Dariusz Garczyński
Zarządzanie ryzykiem operacyjnym
w banku z wykorzystaniem
kluczowych wskaźników ryzyka
Annales Universitatis Mariae Curie-Skłodowska. Sectio H, Oeconomia 46/4,
181-187
U N I V E R S I T A T I S M A R I A E C U R I E - S K Ł O D O W S K A L U B L I N - P O L O N I A
V O L . X L V I, 4 S E C T IO H 20 1 2 Uniwersytet Ekonomiczny we Wrocławiu, Katedra Bankowości
DARIUSZ GARCZYŃSKI
Zarządzanie ryzykiem operacyjnym w banku
z wykorzystaniem kluczowych wskaźników ryzyka
O perational ris k m anagem ent at th e b a n k w ith th e use o f K ey R isk Indicators
S ło w a k lu c z o w e : ry z y k o b a n k o w e , ry z y k o o p e ra c y jn e , k lu c z o w e w s k a ź n ik i r y z y k a (K R I) K e y w o r d s : in b a n k risk , o p e ra tio n a l risk , K ey R is k In d ic a to rs (K R I)
Wstęp
Problematyka zarządzania ryzykiem operacyjnym w bankach jest już stosunkowo
dobrze opisana w literaturze i rozpoznana przez praktykę bankową. Banki mają własne systemy zarządzania ryzykiem, korzystają z różnych metod wyznaczania poziomu
ryzyka operacyjnego, monitorują je. Metody szacowania ryzyka operacyjnego suge rowane przez Komitet Bazylejski, mające charakter ilościowy, są czasami trudne do implementacji ze względu na potrzebę korzystania z odpowiednio długich szeregów czasowych. Zachodzi wtedy konieczność zastosowania innych metod, pozwalają cych na identyfikację i oszacowanie poziomu ryzyka operacyjnego. Prezentowany artykuł przybliża jedną z takich metod, opartą na kluczowych wskaźnikach ryzyka.
1. Jakościowe metody zarządzania ryzykiem operacyjnym
Jednym z poważniejszych problemów w zarządzaniu ryzykiem operacyjnym jest dostęp do odpowiednich danych. Fakt posiadania lub nieposiadania danych o od
182 DARIUSZ GARCZYŃSKI
powiedniej strukturze i/lub horyzoncie czasowym w arunkuje w ybór odpowiedniej m etody szacow ania ryzyka operacyjnego. Ze w zględu n a rodzaj danych metody szacowania ryzyka operacyjnego m ożna w tedy podzielić n a ilościowe i jakościowe1.
M etodami jakościow ym i szacowania ryzyka operacyjnego są najczęściej te w y korzystujące oceny ekspertów (zewnętrznych lub wewnętrznych) lub innych osób określających param etry ryzyka z w ykorzystaniem intuicji, w iedzy i doświadczenia. Koncepcja ta zakłada wykorzystanie m.in. metod opisowych, technik heurystycznych, praw dopodobieństw subiektyw nych, map ry zy k a oraz n arzędzi i technik takich jak ankiety, form ularze, wywiady. Najbardziej znanym i jakościow ym i m etodam i szacowania poziomu ryzyka operacyjnego są te oparte n a mapowaniu ryzyka oraz metody samooceny (self-assessment), na przykład RSA (Risk Self-Assessment) lub
CSA (Control Self-Assessment), polegające na ocenie własnej poziom u ryzyka we
wszystkich obszarach działalności przy wykorzystaniu opisu słownego lub prezentacji graficznej. Trudno wyodrębnić jednorodne kryterium podziału jakościowych technik szacowania ryzyka operacyjnego z uwagi na to, że metody te są często kom plem en tarne wobec siebie i poszczególne etapy ich implementacji wzajem nie się przenikają. Uwzględniając ten fakt, m ożna wyróżnić m .in.2:
• metody heurystyczne,
• metody oparte na mapowaniu ryzyka,
• metody oparte na prawdopodobieństwie subiektywnym, • metody oparte na samoocenie ryzyka.
M etody heurystyczne odgryw ają istotną rolę w rozw iązaniu problem ów i są stosowane wszędzie tam, gdzie rozw iązania bazujące n a algorytm ach nie dają opty m alnych efektów. H eurystyka jest zbiorem twórczych metod rozw iązyw ania proble mów. Stosowanie heurystyki w ym aga odejścia od rutyny, krępującej twórczość, oraz przyjęcia postawy nastawionej na innowacyjność (oczekiwanie i przygotowywanie się na zmiany). Dzięki temu m ożna odkryw ać nieznane dotąd rzeczy, zjawiska oraz tworzyć nowe, np. poprzez w ykryw anie cech łączących fakty, uogólnianie ich i roz wijanie. M ożna też korzystać z analogii i rozw iązań stworzonych przez innych oraz je udoskonalać. Podejście heurystyczne do problemu oznacza rozbudzenie wyobraźni
i intuicji oraz koncentrację na twórczych elementach rozwiązywanego problemu. Jedną z najbardziej znanych m etod heurystycznych jest m etoda odroczonego wartościowania i twórczej dyskusji, tzw. burza mózgów (brainstorming)3, zaliczana do technik opartych na swobodnych skojarzeniach. M etoda ta polega na zespołowym znajdowaniu pomysłów w celu rozwiązanie jakiegoś zadania. Dopiero po zebraniu w szystkich pomysłów poddaje się je ocenie zespołu biorącego udział w burzy m óz
1 A. G ospodarow icz, Ryzyko operacyjne w banku, [w:] Zarządzanie ryzykiem, K. Jajuga (red.), PW N, W arszaw a 2007 s. 273.
2 M. Thlon, Zarządzanie ryzykiem operacyjnym w przedsiębiorstwie — wykorzystanie metody szacowania ryzyka Delta-EVT, ro zp ra w a doktorska, U n iw ersy tet E konom iczny w K rakow ie 2010, s. 97.
gów. Po odpowiednim przeszkoleniu jego członkowie mogą wykorzystać tę technikę do rozw iązania problemów związanych z ryzykiem operacyjnym , głównie dzięki wygenerowaniu bardzo dużej liczby nowych pomysłów oraz wyborowi spośród nich najlepszych rozwiązań.
Inną często w ykorzystyw aną techniką heurystyczną jest m etoda delficka. Opiera się ona na opinii ekspertów zaproszonych do procesu identyfikacji ryzyka. Poszcze gólni eksperci nie spotykają się, a często nie w iedzą nawet, kto jeszcze uczestniczy w procesie rozwiązania problemu. Pozwala to wyeliminować niepożądane efekty, jakie występują, kiedy eksperci pracują w grupie - m.in. sugerowanie się opinią innych. M etoda delficka różni się od innych tego typu badań przede wszystkim anonim o wością oraz tym , iż kwestionariusze z tym i samymi pytaniam i są w ypełniane kilka razy w jednym cyklu badawczym.
Metody oparte na samoocenie ryzyka w ykorzystują założenie, że pracownicy mają najszerszą wiedzę w zakresie oceny obszarów najbardziej narażonych na ryzyko operacyjne i to właśnie oni są w stanie najlepiej ocenić jego poziom. Inaczej m ożna powiedzieć, iż organizacja na bazie w iedzy swoich pracowników jest w stanie sama dokonać szacunków ryzyka. Zaletą tych metod jest ich prostota i elastyczność, um oż liwiające przeprowadzenie analizy ryzyka w bardzo szerokim zakresie w dowolnie wybranych obszarach działalności. Natom iast ich wadę bez wątpienia stanowi m ożli wość w ystępowania braku obiektywizm u, a tym samym niski poziom wiarygodności przeprowadzanych analiz.
Metody oparte na koncepcji prawdopodobieństwa subiektywnego mają długą hi storię. Definicję prawdopodobieństwa subiektywnego sformułował Bayes4, określając je jako miarę braku wiedzy przy podejmowaniu decyzji. Innym i słowy, prawdopo
dobieństwo subiektywne jest w rzeczyw istości m iarą „braku w iedzy” o w arunkach, które w pływ ają na dane zdarzenie, i dlatego jedynie reprezentuje nasze przekonania o prawdopodobieństwie zajścia określonego zdarzenia. W tej koncepcji występuje tzw. zasada racji niedostatecznej, co oznacza, że jeśli mam y dwa zdarzenia, w przypadku których nie m a podstaw do stw ierdzenia, iż któreś jest bardziej prawdopodobne, to przypisujem y im jednakow e prawdopodobieństwo wystąpienia. Podejście praw dopodobieństwa subiektywnego stosuje się najczęściej w modelowaniu problemów decyzyjnych w w arunkach niepewności.
Prawdopodobieństwo subiektywne jest odzwierciedleniem stopnia racjonalnie uzasadnionej „w iary” dotyczącej wystąpienia przyszłego zdarzenia. W edług podej ścia psychologicznego oddaje psychologiczną niepewność, w yw ołaną nastawieniem jednostki stwierdzającej obecność ryzyka. Jest więc indyw idualną oceną szansy w ystąpienia straty w zględnie niezależną od praw dopodobieństw a obiektywnego. Ryzyko subiektywne m oże być badane, a jego wielkość jest oceniana za pomocą różnorodnych testów. Psychologowie w ykazali ponadto, że prawdopodobieństwo
4 S. Stigler, T h o m a s B a y e s ' B a y e sia n In fe re n c e , „ J o u rn a l o f th e R oyal S ta tistical S o ciety ”, S eries A 1982, s. 250.
184 DARIUSZ GARCZYŃSKI
subiektywne i obiektywne często mają różne wartości dla badanego zdarzenia, a mia nowicie dochodzi do niedoszacowania lub przeszacowania wartości subiektywnych. Do jakościowych metod zarządzania ryzykiem operacyjnym wielu praktyków bankowych zalicza także metodę opartą na kluczowych wskaźnikach ryzyka (KRI), aczkolwiek ma ona charakter również ilościowy. Taki charakter - ilościowo-jakoś- ciowy, łączący podejście ilościowe, pozwalające na wyznaczenie poziomu ryzyka oraz podejście jakościowe, ujmujące całościowe rozumienie zarządzania ryzykiem operacyjnym, wpływa na rosnąca popularność tej metody.
2. Kluczowe w skaźniki ryzyka (K R I)
Kluczowe wskaźniki ryzyka (KRI - Key Risk Indicators) są ważnym narzędziem w procesie zarządzania ryzykiem operacyjnym, ułatwiającym jego monitorowanie i kontrolę. Są to statystyki i/lub miary, często finansowe, na podstawie których można określić między innymi wrażliwość banku na ryzyko, w tym operacyjne. KRI można także scharakteryzować, wskazując na ich powiązanie z procesowym podejściem do zarządzania ryzykiem, jako zestaw parametrów procesu biznesowego, które z dużym prawdopodobieństwem odzwierciedlają zmiany profilu ryzyka operacyjnego tego procesu5. Wskaźniki KRI znajdują zastosowanie m.in. w metodologii OpVaR6.
Wskaźniki te można wyznaczyć na podstawie danych okresowych (miesięcznych
lub kwartalnych), związanych na przykład z liczbą nieudanych transakcji, wskaźni kami zmian kadrowych lub częstotliwością błędów. KRI służą przede wszystkim do monitorowania ryzyka, ale mogą też być wykorzystywane do jego pomiaru oraz jako limity ryzyka7.
Wprowadzenie zarządzania z wykorzystaniem KRI może dać organizacji wiele korzyści w różnych aspektach jej działalności8:
• apetyt na ryzyko - wprowadzenie KRI pozwala na lepsze określenie poziomu apetytu na ryzyko i możliwość jego zwiększenia.
• identyfikacja nowych ryzyk i możliwości - system KRI służy nie tylko do monitorowania ryzyk już istniejących, ale może też pokazywać pewne trendy, skutkujące powstaniem nowych ryzyk, ale jednocześnie mogące wskazać nowe szanse rozwoju organizacji,
5 J. O rzeł, Na drodze do zaawansowanych metod ilościowego pomiaru ryzyka operacyjnego — KRI, „ B an k i K re d y t” czerw iec 2005.
6 Zob. S. Sandizzo, Risk Mapping and Key Risk Indicators in Operational Risk Management, „E conom ic N otes” lipiec 2005, vol. 34, n r 2, s. 23 lub A. Sanyal, A Pragmatic Approach to Modelling KRIs and Their Impact on OpVaR, „O perational R isk ” maj 2005, s. 37.
7 Key Risk Indicators, In stitu te o f O perational R isk, listopad 2010, s. 1.
8 M. Beasley, B. B ranson, B. H ancock, Developing Key Risk Indicators to Strengthen Enterprise Risk Management, COSO, w w w .coso.org, g ru d zień 2010.
• raportowanie ryzyka - KRI mogą służyć jako efektywna baza do sporządzania raportów na potrzeby zarządzania, szczególnie w zakresie zarządzania ryzykiem, • zapewnienie zgodności (compliance) - organizacjom podlegających nadzoro wi regulacyjnemu system KRI może być przydatny do w ykazania zgodności z wym ogam i w obszarach takich jak np. poziom adekwatności kapitałowej lub poziom rezerw.
Warto ści KRI są wyliczane na bazie danych zawartych w rejestrach (ewidencjach), map ryzyka lub pozyskiwane ze źródeł zewnętrznych. Do kluczowych wskaźników ryzyka K RI m ożna zaliczyć np9:
1) w obszarze zasobów kadrowych: a) fluktuację i ocenę pracowników,
b) absencję, zw olnienia lekarskie oraz urlopy wypoczynkowe i okolicznoś ciowe,
2) w obszarze procesów i systemów:
a) awarie/przestoje systemów teleinformatycznych, b) b łędy księgowe - storna i korekty,
c) sprawy s ądowe (odnoszące się do produktów i usług), w których stroną jest bank,
d) przeprow adzone kontrole w jednostkach/kom órkach organizacyjnych banku,
e) częstotliwość archiwizacji zasobów i systemów, f) reklam acje klientowskie - liczba i wartość roszczeń, g) liczbę i wartość kar na rzecz klientów,
3) w obszarze zdarzeń zewnętrznych:
a) sprawy sądowe (dotyczące stosowania i interpretacji przepisów), w których stroną jest bank,
b) w andalizm i kradzieże oraz oszustw a w zakresie rozliczeń pieniężnych. W yznaczone w artości progowe dla kluczowych wskaźników ryzyka K RI rozpa truje się w podziale na poziomy:
• akceptowany - niestanowiący zagrożenia, monitorowany,
• ostrzegawczy - sygnalizujący w zrost ryzyka operacyjnego, wym agający kon trolowania i stopniowego ograniczania do poziomu akceptowanego,
• krytyczny - uznany za nieakceptowany, wym agający podjęcia pilnych działań naprawczych.
Implementacja systemu K RI obejmuje następujące etapy10:
• w ybór i opis kluczowych wskaźników dla każdej kategorii ryzyka,
9 N a podstaw ie dok u m en tu Polityka zarządzania ryzykiem operacyjnym je d n eg o z banków. 10 K. M aderak, Ewolucja metod kwantyfikacji ryzyka, „M iesięczn ik F inansow y B a n k ” 2010, n r 9.
186 DARIUSZ GARCZYŃSKI
• określenie poziomu oczekiwanego w raz z zakresem tolerancji oraz poziomów eskalacji/alarmowania dla wskaźników.
• nadanie priorytetów wskaźnikom, • pom iar wskaźników,
• wyznaczenie właściwych dla poszczególnych kategorii ryzyka statystyk. Szczególnie ważnym etapem jest etap pierwszy, polegający na wyborze i scha raktery zo w an iu kluczow ych w skaźników ryzyka. Praw idłow o dobrany zestaw wskaźników pozw ala bowiem na identyfikację11:
• pojawiających się w przyszłości tendencji i sytuacji wym agających uwagi, • obecnych poziomów ekspozycji na ryzyko,
• zdarzeń z przeszłości, które mogą pojawić się ponownie.
W skaźnikiem ryzyka może być praktycznie każda inform acja mająca związek z działalnością banku. Należy jednak pamiętać, że dobór zbyt wielkiej liczby w skaź ników jest równie niebezpieczny dla banku jak ich zbyt m ała liczba. Według Institute of Operational Risk prawidłowo dobrane wskaźniki ryzyka powinny charakteryzować się następującym i cecham i12:
• istotność - wskaźniki muszą mieć ścisły związek z monitorowanym zjawiskiem, • m ierzalność - w skaźniki m uszą być mierzalne, przy czym musi być zagw a
rantow ana pow tarzalność pomiarów,
• predykcyjność - obserwacja zmian wskaźników powinna umożliwiać określenie tendencji z odpowiednim w yprzedzeniem ,
• łatwość m onitorowania - dane wykorzystane do budowy w skaźnika powinny być łatwo dostępne oraz proste w interpretacji,
• w eryfikow alność - dane użyte do budow y w skaźnika pow inny być łatwo weryfikowalne, zarówno dla komórki audytu wewnętrznego, jak i audytorów zewnętrznych,
• porównywalność - w skaźniki m uszą umożliwić porównanie zjawisk nie tylko w obrębie firmy, ale także w jej otoczeniu.
Zakończenie
Jedną z metod identyfikacji i szacowania ryzyka operacyjnego w bankach jest m etoda oparta na kluczowych w skaźnikach ryzyka. Należy ona do grupy metod jakościow ych, nie w ym aga skomplikowanych instrum entów m atem atycznych ani długich szeregów czasowych. Dzięki wyborow i odpowiednich do prowadzonego profilu działalności w skaźników bank zapew nia sobie instrum enty efektywnego
11 Key Risk Indicators..., s. 3. 12 Ibidem, s. 5.
zarządzania ryzykiem operacyjnym. Do największych zalet tej metody należy pro stota i wygoda stosowania. Wadą jest natomiast potrzeba zatrudnienia do konstrukcji systemu wskaźników wysoko wykwalifikowanych ekspertów.
B ib lio g ra fia
1. A n to sz k iew icz J.D., Metody heurystyczne. Twórcze rozwiązywanie problemów, PW E , W arsz aw a 1990. 2. B e a sle y M ., B ra n s o n B ., H a n c o c k B ., Developing Key Risk Indicators to Strengthen Enterprise
Risk Management, C O S O , w w w .c o so .o rg , g r u d z ie ń 2010.
3. G o s p o d a ro w ic z A ., Ryzyko operacyjne w banku, [w:] Zarządzanie ryzykiem, K . Ja ju g a (red.), P W N , W a rsz a w a 2007.
4. Key Risk Indicators, In stitu te o f O p e ra tio n a l R isk , listo p a d 2010.
5. M a d e ra k K ., Ewolucja metodkwantyfikacji ryzyka, „ M ie s ię c z n ik F in a n so w y B a n k ” 2010, n r 9. 6. O rz e ł J., Na drodze do zaawansowanych metod ilościowego pomiaru ryzyka operacyjnego - KRI,
„ B a n k i K r e d y t” c z e rw ie c 2 005.
7. S a n d iz z o S., Risk Mapping and Key Risk Indicators in Operational Risk Management, „ E c o n o m ic N o te s ” lip ie c 2 0 0 5 , vol. 34, n r 2.
8. S an y al A ., A Pragmatic Approach to Modelling KRIs and Their Impact on OpVaR, „ O p e ra tio n a l R is k ” m aj 2 005.
9. Stigler S., Thomas Bayes’ Bayesian Inference, „Jo u rn al o f the R oyal S tatistical S ociety”, S eries A 1982. 10. T h lo n M ., Zarządzanie ryzykiem operacyjnym w przedsiębiorstwie - wykorzystanie metody sza cowania ryzyka Delta-EVT, ro z p ra w a d o k to rsk a , U n iw e rs y te t E k o n o m ic z n y w K ra k o w ie , 2010.
O perational risk m anagem ent at the bank w ith the use o f K ey R isk Indicators
T h e issu e o f o p e ra tio n a l r is k m a n a g e m e n t in b a n k s is re la tiv e ly w ell d e s c rib e d in th e lite ra tu re an d re c o g n iz e d by th e p ra c tic e o f b a n k in g . B a n k s h av e th e ir o w n ris k m a n a g e m e n t sy s te m s th a t u se d iffe re n t m e th o d s fo r d e te rm in in g th e lev el o f o p e ra tio n a l risk , m o n ito r risk . O p e ra tio n a l ris k a s se s s m e n t m e th o d o lo g y su g g e ste d b y th e B a se l C o m m itte e , o f q u a n tita tiv e n a tu re , is so m e tim e s d if fic u lt to im p le m e n t b e c a u se o f th e n e e d fo r a s u ffic ie n tly long tim e se ries. O th e r m e th o d s sh o u ld be a p p lie d in su c h c a se s, a llo w in g to id e n tify a n d e s tim a te th e o p e ra tio n a l ris k level. T h e p a p e r in tro d u c e s a m e th o d o f q u a lity n a tu re , b a s e d o n K e y R is k In d ic a to rs.
