Что такое регуляторный риск
Коротко
Регуляторный риск — риск убытков из-за несоблюдения законов, требований регулятора, стандартов и внутренних документов компании, а также из-за санкций и иных мер воздействия надзорных органов. Убыток здесь не только штраф: это остановка операций, отзыв лицензии, запрет на отдельные сделки, потеря репутации и времени руководителей.
Из чего складывается регуляторный риск
В определении, которым пользуются банки и управляющие компании, три источника нарушения. Первый — внешние правила: законы и нормативные акты регулятора. Второй — стандарты саморегулируемых организаций, если они для компании обязательны. Третий — собственные внутренние документы: политики, регламенты, порядки согласования. Нарушение любого из трёх даёт один и тот же результат — меры воздействия со стороны надзора.
Санкции надзорного органа — только видимая часть. К убыткам относят и то, что компания не смогла делать: приостановка операций, запрет на отдельные виды сделок, аннулирование лицензии. Плюс стоимость исправления: переделка договоров, доначисления, разбор с клиентами и регулятором.
Поэтому регуляторный риск считают не «вероятностью штрафа», а суммой возможного ущерба с учётом вероятности события. Оценка опирается на количество комплаенс-инцидентов за период, величину возможного ущерба от каждого и вероятность его наступления.
Что такое регуляторный комплаенс-риск
Регуляторный комплаенс-риск — та же категория, названная со стороны функции, которая ею занимается. Комплаенс — это соблюдение требований: законов, актов регулятора, стандартов и внутренних правил. Когда говорят «комплаенс-риск», имеют в виду риск убытков именно из-за несоблюдения этих требований, а не из-за рыночных колебаний или ошибок в стратегии.
Слово «комплаенс» добавляет к определению акцент на процессе: инциденты фиксируют, оценивают, разбирают причины и устраняют. Поэтому в отчётах банков рядом с определением риска всегда стоит перечень событий, которые считают комплаенс-инцидентом: несоответствие внутренних документов закону, нарушение работником требований регулятора, коррупционное правонарушение, конфликт интересов, претензии и жалобы клиентов, претензии контролирующих органов.
Для собственника разницы в сути нет: и «регуляторный риск», и «регуляторный комплаенс-риск» отвечают на один вопрос — сколько бизнес может потерять из-за несоблюдения правил и что с этим делать.
Какие события считают комплаенс-инцидентом
- Внутренние документы расходятся с законом или актами регулятора: регламент обещает одно, закон требует другого.
- Работник нарушил требования закона, актов регулятора или внутренних правил компании.
- Коррупционное правонарушение сотрудника.
- Конфликт интересов в деятельности компании или её работников.
- Вовлечение компании или сотрудников в противоправные действия, включая легализацию доходов.
- Жалобы и претензии клиентов, нарушение их прав.
- Претензии контролирующих органов.
- Запуск нового продукта или услуги без проверки, как их регулирует закон.
- Заключение договоров на аутсорсинг без оценки, чем это грозит с точки зрения требований регулятора.
Как оценивают регуляторный риск
Оценку строят на трёх величинах: число комплаенс-инцидентов за период, возможный ущерб от каждого и вероятность наступления события. Из них получается уровень риска, с которым можно работать: сравнивать подразделения, продукты и периоды между собой.
Второй инструмент — индикаторы уровня риска с пограничными значениями. Индикатор — измеримый признак, который заранее показывает, что риск растёт: доля жалоб клиентов, число претензий регулятора, доля внутренних документов, не приведённых в соответствие с законом. Когда индикатор выходит за пограничное значение, это сигнал разбираться, не дожидаясь санкций.
Индикаторы и лимиты компания устанавливает сама под свою деятельность. У банка набор один, у производственной компании другой, но логика одна: заранее определить, по каким признакам видно приближение проблемы.
Чем регуляторный риск отличается от других рисков
| Регуляторный риск | Рыночный риск | Операционный риск | |
|---|---|---|---|
| Источник убытка | Несоблюдение законов, актов регулятора, стандартов и внутренних документов | Изменение цен, спроса, курса | Сбои процессов, ошибки людей, отказы систем |
| Кто предъявляет претензию | Надзорный орган, клиент, контрагент | Рынок | Клиент, контрагент, внутренний контроль |
| Типичное последствие | Штраф, предписание, приостановка операций, отзыв лицензии | Падение выручки и маржи | Потери от сбоя, доплаты, суды |
| Что снижает риск | Соблюдение требований, внутренний контроль, обучение | Диверсификация, цены, запасы | Регламенты, резервирование, страхование |
Как снижают регуляторный риск
Главный метод — соблюдение требований: законов, актов регулятора, стандартов и собственных внутренних документов. Всё остальное — надстройка над этим. Если регламенты не соответствуют закону, никакой контроль не спасёт: компания нарушает уже тем, что работает по своим правилам.
Работа идёт по циклу. Риск выявляют — проверяют, где требования могут быть нарушены. События учитывают и оценивают: что случилось, какова вероятность повторения и чем это грозит. Дальше мониторинг: следят за индикаторами и за тем, помогают ли принятые меры. По итогам дают рекомендации руководителям подразделений и органам управления, а выполнение мер контролируют.
Отдельно проверяют новое: продукты, услуги и методы их продвижения до запуска смотрят на предмет регуляторного риска. Новый продукт — частая причина инцидента: его запустили быстрее, чем разобрались, какие требования к нему применяются.
Сотрудников информируют и обучают: человек, который не знает требований, нарушает их без злого умысла. Внутренние документы по управлению риском пишут и обновляют вместе с изменением правил.
Для собственника это переводится в простой набор: назначить ответственного, вести журнал инцидентов и претензий, держать регламенты в соответствии с законом, проверять новое до запуска, обучать людей.
Частые вопросы
Регуляторный риск и комплаенс-риск — это одно и то же?
По сути да. Оба термина описывают риск убытков из-за несоблюдения законов, актов регулятора, стандартов и внутренних документов. «Комплаенс-риск» подчёркивает сторону процесса — соблюдение требований и работу с инцидентами.
Регуляторный риск бывает только у банков?
Нет. Определение и практика управления пришли из банковского сектора, где требования регулятора самые плотные, но сам риск есть у любой компании, чью деятельность регулирует закон или надзорный орган. Меняется набор требований, а не природа риска.
Штраф — это и есть регуляторный риск?
Штраф — одно из последствий. К убыткам относят и приостановку операций, запрет на отдельные сделки, аннулирование лицензии, стоимость исправления документов и потерю клиентов. Поэтому риск оценивают по величине возможного ущерба, а не по размеру штрафа.
Что такое комплаенс-инцидент?
Событие, в котором требование нарушено: внутренний документ расходится с законом, работник нарушил правила, возник конфликт интересов, пришла претензия регулятора или жалоба клиента. Инциденты фиксируют и учитывают — из их числа и тяжести складывается оценка риска.
Что такое индикаторы регуляторного риска?
Измеримые признаки, по которым видно, что риск растёт, с пограничными значениями для каждого. Пока индикатор в пределах значения — всё в норме; вышел за него — повод разбираться. Набор индикаторов компания определяет под свою деятельность.
С чего начать небольшой компании?
С ревизии: какие требования регулятор применяет именно к вам и где ваши регламенты и договоры с ними расходятся. Дальше — ответственный за тему, журнал инцидентов и претензий и проверка новых продуктов до запуска. Это базовый контур, на который дальше наращивают оценку и мониторинг.
Когда нужно увидеть, где компания нарушает требования
Собрать требования регулятора и ваши цифры в одну картину
Регуляторный риск виден, когда рядом стоят два списка: что требует закон и что фактически делает компания. Пока они в разных головах, инциденты всплывают уже в виде претензий.
Я собираю цифры и данные бизнеса в одну картину: где расходятся документы и практика, какие претензии и жалобы уже есть, что исправлять первым. Это видно на одном экране и обновляется, а не живёт в чужой переписке.