek számít, és a Basel-II iránymutatók alapján külön kategóriaként kezelt SBA (Scenario Based Approach) megközelítés, melyet legtöbbször leszűkítik a stresszesemények (kockázatok) értékelésére, illetve ezekre épített modellre. Ez a top-down megközelítéssel jelentős átfedést mutat. Véleményem szerint a folyamatmodellezésre épülő statisztikai megközelítés jelentené ugyanakkor az LDA és SBA megközelítés hiányzó kiegészítését.

"While LDA models tend to be built on actual loss data and SBA approaches usually rely on constructed (i.e. scenario generated) data, in practice the two methods usually overlap. Hybrid approaches are commonly found, with actual loss data often enriched by constructed data and vice versa."

(forrás: CEBS)

Természetesen mindkét modellnek megvannak a maga előnyei és hiányosságai, ezért logikusnak tűnne, hogy a két megközelítés kombinációját kelljen megvalósítani. Ugyanakkor pont itt érhető el a különbség: míg a top-down megközelítés viszonylag jól számolható, és becsülhető (bár nem deríti fel az okokat), addig egy pontosabb és körültekintőbb bottom-up megközelítés jelentősebb energiabefektetést és munkát igényelne.

Amennyiben a folyamat alapú kockázatfelméréshez már konkrét modelleket, becsléseket (SBA) tudunk megfogalmazni, úgy kockázatfelmérésünk pontosabb lehet. Hátránya ennek idő és energiaigénye, ráadásul nagyobb energiát inkább csak a nagyobb kockázatokra érdemes fordítani (és érdemes itt is szem előtt tartani a 20/80 szabályt).

Működési kockázatok értelmezése

Első kérdésként azonnal felmerülhet, hogy mit is értünk működési kockázat alatt, illetve milyen más jellegű kockázatokkal kell még foglalkoznunk?

Kockázat minden tevékenységünkhöz kapcsolódhat, sőt kapcsolódik is. A kockázatot általában negatív értelmezési keretben használjuk, azaz valamilyen jövőbeli veszély, veszteség bekövetkezésére használjuk. Általánosabb értelemben a kockázat nem más, mint a jövő kiszámíthatatlansága, bizonytalansága (és ebben az értelmezésben pozitív kockázatról, azaz a nyereség lehetőségéről is beszélhetünk).

A működési kockázatok értelmezése elsősorban a pénzügyi szektorokban élvez kiemelt figyelmet a Basel II szempontrendszer alkalmazása miatt. A Bázeli Bizottság értelmezésében a „működési kockázatok az emberek, belső folyamatok, a rendszerek nem megfelelő, vagy hibás működése, illetve külső tényező által előidézett veszteségek kockázata”.

A lehatárolás miatt el kell választanunk a banki hitelezési gyakorlathoz (hitelezési kockázat), illetve a piac megváltozásához (piaci kockázat) kapcsolódó, a Bázeli Bizottság által is kiemelt kockázatokat. Persze emellett minden más terület kockázatát is megemlíthetnénk.

A pénzintézetek működési kockázataihoz kapcsolódóan hét veszteségi kategóriát lehet megemlíteni, melyekért együtt, vagy külön-külön felelőssé tehető a négy kockázati terület:

1. Belső csalás (emberek, rendszerek): A belső előírások megsértése, ahol legalább az egyik érintett fél a szervezet dolgozója. Beletartozik az eljárási szabályoktól való eltérés, jogkör bitorlás, belső lopás vagy csalás. Ilyenek lehetnek a felhatalmazás nélküli döntések vagy a bennfentes kereskedelem.

Belső csalásra talán a legaktuálisabb példa a Société Générale-nál elkövetett csalás.

2. Külső csalás (külső tényezők, rendszerek, folyamatok): Jogszabályok és törvények kijátszásával, külső fél által okozott veszteség. Beletartozik a számítógépes rendszerek kijátszása, a szervezeti folyamatok kijátszása, illetve a szervezet becsapása (pl. okirat hamisítás). Pl. Lopás, rablás, számítógépfeltörés, illetéktelen hozzáférés megszerzése, bankkártya csalások. "Külső tényezők

Ehhez a területhez kapcsolódik a közelmúlt egy híre, amikor egy volt ügyvéd hamis bírósági ítéletekkel nyújtott be inkasszót gazdasági társaságok számláival szemben, és cégenként 8-9 millió forintot próbált megszerezni. Mivel korábban már voltak ilyen esetek, ezért a pénzintézetek nem fizették ki automatikusan a kívánt összeget, hanem ellenőrizték az ítéletek valóságtartalmát, és így az elkövető lebukott.

3. Dolgozói tevékenység és munkahelyi biztonság (Folyamatok, emberek): A munkakörülmények, illetve a foglalkoztatás szabályainak megsértése, munkahelyi balesetek, sérülések, nemi, faji vagy bármilyen jellegű diszkrimináció, az egyenlő bánásmód problémái, szexuális zaklatás. Pl. Munkahelyi sérelemért kompenzáció fizetése, büntetés az előírások megsértéséért.

A közelmúltban Nagy Britanniában a City bankot perelte be egy volt dolgozója, akit érvelése szerint a szülési szabadsága után kilépésre kényszerítettek. Az nemi diszkrimációs ügy tétje 1-2 millió font közötti kártérítési összeg. Az eset szerint Ms. Tofeji 2004 végén jelentette be, hogy szülni fog, és innentől kezdve a vezetőség nem bánt vele már megfelelően, sőt ennek tulajdonítja a 2004. évi jutalmának elmaradását is. A gyermek születése után (akit egyedül nevel) kénytelen volt meghosszabbítani szülési szabadságát, míg végül a hét négy napjára talált gondozási lehetőséget gyermekének. Ekkor szerette volna, hogy banki munkaidejét 4 napot tölthetné el. A bank férfi vezetői ezt nem támogatták, az ötnapos munkahét mellett érveltek, de nem hivatalosan kilépésre biztatták. (Financial Times and Guardian, April 17, 2007)

4. Ügyfelek, termékek és üzleti tevékenység (folyamatok): Az ügyfelek felé vállalt kötelezettségek nem szándékos (gondatlan) megszegése. Sokszor fogyasztóvédelmi vonatkozásai is vannak. Pl. Hitelkártya limit túllépés véletlen engedélyezése, vállalt határidőből való kicsúszás, ügyfélnyilvántartás hiányosságai.

5. Fizikai eszközök sérülései (rendszerek): Eszközök, elsősorban az informatika infrastruktúra sérülése és működésképtelensége. Természeti, vagy ember okozta katasztrófahelyzetek. Pl. szerverterem beázása áradás miatt, terrorcselekmény hatásai, építési tevékenység miatti sérülés.

Sajnos napjainkban mind a természeti katasztrófák, mind a terrorista támadások élő veszélyt jelentenek, és nagyon sok cég fel is készül ilyen helyzetekre. A 2001-es World Trade Center elleni támadás az emberáldozatok mellett az informatikai infrastruktúrát, sőt cégek adatait is megsemmisítette. Sok esetben ugyanakkor a biztonsági mentéseknek köszönhetően a működés néhány nap (vagy például a Deutsche Bank esetében 2 óra) elteltével már zavartalanul folyt.

Miami-ban inkább a hurrikánok jelentenek veszélyt. A Banco Santander Central Hispano egy a világ tíz legnagyobb bankja közül. Miami központja nem csak turistalátványosság, hanem egyben a hurrikánok által veszélyeztetett területek egyik kiemelt helye. 2004-ben például a sorozatos hurrikánok 4-szer is leállásra kényszerítették a Miami-ban található adatközpontjukat. Ugyanakkor a veszélyhelyzetre felkészülve háttér szolgáltató központot építettek ki New-York-ban, így a hurrikánveszély ellenére is tudtak foglalkozni ügyfeleikkel.

6. Rendszerek és üzleti tevékenységek megszakadása (Rendszerek): Rendszer meghibásodásból származó üzletmenet megszakadás, alapvetően az informatikai rendszerek hibája: hardver, szoftver, telekommunikáció. Pl. Számlavezető szerverek meghibásodása, ATM vezérlő adatbázis leállása.

Sajnos a hírekben is gyakran hallható, ha egy bank ATM rendszere nem működik, melyet általában valamilyen központi szerver, alkalmazás vagy adatbázis hiba okoz. Nemrégiben a Barclays Bank volt kénytelen szembesülni ilyen problémával, mely fél Nagy Britanniát megbénította. A hírek szerint a problémát egy adatbázis szoftver frissítése okozta, bár a bank az esetet áramszünetre fogta. Az mindenesetre tény, hogy nem gondoskodtak megfelelően a kieső informatikai szolgáltatás kiváltásáról.

7. Folyamatok irányítása, biztosítása és végrehajtása (Folyamatok, rendszerek, emberek): Nyilvántartási tévedések, végrehajtási problémák. Pl. Hibás adatbevitel, könyvelés, külső adatszolgáltatás elmaradása, beszállítói kapcsolatok.

Természetesen egyes esetekben ezen veszteségi kategóriák áttételesen is jelentkezhetnek, több kockázati terület együttes fellépésével. Így akár a külső és a belső tényezők egyszerre jelentkezése nagyobb hatású veszteséget is előidézhet.

A Barings Bank esetében a Nick Leeson által végrehajtott belső csalás, illetve a külső piaci mozgások együttesen eredményezték a veszteséget, de a közelmúlt Société Générale ügyében is a csalás felderítésekor meghozott lépések nem voltak éppen a legjobban időzítve, így növelték a veszteséget.

A Société Générale ügy

A ritka, de nagy hatású operatív kockázatok közé sorolható az a fajta veszély, melyet egyes bankok belső alkalmazottai követhetnek el. Különösen érdekes esetnek tekinthető a közelmúlt Société Générale bank esete (ld. HVG 2008. január 30).

A bank tisztában volt az operatív kockázatok fontosságával. De ugyanennyire tisztában volt vele Jerome Kerviel is, aki korábban épp a kockázatkezelési osztályon dolgozott. Így ismerhette az ellenőrzési szabályokat, illette ismerte azokat a megoldásokat is, melyekkel ezek a szabályok kijátszhatóak.

Kerviel 2005 óta kötött fiktív határidős ügyleteket, megtévesztve a belső ellenőrzési rendszert, és ezt be is vallotta. Ráadásul még azt is állította, hogy nem ő az egyetlen alkalmazott, aki a saját szakállára (de nem feltétlenül a saját hasznára) dolgozik. Kerviel hamis kliensszámlákat felhasználva egymásra épülő határidő üzleteket kötött, az általa felépített pozícióit elrejtette, és úgy tűnik, hogy igazából maga a bank sem akarta nagyon megtalálni. A bank automatikus rendszerei többször is kiadták a riasztást, és ekkor Kerviel felettesei számon is kérték a történéseket (főleg, mivel túllépte az engedélyezett összegeket), de ilyenkor mindig sikerült hamis dokumentumokkal igazlnia, hogy ügyletei nem jelentenek kockázatot a bank számára (ráadásul: "...az Eurex derivatív tőzsde már novemberben jelezte a bank vezetésének, hogy a kereskedő kockázatos ügyletekbe bonyolódott, de Kerviel kimagyarázta magát" - írja a Napi Gazdaság). Ebbe beletartozott az a hamis portfólió is, mely elvileg fedezte a kockázatosabb ügyleteket.Az ügyészség hamisításért, hamisított okiratokkal való visszaélésért és informatikai adatok automatizált rendszerébe történő behatolásért indított eljárást.

Mik az eset tanulságai?

• Az emberekhez köthető kockázatok nem mindig egyéni haszonszerzés céljából történnek. Kerviel annak ellenére nem a saját zsebére dolgozott, hogy fizetése ebben a szakmai körben nem volt kiemelkedő, egyszerűen szerette volna bebizonyítani, hogy kivételes képességű bróker.
• Az eset rávilágít arra, hogy hiába van tisztában egy bank az operatív kockázatokkal, nem biztos, hogy mindent megtesz ezek kivédése érdekében. Sőt, az intézmények sok esetben tudatosan vállalnak bizonyos fokú kockázatot, mivel félnek, hogy a túlzott ellenőrzés és kontroll megöli a kezdeményező kedvet. Lehet, hogy itt is erről volt szó?
• Hiába használ egy intézmény informatikai rendszert a kockázatok felderítésére, ha ezeket hagyományos eszközökkel ki lehet játszani. Hogy fordulhat elő, hogy hamis okiratok fedezik az ügyleteket? Bár elvileg minden tranzakció az informatikai rendszereket keresztül folyik (és mindennek nyoma van), úgy tűnik még mindig nem elég erősek a szabályok.

Megjegyzés: nem tudhatjuk, hogy mennyi kárt okozott Jerome Kerviel, de egyes hírek szerint a 4,9 milliárd eurós veszteség egy része nem is az ő nevéhez fűződik, csak éppen kapóra jött, hogy valakire rá lehet kenni a többi problémát is. Mert ugyan melyik pénzintézet szokta megszellőztetni az ilyen jellegű problémáit? A lebukott alkalmazottaktól sokszor titokban vesznek búcsút, anélkül, hogy a veszteségek nyilvánosságot kapnának. Az ilyen kirívó eseteket évekig példaként lehet felhozni a kockázatkezelési feladatok hiányosságaira és fontosságára.

Pénzintézetek operatív kockázatai

A pénzintézetek számára mérvadó Basel II ajánlásrendszer 2004-es publikálása, annak 2006-2007 folyamán történő európai elfogadása óta a pénzintézetek egyre nagyobb figyelmet fordítanak a tevékenységükhöz kapcsolódó kockázatok azonosítására, mérésére és kezelésére. Persze nem csak a szabályozási környezet kényszeríti ki ezen elvek alkalmazását, hanem a pénzügyi piacok globalizációja, illetve azon csalások, melyek a pénzintézeteknek jelentős károkat okoznak. Gondoljunk csak a közelmúlt Société Générale csalására, amikor is 4,9 milliárd euró veszett el egy alkalmazott szabálytalan tranzakciói miatt.

A Basel II direktíva a kockázatkezelés és a pénzintézeti tőkemegfelelés kérdéskörét igyekszik az iparági legjobb gyakorlatok felhasználásával segíteni. A kockázatkezelési portfolióban meg kell különböztetnünk a működési, hitelezési és üzleti kockázatokat. Míg a hitelezési kockázatok kezelésére vonatkozólag jelentős tapasztalat áll rendelkezésre, addig a Basel II megközelítésében is újdonság, hogy a működési (operatív) kockázatok külön kerülnek kezelésre.

Az operatív kockázatok között a hagyományos PPT modell (people, process, technology) elemei mellett szerepet kap a külső környezet fenyegetése is.

Bár a Basel II megközelítésében a működési kockázat elválik a hitelezési és piaci kockázattól, a működési kockázatok mégis minden pénzintézeti tevékenység (így pl. a hitelezési folyamatok) részét képezhetik. Miközben a működési kockázatok a végrehajtási szintet vizsgálják, addig a más kockázatok a piaci, vagy ügyfélkörhöz kapcsolódó bizonytalanságokkal számolnak. Így a működési kockázatok elemzése és kezelése jelentős mértékben kiegészíti más kockázatok elemzését.

A működési kockázatok kezelését érdemes folyamatmodell mentén végezni: a pénzintézeti folyamatok feltérképezésével nem csak a sebezhető pontok (informatikai rendszerek, szabályozási hiányosságok) azonosíthatóak, hanem a folyamat maga is racionalizálható, ellenőrzési pontok beiktatásával biztonságosabbá, ugyanakkor hatékonyabbá is tehető. A folyamatrendszer kezelésének automatizálásával, illetve az egyes tevékenységekhez kapcsolódó adatok elemzésével a kockázatok (és hibák) könnyen azonosíthatóvá, így kezelhetővé válnak.

Megjegyzendő, hogy egy működési kockázatokat kezelő rendszer kiépítése korán sem egyszerű, és koránt sem gyors folyamat. A pénzintézetek legtöbb esetben tanácsadó cégek segítségét veszik igénybe, hogy kiépítsék ezt a rendszert. Ez elég racionális döntés, mivel a szakértőket elég bérbevenniük, mintsem állományba.

Az IT Business 2008. 7. számában jelent meg egy cikk, mely a tanácsadók szükségességéről értekezik. Ebben Szalkai Gergely a Credigen IT vezetőjének véleménye szerint "nagyobb, profilt vagy a működést technológiai szempontból is érintő változás esetén kell tanácsadóhoz fordulni segítségért". A pénzintézetek esetében arról van szó, hogy olyan új kockázati terület kezelését kell megoldani, mellyel eddig nem foglalkoztak, sőt nem is igazán kívántak foglalkozni.

Ugyanakkor tanácsadók alkalmazása kihívást is jelent: egy pénzintézet érdeke, hogy életképes kilépési (exit) stratégiával rendelkezzen egy ilyen projekt esetében is: a projekt folyamán a pénzintézetben ki kell jelölni a kockázatmenedzsment felelőseit, és az ő aktív bevonásukkal kell végrehajtani a projektet. A projektfolyamat során a tanácsadók által alkalmazott módszereket, megközelítéseket át kell venniük, majd a projekt lezárulta után alkalmazni.

A már említett IT Business cikkben Futó Iván, a Budapesti Corvinus Egyetem professzora úgy vélekedik, hogy "a projekt során erőteljesen törekedni kellene arra, hogy a belső munkatársak mindazt a tudást megszerezzék, amelylyel a működtetést és az esetleges későbbi módosításokat már külső támogatás nélkül is el tudják végezni. Amennyiben erre nincs mód, akkor azonban már áttévedünk az outsourcing területére."