Риски корпоративного кредитования

Одной из основных задач внутреннего аудита является оценка эффективности системы управления рисками организации¹.

После проверки можно дать оценку системы внутреннего контроля в разрезе рисков, свойственных проверенной области. О подходах к решению данной задачи при проведении внутреннего аудита процесса корпоративного кредитования и пойдет речь в данной статье.

Для эффективного решения поставленной задачи в нашей компании была разработана унифицированная методика, внедренная непосредственно в программу аудита. Она позволяет оценивать риски, исходя из выявленных нарушений и недостатков контроля.

Суть методики

При разработке методики, помимо общих задач внутреннего аудита, была поставлена еще одна: возможность интегрирования результатов, полученных после оценки рисков процесса, в матрицу рисков всего банка. Эта матрица дает собственникам, менеджменту и аудиторскому комитету наглядное представление об эффективности внутреннего контроля и уровне рисков в различных функциональных областях деятельности банка. То есть буквально на одном листе формата А4 можно увидеть состояние всех функциональных областей в разрезе присущих им рисков и определить наиболее проблемные зоны.

Для большей наглядности результатов аудита нужно использовать шкалу уровня риска. Например, риски можно ранжировать на высокие, средние и низкие. Привязка результатов к данной шкале должна определяться, исходя из принятой в банке толерантности к риску. Немного забегая вперед, отметим, что в случае с кредитным риском можно зафиксировать определенные уровни ожидаемых потерь относительно портфеля. Например, если доля ожидаемых потерь превышает 10% величины всего портфеля, риск признается высоким. В случае с операционными рисками, чувствительность к ним может носить определенное денежное выражение.

Говоря о плюсах методики, следует выделить использование денежной оценки рисков, что позволяет получить общее суждение об уровне рисков по всему банку в целом. Также преимуществами являеюся возможность перейти от отдельных наблюдений к общей оценке уровня рисков в конкретной области и сравнимость результатов аудитов с точки зрения последствий для банка. Кроме того, можно сравнивать между собой региональные корпоративные портфели. Рассмотрим риски, присущие процессу корпоративного кредитования, и подходы к их оценке более подробно.

Как вычислить ожидаемые потери

Размер ожидаемых потерь определяется на основе регрессионного анализа статистики накопленных дефолтов.

Регрессионный анализ — это метод математической статистики, который позволяет установить выражение зависимости между исследуемыми признаками: результативными и факторными. В данном случае результативным признаком будет факт дефолта компании, а факторными признаками — причины этого дефолта.

Стратегический риск и риск потери репутации исключены Базелем 2 из понятия операционных рисков. В экстремальных случаях они могут быть вызваны кредитованием (например, волна дефолтов заемщиков вследствие кризиса). Но в связи с тем, что эти риски неизбежно повлияют на весь банк, они рассматриваются отдельно.

Риски, присущие корпоративному кредитованию

Корпоративному кредитованию присущи две группы рисков — кредитные и операционные. Может возникнуть резонный вопрос: почему выделены именно они? Почему без внимания оставлены, например, рыночные риски? Политикой управления рисками в банке занимается риск-менеджмент. Внутренний аудит тесно с ним сотрудничает, однако представляет интересы акционеров и не зависит от руководства компании. В связи с этим подходы к определению рисков могут несколько расходиться. Для целей внутреннего аудита под определением «рыночный риск» понимается:

• вероятность того, что реальная цена сделки может существенно отличаться в худшую сторону от рыночной цены;

• риск неблагоприятных рыночных колебаний цен на активы банка.

В любом случае рыночный риск не свойственен кредитной работе.

Кредитный риск

Под кредитным риском понимается вероятность потерь банка из-за неспособности либо нежелания клиента выполнить свои обязательства по договору (как по основному долгу, так и по просроченным процентам). Кредитный риск возникает каждый раз, когда банк инвестирует денежные средства или принимает обязательства по их предоставлению. При этом неважно, как эти суммы отражаются, — в составе активов на балансе или как условные обязательства вне баланса. Таким образом, все выданные кредиты и предоставленные банковские гарантии несут для банка кредитный риск. Для оценки этого риска был выработан следующий подход, основанный на собственной рейтинговой системе. В этом смысле он несколько перекликается с методом оценки кредитного риска на основе внутренних рейтингов Базеля 2 (internal rating-based approach). Система позволяет на основании ряда параметров (финансового положения, размера заемщика, его положения на рынке, кредитной истории) оценить вероятность дефолта заемщика (probability of default), а затем вычислить уровень ожидаемых потерь по кредиту с учетом качества обеспечения сделки (recovery rate). Это и будет денежным измерением кредитного риска (credit risk exposure — CR). Следовательно, общий уровень кредитного риска, присущего кредитному портфелю, будет равен сумме ожидаемых потерь по каждой ссуде:

где CR_i — величина ожидаемых потерь по i-ой ссуде.

Величина CR имеет абсолютное денежное выражение и, помимо качества ссуд, напрямую зависит от величины размера всего кредитного портфеля. Поэтому для получения оценки качества кредитного портфеля необходимо применять относительный показатель. В качестве такого показателя выбрано отношение величины кредитного риска (CR) к размеру всего портфеля. Этот показатель позволяет оценить долю кредитного риска в портфеле. Кроме того, он помогает сравнивать качество различных кредитных портфелей, что очень актуально при оценке показателей работы региональных филиалов банка.

Сергей Сухоруков, ведущий аудитор службы внутреннего аудита ЗАО «Кредит Европа Банк»

По моему мнению, при всем разнообразии существующих подходов для классификации рисков целесообразно было бы применять рекомендации ЦБ РФ, изложенные в письме от 23.06.2004 № 70-Т. Они очень схожи с подходами, используемыми банками нашего холдинга в других странах. При этом мы оцениваем тот или иной вид риска относительно к проверяемому процессу. Например, к процессу корпоративного кредитования возможны следующие риски:

кредитный риск (определение соответствует приведенному автором статьи);

операционный риск, под которым понимается риск возникновения убытков из-за несоответствия внутренних порядков и процедур проведения банковских операций и других сделок характеру и масштабам деятельности кредитной организации и/или требованиям действующего законодательства. К операционным относится и риск нарушения внутренних процедур служащими банка или иными лицами вследствие некомпетентности, непреднамеренных или умышленных действий или бездействия. Сюда же следует отнести риски несоразмерности (недостаточности) функциональных возможностей информационных, технологических и других систем, применяемых кредитной организацией, или нарушений их функционирования. IT-риск проявляется в том, что информационные системы имеют в самой архитектуре программ недостатки, допускающие некорректное проведение операций.

Например, программа допускает то, что ввод информации при выдаче кредита и его дальнейшем сопровождении осуществляется под правами одного и того же пользователя (нарушается принцип разделения полномочий) или вообще допускает проведение операций при незаполнении полей со всей необходимой информацией. Наконец, риск воздействия внешних событий также считается операционным. Этот риск оценивается в разрезе возможности внутренней среды банка и системы внутреннего контроля противостоять негативным внешним событиям. Например, оценивая внешний риск заемщика, способный повлиять на обслуживание его долга перед банком, в рамках аудита корпоративного кредитования нужно удостовериться в реальности оценки кредитными службами банка бизнес-планирования заемщика и его зависимости от внешних факторов (сезонность, специфика рынка, зависимость бизнеса от политической обстановки). Также рекомендуется иметь «черный список» организаций, по которым есть информация о подготовке фиктивных документов для получения кредитов. Этот перечень поможет ускорить процесс рассмотрения заявок и не пропустить заявку недобросовестных заемщиков;

Итак, как мы выяснили, чтобы измерить кредитный риск, необходимо оценить вероятность дефолта заемщика и качество обеспечения. Внутренний аудитор должен удостовериться в том, что оценка необходимых параметров произведена верно. Для этого необходимо проверить полноту и корректность сведений, указанных в кредитной заявке. Качество обеспечения кредита можно проанализировать на основании данных, указанных в залоговом заключении. Если в ходе анализа кредитной сделки будут обнаружены нарушения (допустим, неправильная оценка финансового состояния заемщика или заложенного имущества), аудитор пересчитывает соответствующие рейтинги на основании корректных оценок. Скорректированные рейтинги используются для расчета кредитного риска.

Кроме того, рейтинги переоцениваются в случае, если аудитор обнаружит признаки неустойчивого финансового положения заемщика (например, перекредитование), которые свидетельствуют о повышенном кредитном риске. Все признаки и нарушения аудитор выявляет с помощью специальных аудиторских тестов:

• Тестирование перекредитования: внутренний аудитор анализирует счета заемщика, открытые в банке, и действующие кредитные соглашения на предмет использования заемных средств для погашения полученных кредитов.

• Тестирование условий соглашений: аудитор проверяет, соответствуют ли условия заключенных соглашений условиям, прописанным в решениях кредитных комитетов. Нарушения, выявленные в результате данного тестирования, свидетельствуют о существенных рисках, связанных с оформлением документов в бэк-офисе.
• Тестирование мониторинга заложенного имущества: данный тест показывает периодичность мониторинга и текущее состояние имущества в залоге. Следует отметить, что вышеупомянутые риски нарушения бизнес-процессов (нарушения в ходе финансового мониторинга заемщика, некорректная оценка заложенного имущества) относятся к операционным рискам и воздействуют на кредитный риск опосредованно, через расчет рейтингов. Соответственно, в программе и рабочих бумагах (тестирования качества финансового мониторинга, а также оценки и мониторинга заложенного имущества) необходимо отмечать, что данные операционные риски также воздействуют на измерение кредитного риска.

• юридический риск — риск возникновения у кредитной организации убытков вследствие:

  – несоблюдения кредитной организацией требований нормативных правовых актов и заключенных договоров;

  – допускаемых правовых ошибок при осуществлении деятельности. Как пример — неправильные юридические консультации или неверное составление документов, в том числе при рассмотрении спорных вопросов в судебных органах;

  – несовершенства правовой системы (противоречивость законодательства, отсутствие правовых норм по регулированию отдельных вопросов, возникающих в процессе деятельности кредитной организации);

  – нарушения контрагентами нормативных правовых актов, а также условий заключенных договоров. Под определение юридического риска также подходит и «комплаенс-риск» (который, однако, не выделяется отдельно в письме № 70-Т, а распределен между юридическим и операционным рисками). Это риск юридических или регулятивных санкций, финансовых убытков, урона репутации, которые могут быть обращены на банк в результате несоблюдения им законодательства, кодекса поведения и стандартов хорошей практики, объединяемые под понятием «законы, правила и стандарты». В качестве примера реализации этого риска в корпоративном кредитовании можно вспомнить нашумевший случай в одном из российских банков, когда из стандартной формы кредитного договора, согласованного с юридической службой банка, недобросовестными сотрудниками были удалены пункты об ипотеке недвижимости заемщика, что сделало кредит необеспеченным залогом;

• риск потери деловой репутации кредитной организации (репутационный риск) — это риск возникновения убытков в результате уменьшения числа клиентов (контрагентов) из-за формирования в обществе негативного представления о финансовой устойчивости кредитной организации, качестве оказываемых ею услуг или характере деятельности в целом;

• рыночный риск — риск возникновения у кредитной организации убытков вследствие неблагоприятного изменения рыночной стоимости финансовых инструментов торгового портфеля и производных финансовых инструментов кредитной организации, а также курсов иностранных валют и/или драгоценных металлов (этот риск можно отнести к качеству предмета залога по кредиту). В пример можно привести случай, когда в качестве залога по кредиту были приняты по цене цветного металла провода электроснабжения, проходящие под площадью половины города.

Операционные риски

К операционным отнесены риски прямых или косвенных потерь в результате недостатков или ошибок во внутренних бизнес-процессах, действиях персонала, из-за сбоев в работе информационных систем или вследствие внешних событий. Такое определение включает в себя юридические риски, но исключает стратегический риск и риск потери репутации, что соответствует определению операционных рисков в Базеле 2. Операционные риски оценивают, если в ходе аудита выявляются какие-либо факты, приводящие к их возникновению. Оценка базируется в большинстве случаев на величине вероятных потерь.

Существует три основных подхода к оценке рисков:

• статистический (на этом методе построен анализ кредитного риска);

• «вопросник» (исходя из ответов на поставленные вопросы, риску присуждается соответствующий уровень);

• экспертный (риск оценивается на основании мнения одного или нескольких экспертов).

Подходы к оценке операционных рисков ранжируются в зависимости от их типа, а также бизнес-процессов, которым они присущи. Например, если все бизнес-процессы работают корректно и не выявлено каких-либо нарушений регламентов и законодательства, процессу кредитования присущ низкий уровень риска. Выделяются следующие группы операционных рисков:

• юридический риск и риск несоответствия требованиям внутренних регламентов;

• риск бизнес-процессов;

• технологический риск;

• риск персонала;

• риск внешних событий.

Сергей Сухоруков

Классическим примером перекредитования является погашение инвестиционного кредита за счет овердрафта. А в соответствии с пунктом 3.7.2.4 положения ЦБ РФ от 26.03.2004 № 254-П обслуживание долга по подобной ссуде не может быть признано хорошим, и недоначисление резерва грозит санкциями со стороны надзорных органов. Возможен и вариант, когда бонусы менеджмента кредитного подразделения в удаленном регионе зависят от выполнения бизнес-планов. Тогда корпоративные заемщики, зависящие от подразделения банка, под давлением со стороны менеджмента банка вынуждены брать кредиты перед отчетной датой для погашения уже имеющихся кредитов и недопущения просрочки. При подозрениях на перекредитовку в другой кредитной организации, по моему опыту, целесообразно подключить службу безопасности банка. Это помогает быстрее прояснить ситуацию.

Юридический риск/риск несоответствия требованиям внутренних регламентов — это риск возникновения потерь, связанных с нарушением действующего законодательства или требований регулирующих и надзорных органов, а также риск убытков, вызванных несоблюдением действующих внутренних политик, правил и процедур.

Наиболее ярким примером данного типа риска является неверное начисление резервов по ссудам. Величина риска измеряется штрафными санкциями за данное нарушение со стороны Банка России.

Риск бизнес-процессов — это риск возникновения потерь, связанных со сбоями в бизнес-процессах, отсутствием сквозной организации процесса, неправильным распределением функций, некорректным управлением процессами, систематическим некорректным взаимодействием с контрагентами, поставщиками и/или внутренними подразделениями банка, а также недостаточностью внутреннего контроля.

Типичным примером данного риска в области кредитования является отсутствие контроля со стороны бэк-офиса выполнения требований кредитного комитета к кредитной сделке, а также других условий кредитования перед выдачей заемных средств. Подход к оценке данного типа риска должен определяться, исходя из конкретных фактов нарушения. Технологический риск — это риск возникновения потерь, связанных с остановками или сбоями в работе информационных систем, систем передачи информации и банковской инфраструктуры, внутренними инцидентами в сфере информационной безопасности. В случае кредитования данный риск может проявиться в виде некорректно работающего программного обеспечения, отвечающего, например, за автоматическое списание процентов по ссудной задолженности. Соответственно, величина риска будет оцениваться величиной недополученных процентов на определенном временном интервале.

Риск персонала — это риск возникновения потерь, связанных со значительными изменениями в штате или кадровых резервах в подразделениях банка, уходом ключевого персонала, зависимостью от отдельных специалистов, недостаточной компетентностью сотрудников, а также случаями несанкционированного поведения персонала (мошенничество, дискриминация, несанкционированная деятельность). Денежная оценка риска персонала затруднена, поскольку к данному риску относятся такие факторы, как высокая текучесть кадров, низкая мотивация сотрудников и значительность доли «незаменимых» сотрудников. Для анализа данных факторов риска зачастую применяются качественные оценки на основе профессиональных суждений.

Риск внешних событий — это риск возникновения потерь, связанных с неспособностью банка:

• оперативно восстанавливать операции и минимизировать потери в случае непредвиденных ситуаций (допустим, природных катастроф), которые могут нанести ущерб основному оборудованию, системам, технологиям и ресурсам банка;

• без существенных потерь реагировать на негативное изменение внешних событий и факторов, а также на внешние инциденты в сфере информационной безопасности, наступающие в результате умышленных действий сторонних организаций или физических лиц либо в результате изменения требований регулирующих органов. Данный риск оценивается вне рамок аудита процесса кредитования, поскольку последствия его реализации затрагивают большинство функциональных областей деятельности банка. К данному риску можно отнести отсутствие антивирусной защиты внутрибанковской сети, которое может привести к поражению компьютерных систем вирусами. Методика проведения аудита кредитования не предполагает специального анализа данного вида риска. Рассмотрим действие унифицированной методики, разработанной «Альфа-Банком» на примере тестирования правильности начисления обязательных резервов. Данное тестирование относится к обширному блоку программы аудита, касающемуся администрирования кредитного процесса (loan administration). В этом разделе программы отражены вопросы эффективности контроля таких бизнес-процессов, как оформление соглашений, взимания процентов, основного долга и т.д. В рамках аудита корректности резервирования рассматривается корректность начисления резервов на возможные потери по судам (РВПС)² и резервов на возможные потери (РВП)³. Поскольку принципы проверки обоих направлений с точки зрения методики схожи, рассмотрим только резервы на возможные потери по ссудам.

Тестирование корректности начисления РВПС отражается в аудиторских рабочих бумагах и подразделяется на блоки:

• тестирование корректности присвоения изменения ссудам соответствующей категории качества и величины резервирования кредитным подразделением;
• проверка своевременности и правильности начисления/изменения резервов бэк-офисом.

Достоверно определить вероятность возникновения данного риска, как правило, невозможно из-за нехватки накопленной статистики. Поэтому в силу значимости исполнения требований законодательства устанавливается уровень вероятности, равный единице. После получения материальной оценки риска появляется возможность оценить его воздействие на уровне всего процесса кредитования. Для этого следует проранжировать риски в зависимости от их значимости и степени чувствительности к ним процесса. Например, присвоив указанному риску средний уровень, можно говорить о среднем уровне юридического риска в конкретном бизнес-направлении.

Елена Букина, руководитель службы внутреннего контроля АКБ «Абсолют Банк» (ЗАО)

Организация аудиторских проверок на основе риск-ориентированного подхода в первую очередь предусматривает ранжирование рисков. В дальнейшем результаты аудита используются для более эффективной организации системы контроля и для ежегодного планирования деятельности СВК. С большей частотой осуществляется проверка операций, подверженных высокому уровню риска. Подходы к оценке рисков могут быть различными. Например, определение размера вероятных потерь по кредитным операциям, привязанное к величине потерь в целом по портфелю, трудноприменимо в некоторых банках. Данный подход удобен скорее при оценке эффективности конкретных портфелей и кредитных продуктов. При определении уровня риска для интеграции его в общую матрицу рисков следует давать оценку исходя из:

• величины всего кредитного портфеля (или кредитных продуктов) по банку и соотношения его с капиталом или
• соотношения величины всего кредитного портфеля с активами банка.

Также при анализе прогнозируемых потерь по данному направлению необходимо провести комплексную оценку каждой из «слабых точек» всей технологической схемы.

Затраты на контроль, осуществляемый на каком-либо участке деятельности банка, должны быть соотнесены с рисками, возникающими на данных участках. При риск-ориентированном подходе возникает возможность выявления не только уязвимых мест контроля, но также его возможной «избыточности» на некоторых этапах при проведении операций, которая может увеличивать себестоимость проводимых операций. При проведении проверок процесса корпоративного кредитования следует обратить внимание и на рыночный риск. Так, при рассмотрении вопроса ценообразования по кредитному продукту можно проверить соответствие процентной ставки, выработанной кредитной политикой банка (если рамки процентных ставок определены во внутренних документа банка), и фондирования данного кредитного продукта (под какую процентную ставку были привлечены денежные средства, выдаваемые по договору). Поскольку кредитные операции занимают значительную долю в активах многих банков, при проведении аудита полезно оценивать потенциальное возникновение рисков на данном участке, возможные пути решения вопросов, связанных с различными угрозами и определение вероятности потерь по причине выявленных законодательных коллизий. То есть при рассмотрении рыночного риска можно выйти на юридический риск и риск внешних факторов. Также с позиции рыночного риска должен быть оценен залог. При обеспечении кредита залогом происходит отчасти замещение кредитного риска рыночным. При проведении аудита предметов залога делается оценка не только стоимости заложенного имущества на момент залога (как правило, по крупным, а особенно по ипотечным сделкам, в досье присутствует заключение независимых оценщиков), но и его рыночная стоимость и возможность (скорость) реализации на момент проведения проверки аудиторами. Например, в залог может быть принято дорогостоящее, но весьма специфическое оборудование, которое в случае необходимости будет очень сложно продать. На мой взгляд, в статье юридический риск иллюстрируется не самым удачным примером. Неверное, начисление резервов относится скорее к рискам бизнес-процессов, технологическому риску или риску персонала при условии адекватности методики действующему законодательству. Более существенный юридический риск может возникнуть при неверном юридическом оформлении кредитных договоров, договоров залога или договоров, на основании которых клиент предоставляет обеспечение банку. Ошибки в юридическом оформлении этих документов могут привести к потере возможности взыскания возмещения по договору (при наступлении дефолта по кредитному договору), полностью исключив вероятность получения денежных средств, предоставленных клиенту.

В таблице отражена часть матрицы рисков, которая может наглядно иллюстрировать состояние процесса корпоративного кредитования. Данный подход позволяет переходить к обобщенной оценке процесса кредитования на уровне всего банка. К примеру, если аудитом было охвачено несколько кредитных подразделений, в результате чего появились соответствующие оценки, возникает возможность их агрегировать в один показатель, то есть перейти к единой матрице рисков на уровне всего банка.

Сергей Сухоруков

На мой взгляд, оценивать риски бизнес-процессов необходимо в самом начале аудита путем тестирования системы внутреннего контроля. В идеальном варианте результаты тестирования должны быть готовы к началу аудиторской проверки первичной документации для концентрации внимания аудиторов на документах, при составлении которых контроль мог быть недостаточен и имеет место высокий риск их некорректного составления. Но в связи с трудоемкостью этого тестирования и ограниченностью сроков проведения аудита, а также необходимостью получения полномочий — подписанного руководством банка приказа — запрашивать всю необходимую информацию от аудируемых подразделений, иногда результаты оценки могут быть получены уже тогда, когда вовсю идет проверка документов. Тогда документарная ревизия и оценка рисков бизнес-процессов дополняют друг друга по большей части лишь при написании финального отчета как две разные его части. Для оценки системы внутреннего контроля в деятельности проверяемого подразделения очень удобно применять сквозные тесты, то есть отслеживать прохождение операций через всю систему. Преимущество таких тестов состоит в том, что оценивается не только уровень контроля на конкретной контрольной точке, но и остаточные риски. Проведение подобных тестов и подготовка заключения об оценке аудиторских рисков и рисков системы внутреннего контроля позволяет выявить места в процессах, где наиболее вероятен сбой.

В ходе проведения сквозных тестов, в тех случаях, когда от сотрудников кредитного подразделения требуется выезд на место нахождения залога для составления соответствующего заключения, стоит и самим аудиторам совершить подобный визит к заемщику, чтобы убедиться в корректности составления заключения о состоянии залога. В одном банке был случай, когда при подобном выезде обнаружилось, что два сарая в глухой местности были приняты в залог по цене элитной недвижимости. После обнаружения подобного факта была произведена переоценка объекта залога другим оценщиком и принято решение отказаться от услуг оценщика, участвующего в этой сделке.

¹ Такое требование содержат стандарты 2110.А1 и 2110.А2 Международного института внутренних аудиторов.

² Определяется, исходя из положения ЦБ РФ от 26.03.2004 № 254-П «О порядке формирования кредитными организациями резервов на возможные потери по ссудам, по ссудной и приравненной к ней задолженности».

³ Определяется, исходя из положения ЦБ РФ от 20.03.2006 № 283-П «О порядке формирования кредитными организациями резервов на возможные потери».

Версия для печати