Dojrzałość Ryzyko operacyjne · Rozporządzenie COBAC w sprawie ryzyka operacyjnego
Dyspozytyw ryzyka operacyjnego Państwa instytucji, zmierzony według rozporządzenia COBAC i przełożony na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość Ryzyko operacyjne · Rozporządzenie COBAC w sprawie ryzyka operacyjnego
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie COBAC dotyczące zarządzania ryzykiem operacyjnym instytucji kredytowych CEMAC uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy oraz działanie, które je łączy) przekształca stwierdzenie w trajektorię.
Czy incydenty operacyjne są zbierane, kwalifikowane i wykorzystywane w sposób systematyczny?
- N1
Brak zorganizowanego zbierania. Incydenty są znane zainteresowanym zespołom, ale nie są konsolidowane.
- N2
Baza istnieje i określono próg zgłaszania, ale zasilanie zależy od oddziałów i działów najbardziej zaangażowanych. Straty nie są uzgadniane z księgowością.
- N3
Zbieranie obejmuje wszystkie linie działalności, incydenty są kwalifikowane według wspólnej nomenklatury, a straty są uzgadniane z kontami kosztowymi.
- N4
Każdy istotny incydent skutkuje analizą przyczyny i udokumentowanym działaniem, którego zamknięcie jest weryfikowane. Baza zasila przegląd mapowania.
- N5
Historia strat jest wykorzystywana do kalibracji wskaźników, progów tolerancji i wymogu kapitałowego, z udokumentowanym śledzeniem rewizji.
Działanie dla przejścia z poziomu 2 na poziom 3
Wyznaczenie korespondenta ds. ryzyka operacyjnego dla każdego działu i oddziału, rozpowszechnienie nomenklatury zdarzeń i progu zgłaszania oraz wpisanie uzgadniania strat z księgowością do programu kwartalnego komitetu ryzyka.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna COBAC.
O czym jest ten model referencyjny
Ryzyko operacyjne definiuje się jako ryzyko strat wynikających z niewłaściwych lub zawodnych procedur, działań personelu, systemów wewnętrznych lub zdarzeń zewnętrznych. Ryzyko prawne jest w nim uwzględnione. Dyspozytyw ostrożnościowy COBAC wywodzi z tego konkretne obowiązki dla instytucji kredytowych strefy CEMAC: identyfikację i mapowanie ryzyk według linii działalności, zbieranie i historyzację incydentów oraz strat, dyspozytywy ciągłości działania i zapasowe systemy informatyczne, nadzór nad podwykonawstwem, zaangażowanie organu nadzorczego oraz wymóg kapitałowy z tytułu ryzyka operacyjnego.
W praktyce dyspozytywem tym trudno zarządzać, ponieważ obejmuje on całą instytucję. Sieć oddziałów, karty płatnicze, systemy informatyczne, zgodność oraz zasoby ludzkie dostarczają każde po kawałku materiału, rzadko w tym samym rytmie i rzadko tym samym językiem. Powracają trzy pytania. Czy baza incydentów jest rzeczywiście zasilana przez jednostki operacyjne, czy raczej odtwarzana na koniec okresu przez dział ryzyka? Czy mapowanie jest uzgadniane z obserwowanymi stratami, czy żyje własnym życiem w arkuszu kalkulacyjnym? Czy plany ciągłości działania są testowane, a wnioski z testów śledzone aż do ich zamknięcia?
Na instytucje w regionie wpływają dwie okoliczności kontekstowe. Po pierwsze, rosnący nacisk nadzoru na bezpieczeństwo systemów informatycznych oraz na outsourcing: zależność od dostawców i regionalnych platform kart płatniczych przenosi część ryzyka poza instytucję, nie przenosząc za to odpowiedzialności. Po drugie, częste nieporozumienie, które warto rozwiać: ryzyko operacyjne to nie kontrola wewnętrzna. Kontrola wewnętrzna dostarcza mechanizmów kontrolnych, ryzyko operacyjne mierzy ekspozycję rezydualną i przekłada ją na straty oraz kapitał.
Audyt zgodności kończy się stwierdzeniem binarnym: wymóg jest spełniony albo nie jest. Diagnoza dojrzałości odpowiada na inne pytanie. Na jakim poziomie opanowania znajduje się każdy element dyspozytywu i jakie konkretne działanie pozwala przejść na poziom wyższy. Luka między uzyskanym wynikiem a celem generuje plan działania, który sztuczna inteligencja porządkuje w priorytetyzowaną mapę drogową. Porównanie między jednostkami grupy oraz z wcześniejszymi ocenami czyni postęp czytelnym dla organu nadzorczego.
Model referencyjny jest gotowy do użycia w Datamensio. Dostosowuje się do Państwa instytucji: sztuczna inteligencja modyfikuje obszary tematyczne, pytania i poziomy dojrzałości zgodnie z metodą CMMI, lub buduje wersję opartą na Państwa własnych procedurach, mapowaniu ryzyk i raportach kontroli wewnętrznej.
Norma referencyjna: Rozporządzenie COBAC dotyczące zarządzania ryzykiem operacyjnym instytucji kredytowych CEMAC
Oceniane obszary tematyczne
Governance dyspozytywu
Polityka zarządzania ryzykiem operacyjnym zatwierdzona przez organ nadzorczy, role funkcji ryzyka, kontroli stałej i audytu wewnętrznego, komitet ryzyka, apetyt na ryzyko i progi tolerancji.
Mapowanie ryzyk
Podział według linii działalności i procesów, identyfikacja zdarzeń ryzyka, ocena w kategoriach częstotliwości i wpływu, uwzględnienie mechanizmów kontrolnych, częstotliwość aktualizacji.
Zbieranie incydentów i strat
Procedura zgłaszania, próg zbierania, terminy przekazywania, kwalifikacja zdarzeń, uzgadnianie księgowe strat, historyzacja i wykorzystanie bazy danych.
Mechanizmy kontrolne i plany działania
Kontrole pierwszego i drugiego poziomu, działania naprawcze wynikające z incydentów i misji audytowych, wyznaczenie osób odpowiedzialnych, śledzenie terminów i zamknięcie.
Wskaźniki i monitorowanie
Kluczowe wskaźniki ryzyka, progi alarmowe, okresowy pulpit nawigacyjny, przekazywanie informacji do zarządu i organu nadzorczego, spójność między wskaźnikami a mapowaniem.
Ciągłość działania i zapasowe systemy informatyczne
Analiza wpływu na działalność, plan ciągłości działania i plan awaryjny, ośrodek zapasowy, kopie zapasowe, program testów, wykorzystanie wniosków z testów.
Bezpieczeństwo systemów informatycznych i kart płatniczych
Zarządzanie dostępami i uprawnieniami, rejestrowanie zdarzeń, obsługa incydentów bezpieczeństwa, oszustwa związane z kartami płatniczymi i kanałami cyfrowymi, monitorowanie transakcji.
Outsourcing i dostawcy
Spis działań zlecanych na zewnątrz, wcześniejsza analiza ryzyka, klauzule umowne i poziomy usług, prawo do audytu, kontrola dostawców i odwracalność.
Ryzyko prawne i bezpieczeństwo osób
Śledzenie sporów sądowych i związanych z nimi rezerw, zgodność umowna, bezpieczeństwo oddziałów i transportu wartości, zapobieganie oszustwom wewnętrznym.
Kapitał i raportowanie ostrożnościowe
Metoda obliczania wymogu z tytułu ryzyka operacyjnego, jakość danych źródłowych, powiązanie z raportem kontroli wewnętrznej i sprawozdaniami przekazywanymi do COBAC.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza oznacza zgodność z rozporządzeniem COBAC?
Nie. Datamensio mierzy dojrzałość Państwa dyspozytywu i przygotowuje dialog z nadzorcą. Weryfikacja zgodności należy do COBAC i Państwa organów kontroli. Diagnoza służy identyfikacji luk, zanim zostaną one stwierdzone w trakcie kontroli.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt kończy się binarnym stwierdzeniem dla każdego wymogu. Diagnoza umiejscawia każdą praktykę na skali dojrzałości i wskazuje działanie, które pozwala awansować o poziom. Oba podejścia się uzupełniają: diagnoza przygotowuje, audyt zatwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednej sesji przez osobę odpowiedzialną za ryzyko operacyjne. Wersja pełna, w trybie współpracy, trwa od jednego do dwóch tygodni, przy czym większość czasu pochłania zbieranie informacji od działów operacyjnych, systemów informatycznych i kontroli wewnętrznej.
Czy można dostosować model referencyjny do naszej instytucji?
Tak. Obszary tematyczne, pytania i poziomy można modyfikować. Sztuczna inteligencja buduje również wersję opartą na Państwa procedurach, mapowaniu ryzyk i raportach kontroli wewnętrznej. Model referencyjny należy do Państwa.
Jak porównać kilka spółek zależnych grupy regionalnej?
Każda jednostka przeprowadza ocenę na tym samym modelu referencyjnym. Wyniki według obszarów tematycznych porównuje się między jednostkami biznesowymi oraz z wcześniejszymi ocenami. Transwersalna mapa drogowa konsoliduje plany działania spółek zależnych bez powielania wspólnych działań.
Czy odpowiedź wymaga wiedzy technicznej?
Pytania dotyczą praktyk zarządzania, a nie parametryzacji. Odpowiada na nie osoba odpowiedzialna za ryzyko lub kontrolę wewnętrzną. Pytania dotyczące ciągłości działania i bezpieczeństwa systemów informatycznych przypisywane są właściwemu korespondentowi w trybie współpracy.
Jak ten model referencyjny łączy się z kontrolą wewnętrzną i ICAAP?
Kontrola wewnętrzna dostarcza mechanizmów kontrolnych, ryzyko operacyjne mierzy ekspozycję rezydualną, a ICAAP wyciąga z tego konsekwencje kapitałowe. Wszystkie trzy diagnozy dzielą część materiału i łączą się we wspólnej mapie drogowej.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską nie ma miejsca. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, również spośród rozwiązań europejskich.