Maturitate Risc operațional · Regulamentul COBAC privind riscul operațional
Dispozitivul dumneavoastră de risc operațional, măsurat pe baza regulamentului COBAC și tradus într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate Risc operațional · Regulamentul COBAC privind riscul operațional
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Regulamentul COBAC privind gestionarea riscului operațional al instituțiilor de credit din CEMAC lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă) este cel care transformă o constatare într-o traiectorie.
Incidentele operaționale sunt colectate, calificate și exploatate în mod sistematic?
- N1
Nicio colectare organizată. Incidentele sunt cunoscute de echipele implicate și nu sunt consolidate.
- N2
Există o bază și este definit un prag de declarare, dar alimentarea depinde de agențiile și direcțiile cele mai implicate. Pierderile nu sunt corelate cu contabilitatea.
- N3
Colectarea acoperă ansamblul liniilor de activitate, incidentele sunt calificate conform unei nomenclaturi comune, iar pierderile sunt corelate cu conturile de cheltuieli.
- N4
Fiecare incident semnificativ determină o analiză a cauzei și o acțiune urmărită, a cărei închidere este verificată. Baza alimentează revizuirea cartografierii.
- N5
Istoricul pierderilor este exploatat pentru calibrarea indicatorilor, a pragurilor de toleranță și a cerinței de fonduri proprii, cu o urmărire documentată a revizuirilor.
Acțiune pentru trecerea de la N2 la N3
Desemnarea unui corespondent de risc operațional pentru fiecare direcție și fiecare agenție, difuzarea nomenclaturii de evenimente și a pragului de declarare, și înscrierea corelării pierderilor cu contabilitatea pe ordinea de zi a comitetului de risc trimestrial.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe COBAC.
Despre ce vorbește acest cadru de referință
Riscul operațional se definește ca riscul de pierderi rezultate dintr-o inadecvare sau dintr-o deficiență a procedurilor, a personalului, a sistemelor interne sau din evenimente externe. Riscul juridic este inclus în această categorie. Dispozitivul prudențial COBAC derivă din acest fapt obligații precise pentru instituțiile de credit din zona CEMAC: identificarea și cartografierea riscurilor pe linie de activitate, colectarea și istoricizarea incidentelor și a pierderilor, dispozitive de continuitate și de recuperare informatică, încadrarea externalizării, implicarea organului deliberativ și cerința de fonduri proprii aferentă riscului operațional.
În practică, acest dispozitiv este dificil de condus deoarece traversează întreaga instituție. Rețeaua de agenții, monetica, sistemele informatice, conformitatea și resursele umane produc fiecare o parte din materie, rareori în același ritm și rareori cu același vocabular. Trei întrebări revin constant. Baza de incidente este alimentată efectiv de către unitățile operaționale, sau reconstituită la finalul exercițiului de către direcția de risc? Cartografierea este corelată cu pierderile observate, sau trăiește viața proprie într-un dosar? Planurile de continuitate sunt testate, iar concluziile testelor sunt urmărite până la închiderea lor?
Două elemente de context apasă asupra instituțiilor din zonă. În primul rând, intensificarea supravegherii privind securitatea sistemelor informatice și externalizarea: dependența de prestatori și de platforme monetice regionale deplasează o parte din risc în afara instituției, fără a-i deplasa responsabilitatea. În al doilea rând, o confuzie frecventă ce trebuie clarificată: riscul operațional nu este controlul intern. Controlul intern furnizează dispozitivele de control, riscul operațional măsoară expunerea reziduală și o materializează în pierderi și în fonduri proprii.
Un audit de conformitate se încheie cu o constatare binară: cerința este satisfăcută sau nu este. Diagnosticul de maturitate răspunde unei alte întrebări. La ce nivel de control se situează fiecare componentă a dispozitivului, și ce acțiune precisă permite trecerea la nivelul următor. Decalajul dintre scorul obținut și ținta vizată generează planul de acțiune, pe care inteligența artificială îl grupează într-o foaie de parcurs prioritizată. Comparația dintre entitățile grupului și cu evaluările anterioare face progresul lizibil pentru organul deliberativ.
Cadrul de referință este pregătit de utilizare în Datamensio. Se adaptează instituției dumneavoastră: inteligența artificială ajustează domeniile tematice, întrebările și nivelurile de maturitate conform metodei CMMI, sau construiește o variantă pornind de la propriile dumneavoastră proceduri, cartografie și rapoarte de control intern.
Standard de referință: Regulamentul COBAC privind gestionarea riscului operațional al instituțiilor de credit din CEMAC
Domeniile tematice evaluate
Guvernanța dispozitivului
Politica de gestionare a riscului operațional aprobată de organul deliberativ, rolurile funcției de risc, ale controlului permanent și ale auditului intern, comitetul de risc, apetitul și pragurile de toleranță.
Cartografierea riscurilor
Structurarea pe linie de activitate și pe proces, identificarea evenimentelor de risc, cotarea în frecvență și impact, luarea în considerare a dispozitivelor de control, periodicitatea actualizării.
Colectarea incidentelor și a pierderilor
Procedura de declarare, pragul de colectare, termenele de raportare, calificarea evenimentelor, corelarea contabilă a pierderilor, istoricizarea și exploatarea bazei.
Dispozitive de control și planuri de acțiune
Controale de nivelul întâi și al doilea, acțiuni corective rezultate din incidente și din misiuni de audit, desemnarea responsabililor, urmărirea termenelor și închiderea.
Indicatori și supraveghere
Indicatori cheie de risc, praguri de alertă, tablou de bord periodic, raportare către conducerea generală și organul deliberativ, coerența dintre indicatori și cartografiere.
Continuitatea activității și recuperarea informatică
Analiza impactului asupra activităților, plan de continuitate și plan de recuperare, site de rezervă, copii de siguranță, program de teste, exploatarea concluziilor testelor.
Securitatea sistemelor informatice și monetică
Gestionarea accesurilor și a autorizărilor, jurnalizarea, tratarea incidentelor de securitate, frauda monetică și pe canalele digitale, supravegherea tranzacțiilor.
Externalizare și prestatori
Inventarierea activităților externalizate, analiza de risc prealabilă, clauze contractuale și niveluri de serviciu, dreptul de audit, controlul prestatorilor și reversibilitatea.
Risc juridic și securitatea persoanelor
Urmărirea litigiilor și a provizioanelor aferente, conformitatea contractuală, securitatea agențiilor și a transporturilor de fonduri, prevenirea fraudei interne.
Fonduri proprii și raportare prudențială
Metoda de calcul a cerinței aferente riscului operațional, calitatea datelor sursă, articularea cu raportul de control intern și cu situațiile transmise către COBAC.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Acest diagnostic echivalează cu conformitatea cu regulamentul COBAC?
Nu. Datamensio măsoară maturitatea dispozitivului dumneavoastră și pregătește dialogul cu supraveghetorul. Verificarea conformității revine COBAC și corpurilor dumneavoastră de control. Diagnosticul servește la identificarea decalajelor înainte ca acestea să fie constatate.
Ce diferență există între acest diagnostic și un audit de conformitate?
Auditul se încheie cu o constatare binară pentru fiecare cerință. Diagnosticul poziționează fiecare practică pe o scală de maturitate și indică acțiunea care permite urcarea unui nivel. Cele două se completează: diagnosticul pregătește, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o singură sesiune de către responsabilul cu riscul operațional. Versiunea completă, în mod colaborativ, se desfășoară pe o perioadă de una până la două săptămâni, cea mai mare parte a timpului fiind dedicată colectării de la direcțiile operaționale, de la sistemele informatice și de la controlul intern.
Se poate adapta cadrul de referință instituției noastre?
Da. Domeniile tematice, întrebările și nivelurile se modifică. Inteligența artificială construiește de asemenea o variantă pornind de la procedurile, cartografia și rapoartele dumneavoastră de control intern. Cadrul de referință vă aparține.
Cum se compară mai multe filiale ale unui grup regional?
Fiecare entitate realizează evaluarea pe același cadru de referință. Scorurile pe domeniu tematic se compară între unitățile de afaceri și cu evaluările anterioare. O foaie de parcurs transversală consolidează planurile de acțiune ale filialelor fără a duplica acțiunile comune.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de gestionare, nu parametrizările. Un responsabil cu riscurile sau cu controlul intern poate răspunde. Întrebările referitoare la continuitate și la securitatea sistemelor informatice se atribuie corespondentului competent în mod colaborativ.
Cum se articulează acest cadru de referință cu controlul intern și cu ICAAP?
Controlul intern furnizează dispozitivele de control, riscul operațional măsoară expunerea reziduală, ICAAP trage consecințele în materie de capital. Cele trei diagnostice împărtășesc o parte din materie și se intersectează într-o foaie de parcurs comună.
Unde sunt găzduite datele?
În Franța, la OVH, cu copie de siguranță la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de inteligență artificială utilizate pot fi selectate, inclusiv dintre soluții europene.