Vyspělost Provozní riziko · Nařízení COBAC o provozním riziku
Váš systém řízení provozního rizika, změřený podle nařízení COBAC a převedený do vyčísleného akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost Provozní riziko · Nařízení COBAC o provozním riziku
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Nařízení COBAC o řízení provozního rizika úvěrových institucí CEMAC spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je propojuje) mění zjištění v trajektorii.
Jsou provozní incidenty systematicky sbírány, kvalifikovány a využívány?
- N1
Žádný organizovaný sběr. Incidenty jsou známy dotčeným útvarům a nejsou konsolidovány.
- N2
Databáze existuje a práh hlášení je definován, ale plnění závisí na pobočkách a útvarech, které jsou nejvíce zapojeny. Ztráty nejsou odsouhlasovány s účetnictvím.
- N3
Sběr pokrývá všechny linie podnikání, incidenty jsou kvalifikovány podle společné nomenklatury a ztráty jsou odsouhlasovány s nákladovými účty.
- N4
Každý významný incident vede k analýze příčin a sledované akci, jejíž uzavření je ověřováno. Databáze slouží k revizi mapování rizik.
- N5
Historie ztrát je využívána ke kalibraci ukazatelů, prahů tolerance a kapitálového požadavku, se zdokumentovaným sledováním revizí.
Akce pro přechod z úrovně 2 na úroveň 3
Určit kontaktní osobu pro provozní riziko v každém útvaru a na každé pobočce, rozšířit nomenklaturu událostí a práh hlášení a zařadit odsouhlasení ztrát s účetnictvím do programu čtvrtletního výboru pro rizika.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína COBAC.
O čem tento referenční rámec je
Provozní riziko se definuje jako riziko ztrát vyplývajících z nedostatečnosti nebo selhání postupů, zaměstnanců, interních systémů nebo z vnějších událostí. Patří sem i riziko právní. Obezřetnostní rámec COBAC z toho odvozuje konkrétní povinnosti pro úvěrové instituce zóny CEMAC: identifikaci a mapování rizik podle linií podnikání, sběr a historizaci incidentů a ztrát, systémy kontinuity a záložní IT provoz, úpravu outsourcingu, zapojení statutárního orgánu a kapitálový požadavek k provoznímu riziku.
V praxi je tento systém obtížné řídit, protože prochází celou institucí. Síť poboček, platební karty, informační systémy, compliance a lidské zdroje produkují každý svou část podkladů, zřídka ve stejném tempu a zřídka ve stejném slovníku. Opakují se tři otázky. Je databáze incidentů skutečně plněna útvary samotnými, nebo je rekonstruována na konci období útvarem řízení rizik? Je mapování porovnáváno se skutečně pozorovanými ztrátami, nebo žije vlastním životem v šanonu? Jsou plány kontinuity testovány a jsou poznatky z testů sledovány až do jejich uzavření?
Na instituce zóny doléhají dva kontextové faktory. Předně sílící dohled nad bezpečností informačních systémů a nad externím zajišťováním činností: závislost na dodavatelích a regionálních platformách platebních karet přesouvá část rizika mimo instituci, aniž by přesouvala odpovědnost. Dále je třeba rozptýlit častou záměnu: provozní riziko není totéž co vnitřní kontrola. Vnitřní kontrola poskytuje nástroje řízení, provozní riziko měří reziduální expozici a promítá ji do ztrát a kapitálu.
Audit souladu končí binárním zjištěním: požadavek je, nebo není splněn. Diagnostika vyspělosti odpovídá na jinou otázku. Na jaké úrovni řízení se nachází každá složka systému a jaká konkrétní akce posouvá na úroveň vyšší. Mezera mezi dosaženým skóre a cílem generuje akční plán, který AI seskupuje do prioritizované roadmapy. Srovnání mezi jednotkami skupiny a s předchozími hodnoceními činí pokrok čitelným pro statutární orgán.
Referenční rámec je v platformě Datamensio připraven k okamžitému použití. Přizpůsobuje se vaší instituci: AI upravuje tematické oblasti, otázky a úrovně vyspělosti podle metody CMMI, nebo sestaví vlastní verzi na základě vašich postupů, vašeho mapování rizik a vašich zpráv o vnitřní kontrole.
Referenční norma: Nařízení COBAC o řízení provozního rizika úvěrových institucí CEMAC
Hodnocené tematické oblasti
Řízení systému
Politika řízení provozního rizika schválená statutárním orgánem, role útvaru rizik, trvalé kontroly a interního auditu, výbor pro rizika, apetit k riziku a prahy tolerance.
Mapování rizik
Členění podle linií podnikání a procesů, identifikace rizikových událostí, hodnocení podle četnosti a dopadu, zohlednění nástrojů řízení, periodicita aktualizace.
Sběr incidentů a ztrát
Postup hlášení, práh sběru, lhůty předávání, kvalifikace událostí, účetní odsouhlasení ztrát, historizace a využití databáze.
Nástroje řízení a akční plány
Kontroly prvního a druhého stupně, nápravná opatření vyplývající z incidentů a auditních misí, určení odpovědných osob, sledování termínů a uzavírání.
Ukazatele a dohled
Klíčové ukazatele rizika, výstražné prahy, pravidelný dashboard, hlášení generálnímu ředitelství a statutárnímu orgánu, soulad mezi ukazateli a mapováním.
Kontinuita činnosti a záložní IT provoz
Analýza dopadu na činnosti, plán kontinuity a záložní plán, náhradní pracoviště, zálohování, program testů, využití poznatků z testů.
Bezpečnost informačních systémů a platební karty
Řízení přístupů a oprávnění, logování, zpracování bezpečnostních incidentů, podvody v oblasti platebních karet a digitálních kanálů, dohled nad transakcemi.
Externí zajišťování a dodavatelé
Evidence externě zajišťovaných činností, předběžná analýza rizika, smluvní ujednání a úrovně služeb, právo na audit, kontrola dodavatelů a reverzibilita.
Právní riziko a bezpečnost osob
Sledování sporů a souvisejících rezerv, smluvní soulad, bezpečnost poboček a přepravy hotovosti, prevence interních podvodů.
Kapitál a obezřetnostní reporting
Metoda výpočtu kapitálového požadavku k provoznímu riziku, kvalita zdrojových dat, provázání se zprávou o vnitřní kontrole a výkazy předávané COBAC.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Znamená tato diagnostika soulad s nařízením COBAC?
Ne. Datamensio měří vyspělost vašeho systému a připravuje jednání s dohledovým orgánem. Ověření souladu přísluší COBAC a vašim kontrolním orgánům. Diagnostika slouží k identifikaci mezer dříve, než jsou zjištěny při kontrole.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu?
Audit končí binárním zjištěním ke každému požadavku. Diagnostika zařazuje každou praxi na škálu vyspělosti a uvádí akci, která posouvá o úroveň výše. Oboje se doplňuje: diagnostika připravuje, audit ověřuje.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní v jediné relaci odpovědným pracovníkem za provozní riziko. Úplná verze v kolaborativním režimu trvá jeden až dva týdny, přičemž většinu času zabere sběr podkladů od obchodních útvarů, informačních systémů a vnitřní kontroly.
Lze referenční rámec přizpůsobit naší instituci?
Ano. Tematické oblasti, otázky i úrovně lze upravit. AI rovněž sestaví vlastní verzi na základě vašich postupů, vašeho mapování rizik a vašich zpráv o vnitřní kontrole. Referenční rámec patří vám.
Jak porovnat více dceřiných společností regionální skupiny?
Každá jednotka provádí hodnocení podle stejného referenčního rámce. Skóre podle tematických oblastí lze porovnávat mezi obchodními jednotkami i s předchozími hodnoceními. Průřezová roadmapa konsoliduje akční plány dceřiných společností, aniž by duplikovala společné akce.
Je k vyplnění potřeba technická odbornost?
Otázky se týkají praxe řízení, nikoli technických nastavení. Odpovídá na ně odpovědný pracovník za rizika nebo vnitřní kontrolu. Otázky týkající se kontinuity a bezpečnosti informačních systémů se v kolaborativním režimu přiřazují příslušné kontaktní osobě.
Jak tento referenční rámec souvisí s vnitřní kontrolou a ICAAP?
Vnitřní kontrola poskytuje nástroje řízení, provozní riziko měří reziduální expozici, ICAAP z toho vyvozuje kapitálové důsledky. Všechny tři diagnostiky sdílejí část podkladů a propojují se ve společné roadmapě.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely AI lze vybírat, včetně evropských řešení.