Operativni rizik u bankama prof dr eljko Rika

Operativni rizik u bankama prof dr Željko Rička

Tržište Razvoj bankarskih praksa upućuje na to da, osim kreditnoga, kamatnoga i tržišnog rizika, i ostali rizici mogu biti značajni. Novi i rastući rizici s kojima se banke suočavaju: • veća upotreba visoko automatizovane tehnologije može rizike koji nastaju iz grešaka u ručnoj obradi podataka pretvoriti u rizike kvara sistema; • rast elektroničkog poslovanja nosi sa sobom potencijalne rizike (npr. unutrašnja i vanjska prevara i pitanja sigurnosti sistema); • sticanja, spajanja, razdvajanja (engl. de-mergers) i konsolidacije velikih obima testiraju održivost integrisanih sistema;

Tržište • banke koje posluju kao pružaoci usluga velikih razmjera stvaraju potrebu za kontinuiranim održavanjem unutrašnjih kontrola i sigurnosnih sistema visokog stepena; • banke mogu primjenjivati tehnike za smanjenje rizika (npr. kolateral, kreditni izvedeni instrumenti, sporazumi o saldiranju i sekuritizacija imovine) kako bi optimizirale svoju izloženost tržišnom i kreditnom riziku, ali te tehnike mogu dovesti do pojave ostalih oblika rizika (npr. pravni rizik), i • sve češće povjeravanje određenih poslova vanjskim izvršiocima na osnovi sporazuma o eksternalizaciji mogu smanjiti neke rizike, ali ujedno nose druge značajne rizike za banku.

Zaključci Baselskog Odbora(BO) BO utvrdio je da sljedeće vrste događaja zbog kojih nastaje OR mogu dovesti do značajnih gubitaka: • Unutrašnja prevara. npr: , namjerno pogrešno izvještavanje, zaposlenikova krađa i trgovanje upućene osobe iz banke na vlastitom računu, • Vanjska prevara. npr: , pljačka, krivotvorenje, izdavanje čekova bez pokrića te šteta nastala zbog neovlaštene upotrebe tuđeg računara,

Zaključci Baselskog Odbora • Prakse vezane uz zapošljavanje i zaštitu na radnom mjestu. npr: , potraživanja radnika vezana uz naknade, kršenje pravila o zdravlju i zaštiti zaposlenika, organizovane radničke aktivnosti, potraživanja vezana uz diskriminaciju i opšta odgovornost, • Klijenti, proizvodi i poslovne prakse. npr: , kršenje povjereničkog odnosa, zlopotreba povjerljivih informacija o klijentima, neprimjerene aktivnosti trgovanja na računu banke, pranje novca i prodaja neovlaštenih proizvoda, • Oštećenje materijalne imovine. npr: , terorizam, vandalizam, zemljotresi, požari i poplave,

Zaključci Baselskog Odbora • Poremećaj u poslovanju i kvar sistema. npr: , kvar hardvera i softvera, telekomunikacioni problemi i prekid rada postrojenja, • Izvršavanje, isporuka i upravljanje procesima. npr: , greške u unosu podataka, propusti u upravljanju kolateralom, nepotpuna pravna dokumentacija, neovlašteni pristup računima klijenata, loše postupanje druge ugovorne strane koja nije klijent i sporovi s vanjskim izvršiocima usluga.

Prethodno stanje U prošlosti su se banke u upravljanju OR gotovo u potpunosti oslanjale na mehanizme unutrašnjih kontrola svojih poslovnih aktivnosti, koje su bile dopunjene funkcijom revizije. Iako su ti mehanizmi i dalje važni, u posljednje su se vrijeme pojavile specifične strukture i procesi kojima je cilj upravljanje OR. U tom smislu sve više organizacija dolazi do zaključka da programom upravljanja OR osigurava sigurnost i zdravlje banke, te stoga napreduju u bavljenju OR kao zasebnom klasom rizika na sličan način na koji tretiraju kreditni i tržišni rizik.

Načela upravljanja OR Razvijanje primjerene okoline za upravljanje rizikom 1. načelo: Odbor direktora treba biti svjestan glavnih aspekata OR banke kao specifične kategorije rizika kojim treba upravljati, te usvojiti i periodično preispitivati bankovni sistem upravljanja OR. Sistem treba sadržavati definiciju OR na nivou banke te postaviti načela prema kojima će se OR utvrđivati, procjenjivati, nadzirati i kontrolisati/smanjivati.

Načela upravljanja OR 2. načelo: Odbor direktora treba se pobrinuti da bankovni sistem upravljanja OR podliježe djelotvornoj i sveobuhvatnoj unutrašnjoj reviziji koju obavlja operativno nezavisno, primjereno obrazovano i sposobno osoblje. Funkcija unutrašnje revizije ne bi smjela biti direktno nadležna za upravljanje OR.

Načela upravljanja OR 3. načelo: Viša uprava (NO) treba biti nadležna za provođenje sistema upravljanja OR koji odobrava odbor direktora. Sistem treba biti dosljedno proveden unutar cijele banke, a zaposlenici na svim nivoima trebaju razumjeti svoje nadležnosti koje se odnose na upravljanje OR. Viša uprava treba biti nadležna za razvijanje politika, procesa i postupaka upravljanja OR povezanim sa svim značajnim proizvodima, procesima i sistemima banke.

Načela upravljanja OR Upravljanje rizikom: utvrđivanje, procjenjivanje, nadziranje i smanjenje/kontrolisanje rizika 4. načelo: Banke trebaju utvrditi i procijeniti inherentni OR povezan sa svim značajnim proizvodima, aktivnostima, procesima i sistemima. Banke, takođe trebaju osigurati da prije uvođenja novih proizvoda, procesa i sistema ili prije poduzimanja novih aktivnosti inherentni OR koji je s njima povezan bude podvrgnut adekvatnim postupcima procjenjivanja.

Načela upravljanja OR 5. načelo: Banke trebaju uvesti postupak redovnog nadziranja profila OR i značajnih izloženosti gubicima. Viša uprava i odbor direktora trebaju biti redovno izvještavani o informacijama koje mogu pomoći u aktivnom upravljanju OR.

Načela upravljanja OR 6. načelo: Banke trebaju imati politike, procese i postupke za kontrolisanje/smanjenje OR. Banke trebaju periodično preispitivati svoje strategije za ograničavanje i kontrolisanje rizika te, s obzirom na svoju sveukupnu sklonost riziku i profil, prilagoditi svoj profil rizika upotrebom primjerenih strategija. 7. načelo: Banke trebaju izraditi planove za vanredne situacije i planove za očuvanje kontinuiteta poslovanja kako bi osigurale svoje trajno poslovanje i ograničile gubitke ako dođe do ozbiljnog poremećaja u poslovanju.

Načela upravljanja OR Uloga supervizora 8. načelo: Bankovni supervizori trebaju zahtijevati da sve banke, bez obzira na veličinu, imaju djelotvoran sistem utvrđivanja, procjenjivanja, nadziranja i kontrolisanja/smanjenja značajnih OR u sklopu svog sveukupnog pristupa upravljanju rizikom. 9. načelo: Supervizori trebaju obavljati, direktno ili indirektno, redovno vrednovanje politika, postupaka i praksa banke povezanih s OR. Supervizori trebaju osigurati da postoje primjereni mehanizmi koji im omogućavaju da budu obaviješteni o kretanjima u bankama.

Načela upravljanja OR Uloga objavljivanja 10. načelo: Banke trebaju objavljivati dovoljno informacija kako bi učesnicima na tržištu omogućile da procijene njihov pristup upravljanju OR.

Inherentni rizik predstavlja vjerovatnoću da će se u nedostatku odgovarajućeg sistema internih kontrola u finansijskim izvještajima klijenta pojaviti materijalno značajne greške. Stoga mnoge revizorske kuće redovno procjenjuju inherentni rizik iznad 50%, a često i 100%.

Inherentni rizik Najznačajniji faktori koje treba uzeti u obzir pri procjeni inherentnog rizika su: ▪ priroda poslovanja klijenta, ▪ čestitost i iskustvo menadžmenta, ▪ rezultati revizija prošlih godina, ▪ prvo ili kontinuirano preuzimanje obaveze revizije, ▪ povezane stranke, ▪ neuobičajene transakcije, ▪ poslovni događaji koji zahtijevaju procjenu, ▪ podložnost imovine gubicima i pronevjerama, ▪ priroda pojedinih računa koji se ispituju.

Definicija ‘’Operativni rizik (OR) je rizik gubitka koji nastaju zbog: -neadekvatnih procedura i neuspješnih internih procesa, -ljudskog faktora, -sistemskih i eksternih događaja’’ Nacionalnim supervizorima prepušteno je da sami kreiraju svoje definicije ali i da ih se dosljedno pridržavaju.

Pristup Basel II Pristup Basela II OR: • Pristup baznog indikatora • Standardizovani pristup • Interni modeli banaka (Pristup razvijenog mjerenja)

Pristup Basel II Bruto prihod banke izabran (kao najmanje loš) indikator prisustva OR. -BP je najbolji indikator obima aktivnosti, -lako je dostupan i podložan verifikaciji, -uporediv među jurisdikcijama, -nije podložan cikličnosti.

Pristup baznog indikatora -pojednostavljan, praktično nema kvantifikacije izloženosti riziku, -ne koristi pouzdane podatke o nastalim gubicima, -pogodan za male, nerazvijene banke.

Pristup baznog indikatora -za izračun koristi: -zbir kamatonosnih i nekamatonosnih prihoda, i -kapitalni faktor (standardna veličina zasnovana na iskustvu)

Kalkulacija baznog indikatora KBIA =[Σ(GI 1. . . n x α)] / n KBIA=kapitalni trošak utvrđen primjenom baznog indikatora GI= pozitivan godišnji ukupan prihod iz prethodne 3 god. kao indikator izloženosti α = kapitalni faktor-15 % n= broj godina, max. 3

Standardizovani pristup Za izračun se koriste: -bruto prihod-indikator OR, -podaci po svakoj liniji poslovanja, predstavljeni kroz pondere koje određuju nacionalni supervizori (8 poslovnih linija), -nije dovoljno pouzdan sa aspekta realne procjene potrebnog ekonomskog kapitala, -ne oslanja se na podatke banke o gubicima, ne prati usklađivanje pri nastanku neočekivanih i ekstremnih događaja.

Kalkulacija standardizovanog pristupa KTSA ={Σ god 1. . . 3 max[Σ(GI 1 -8 x β 1 -8)]} / 3 KBIA=kapitalni trošak utvrđen primjenom standardizovanog pristupa GI= pozitivan godišnji ukupan prihod iz prethodne 3 god. po svakoj poslovnoj liniji, kao indikator izloženosti β = kapitalni zahtjevi za svaku liniju poslovanja preporučeni od nacionalnog supervizora u odnosu na relevantni indikator izloženosti

Kalkulacija standardizovanog pristupa Poslovne linije Beta faktori Korporativne finansije β 1 18 % Trgovanje i prodaja β 2 18 % Maloprodajno bankarstvo β 3 12 % Komercijalno bankarstvo β 4 15 % Plaćanje i saldiranje β 5 18 % Agencijske usluge β 6 15 % Upravljanje aktivom β 7 12 % Maloprodajna brokeraža β 8 12 %

Upotreba standardizovanog pristupa Kvalifikacija banke za standardizovani pristup (Basel 2004. ): • Da ima odbor direktora banke i viši menadžment koji po znanju i sposobnostima se mogu aktivno uključiti u nadziranje upravljanja OR • Da ima sistem za upravljanje OR koji je koncepcijski zdrav i koji se primjenjuje u potpunosti, • Da ima dovoljno raspoloživih resursa za korištenje ovog pristupa kod glavnih poslovnih linija kao i za oblasti kontrole i revizije

Dokaz spremnosti za standardizovano pristup -precizirati odgovornosti za upravljanje OR, -sistemski stvorena istorija podataka o OR, -redovno izvještavanje o izloženosti OR, -postojanje internih politika, kontrola i procedura, -procjena validnosti i revizija politika, -redovno preispitivanje politika od eksternog revizora.

Interne metode mjerenja -zasnovane na podacima koje banke precizno evidentiraju a supervizori odobravaju, Koristi se simulacija distribucije potencijalnih gubitaka: -distribucija potencijalnih gubitaka po učestalosti, -distribucija po veličini potencijalnih gubitaka -Putem Monte Carlo simulacije objedinjavaju se u jednu.

Tretman operativnih rizika -izbjegavanje rizika -reduciranje i dijeljenje rizika, -preuzimanje rizika.

Izbjegavanje rizika Kada ? Kada su očekivani profitni efekti djelatnosti manji od troškova preuzimanja rizika (napraviti procjene)

Reduciranje rizika Kada? Nastoji se: -smanjiti frakvencija rizične pojave, i -smanjenjiti intenzitet rizičnosti. Smjernice, pravilnici, procedure, interna kontrola

Djeljenje i transfer rizika Kada? Kada je rizik nemoguće adekvatno reducirati primjenom sistema internih kontrola. Alati: osiguranje, outsorce-ing

Basel II-kategorije OR Unutrašnja prevara: -krađa od strane zaposlenih, -nedozvoljeno korištenje programa ili podataka, -pristup povjerljivim podacima bez ovlaštenja, -ulaz u prostorije bez ovlaštenja, -zaposleni izvršava transakcije na berzi za svoj račun, -pogrešno ili zlonamjerno izvještavanje o računima.

Basel II-kategorije OR Vanjska prevara: -spoljni upad u sisteme (hakeri), -osobe van firme ulaze u povjerljive podatke, -ulaz u poslovnu zgradu bez ovlaštenja, -krađa laptopa, -kompromitacija korisničkih lozinki.

Basel II-kategorije OR Procedure za zaposlene i sigurnost na poslu: -kršanje radnih, zdravstvenih i sigurnosnih politika i procedura, -diskriminacija zaposlenih po osnovu godina i vjere.

Basel II-kategorije OR Klijenti, proizvodi i poslovne prakse: -dostavljanje podataka o klijentima van firme, -nedozvoljene transakcije na berzi sa računima klijenata.

Basel II-kategorije OR Šteta na imovini: -namjerna ili slučajna šteta na IT infrastrukturi kao rezultat terorizma, zemljotresa, vatre, poplave, vandalizma. .

Basel II-kategorije OR Poremećaji u poslovanju i kvarovi informacionog sitema: -prestanak rada programa ili servera, -zaposleni prestaju ispunjavati svoje obaveze, -odlazak zaposlenih sa ključnih pozicija u firmi, -nestanak struje, grijanja. . .

Basel II-kategorije OR Izvršavanje projekata, puštanje u pogon i rukovođenje procesima: -greška u promjeni programa koja ne dozvoljava obavljanje posla, -kompjuteri sa otvorenim pristupom informacijama, -greške o unosu podataka

OR Basel II . . . . i drugo. . . . Operativni rizik procesi organizacija -struktura -komunikacija zaposleni -naknade, beneficije, inicijativa -gubitak ključnog osoblja -obračunski rizik -transakcioni rizik -sistem interne kontrole tehnologija -sistemski rizici -IT sigurnost eksterni događaji -rizik regulative -rizik poreznih promjena -rizik nesreće

Ciljevi i pokazatelji Osnovni korak u mjerenju OR je određivanje operativnih ciljeva u banci. To pomaže da se odrede pokazatelji uspješnosti i rizika. Prvo treba odrediti operativne ciljeve i njihove pokazatelje uspješnosti i rizika na nivou banke, ( svaki sektor se rukovodi tim pokazateljima). Operativni ciljevi banke moraju da se slažu sa opštim poslovnim ciljevima banke.

Ciljevi i pokazatelji Zatim, treba odrediti operativne ciljeve i njihove pokazatelje za svaki sektor. Da bi sektor imao iste ciljeve kao i cijela banka, treba prvo provjeriti da li se svi pokazatelji uspješnosti sektora slažu sa pokazateljom rizika za cijelu banke. Pošto će pokazatelja vjerovatno biti mnogo, od liste svakog sektora treba izabrati 20 % pokazatelja koji pokrivaju 80 % OR.

Ciljevi i pokazatelji Da bi još umanjili listu pokazatelja, izabranu listu onda treba porediti sa Bazel II operativnim događajima i poslovnim djelatnostima. Konačna lista pokazatelja koja se dobije onda se koristi za mjerenje OR. Ako banka već ima uveden Sistem uravnoteženih pokazatelja (Balance Scorecard) ili planira da ga uvede, stvari postaju lakše za određivanje liste pokazatelja.

Ciljevi i pokazatelji Na kraju, ako i dalje postoji dilema koje pokazatelje uspješnosti i rizika odrediti, primjeniti interne kontrole koje postoje da bi se poštovala naložena pravila poslovanja. Interna kontrola pomaže svakom sektoru i banci da sprječi greške da se dogode i ako se dogode, šteta je ograničena. Dakle, da bi se dobila lista pokazatelja za određeni sektor, treba napraviti pokazatelj uspješnosti ili rizika za svaku internu kontrolu koja postoji u sektoru.

Obračun kapitala za operativne rizike Da bi Bazel II napredni pristup bio ispunjen, simuliraju se operativni gubici koristeći pokazatelje, i da se procjene očekivani i neočekivani operativni gubici. Korišćenjem statističkih analiza, mogu se simulirati i dodati razne vrijednosti pokazateljima da bi se predvidjeli operativni gubici. Međusobno se povezuju pokazatelji da se vidi kako jedan pokazatelj utiče na drugi.

Obračun kapitala za operativne rizike Po Bazel II standardu, očekivani operativni gubici se ne uključuju u obračun pošto se smatra da banka već planira određeni nivo kapitala za njihovo pokrivanje. Bazel II standard određuje da se samo neočekivani gubici uključe u obračun kapitala za operativne gubitke. Prema tome, za svaki pokazatelj uspješnosti sada treba dodati toleranciju za greške i novčanu vrijednost za gubitak. Ako se operativni događaj desi, a pokazatelj pokaže da je u okviru tolerancije, to je očekivani gubitak i ne mora da se uključi u obračun. Ako se događaj dogodi van zone tolerancije, onda je to neočekivani događaj i njega treba uključiti u obračun kapitala za operativne gubitke.

FBIH

ABFBi. H OR predstavlja mogućnost nastanka gubitaka za banku i negativnih efekata na kapital banke zbog: • neadekvatnih internih sistema, procedura i kontrola, • slabosti i propusta u izvršavanju poslovnih aktivnosti, • nezakonitih radnji i vanjskih događaja koji banku mogu izložiti gubitku.

Upravljanje OR obuhvata njegovu: -identifikaciju, -mjerenje, -kontrolu, -praćenje, i -formiranje adekvatnog kapitala za ovu vrstu rizika.

Kategorije operativnih rizika -rizik ljudskog faktora, -rizik neadekvatne ili nedovoljne infrastukture, -rizik tehnološke podrške (informatička podrška), -rizik operacija ili poslovnog procesa, -rizk ekstarnih događaja.

Kategorizacija OR Identifikacija OR može se vršiti po: a)linijama poslovanja -poslovanje sa privredom (corporate finance) -trgovina i prodaja (trading and sales) -poslovanje sa stanovništvom (retail banking) -komercijalno bankarstvo (commercial banking) -plaćanja i obračuni (payment and settlement) -agentski poslovi (agency services) -poslovi upravljanja imovinom (asset management) -brokerski poslovi sa stanovništvom (retail brokerage)

Kategorizacija OR b)događajima u kojima postoji izloženost OR (tzv. granulirano mapiranje OR) -interne prevare (internal fraud) – namjerne aktivnosti, (propusti) najmanje jedne osobe koja radi za banku ili u banci u svrhu sticanja vlastite koristi -eksterne prevare (external fraud) – (zlo)namjerne aktivnosti trećih lica prema banci, ( podvala, zloupotrebe i/ili izbjegavanja zakona, regulative, propisa i politike banke) -odnos prema zaposlenim i bezbjednost radnog okruženja (employment practices and workplace safety) – mogući gubici zbog neprimjenjivanja (kršenja) zakona o radu i drugih regulativa vezanih za rad, zapošljavanje, zdravstvenu i socijalnu zaštitu i bezbjednost na radnom mjestu

Kategorizacija OR -klijenti, proizvodi i poslovna praksa (clients, products and business practice) – mogući gubici zbog nenamjernih (nemarnih) propusta u ispunjavanju profesionalnih obaveza prema klijentima i/ili zbog prirode (konstrukcije) proizvoda/usluge -štete na fiksnoj imovini (damage to physical assets) – moguća oštećenja fiksne imovine (poslovne zgrade, infrastrukture i sl. ) i ljudski gubici zbog prirodnih katastrofa/nepogoda i drugih događaja

Kategorizacija OR -prekid u poslovanju i pad informacionih i drugih sistema (business disruption and system failures) – mogući gubici zbog neadekvatnosti, neefikasnosti, lošeg funkcionisanja ili pada IT sistema banke i/ili sistema javnih/spoljašnjih usluga/informacija (provajdera) -izvršenje, isporuka i upravljanje procesima (execution, delivery and process management) – mogući gubici zbog nenamjernih grešaka u procesima i/ili podršci upravljanju (uključeni su i odnosi sa poslovnim partnerima, klijentima i provajderima)

Upravljanje operativnim rizicima -posao njihove identifikacije i mapiranja je složen, -osnovna strategija usmjerena na upravljanje procesima, -osnovni zadatak, rano prepoznavanje rizičnih događaja

Sistem upravljanja Banka je dužna da uspostavi sistem za upravljanje svojim OR koji, kao minimum, mora da obuhvati: 1. politike i procedure za upravljanje OR kojim će osigurati: a) identifikaciju postojećih potencijalnih izvora OR i izvora koji mogu nastati uvođenjem novih poslovnih proizvoda, sistema ili aktivnosti; b) mjerenje OR, tačnom i pravovremenom procjenom tog rizika; c) kontinuirana kontrola OR koja osigurava njegovo održavanje do nivoa koji je prihvatljiv za rizični profil banke, njegovo smanjenje i svođenje na najmanju moguću mjeru;

Sistem upravljanja d) kontinuirano praćenje OR analizom stanja, promjena i trendova izloženosti banke tom riziku; i e) formiranje iznosa minimalnog adekvatnog kapitala za zaštitu od nastanka gubitaka iz osnova OR (MAKOR).

Sistem upravljanja 2. jasno definisana ovlaštenja i linije odgovornosti u procesu preuzimanja i upravljanja OR; 3. sistem kojim se osigurava da se svi zaposlenici banke upoznaju sa svojim obavezama u procesu upravljanja OR; 4. sistem za redovno izvještavanje NO i uprave banke o funkcioniranju sistema za upravljanje OR; i 5. obavezu periodičnog preispitivanja kao i obavezu NO banke da najmanje jednom godišnje vrši analizu i ocjenu adekvatnosti uspostavljenog sistema za upravljanje OR banke.

Funkacija upravljanja OR -jasna definicija zadataka svih učesnika u procesima -obaveza da se svim rizicima upravlja na svim nivoima

Nivoi upravljanja -board direktora, -stariji menadžment, -menadžeri pojedinih linija poslovanja.

Ocjena izloženosti Alati: -interne i eksterne baze podataka o rizičnim događajima, -samoprocjenjivanje, -ključni indikatori rizika i ključni indikatori efekata, -scenario analiza, pretpostavljanje rizičnih događaja, . . .

Identifikacija OR/ABF U postupku identifikacije potencijalnih izvora OR, banka je dužna da identifikuje rizike koji proizlaze naročito iz: 1. neadekvatnog informacionog i drugih sistema u banci; 2. poremećaja u poslovanju i kvarova u sistemima kao što su kvarovi vezani za informacionu tehnologiju, telekomunikacioni problemi, prekidi u radu, i sl. ; 3. problemi adekvatnog integrisanja ili održivosti informacionih i drugih sistema, u slučaju razvoja mreže različitih organizacionih dijelova i/ili statusnih promjena banke;

Identifikacija OR/ABF 4. nezakonitosti i neadekvatnih postupanja zaposlenika banke, kao što su: -pronevjera i neovlašteni pristup računima klijenata, -zloupotreba povjerljivih informacija, -davanje lažnih ili pogrešnih informacija o stanju banke, -neažurnost u izvršavanju poslova, greške pri unosu podataka, -nepridržavanje dobrih poslovnih praksi u radu i sl. ; 5. činjenja ili nečinjenja koji mogu ili jesu uzrokovala sudske i druge sporove protiv banke;

Identifikacija OR/ABF 6. vanjskih nezakonitih radnji, kao što su: -pljačke, -neovlašteni ulazak u bazu podataka banke, uključujući i neovlašteno korištenje bankomata, -neovlašteni prijenos sredstava, -nezakonito pribavljanje dokumenata banke, i sl. ; 7. šteta na fizičkoj aktivi i događaja koji se ne mogu predvidjeti, kao što su: -elementarne i druge nepogode, -terorizam, i sl.

Procjena rizika Banka je dužna da nakon identifikacije konkretnog izvora OR, primjenom odgovarajućih metoda mjerenja, izvrši adekvatnu procjenu nivoa tog rizika. U zavisnosti od prirode i nivoa konkretnog OR, banka je dužna da primjeni odgovarajuće metode za njegovo: -praćenje, -kontrolu, -smanjenje, i -otklanjanje.

Procjena rizika Izvore OR banka je dužna da prati po njenim organizacionim dijelovima, naročito po slijedećim segmentima: 1. poslovanje sa privredom; 2. poslovanje sa finansijskim institucijama; 3. poslovanje sa stanovništvom; 4. agentski poslovi; 5. poslovi platnog prometa; 6. poslovi upravljanja imovinom; 7. poslovi trgovine finansijskim instrumentima, itd.

Procjena rizika Banka je dužna da prije uvođenja novih proizvoda, sistema i procedura ili prije preduzimanja novih poslovnih aktivnosti, identifikuje i procijeni OR koji je sa njima povezan ili bi mogao biti povezan. Banka je dužna da osigura dnevne sigurnosne kopije elektronskih podataka o obavljenim poslovnim transakcijama i knjigovodstvenim promjenama i njihovo sigurno čuvanje na sigurnoj rezervnoj lokaciji.

Plan za vanredne situacije Obaveza banke: sačiniti plan za vanredne situacije u pisanoj formi sa ciljem osiguranja kontinuiranog rada banke u slučaju nastanka ozbiljnih poremećaja u poslovanju uzrokovanih situacijama koje su van kontrole banke, kao i za slučaj nesavjesnog rada zaposlenika, posebno zaposlenika sa visokim stepenom raspolaganja sredstvima i upravljanja bankom.

Plan za vanredne situacije Sadržaj plana: 1. ključne poslovne aktivnosti za koje je neophodno očuvati kontinuitet obavljanja i u neočekivanim vanrednim situacijama; 2. pretpostavljeni scenariji mogućih događaja koji mogu uzrokovati prekid ključnih poslovnih procesa u banci;

Plan za vanredne situacije 3. alternativna rješenja za očuvanje kontinuiteta obavljanja ključnih poslovnih aktivnosti u vanrednim situacijama; 4. aktivnosti za uspostavljanje redovnog funkcioniranja poslovanja, a posebno osiguranja funkcioniranja informacionog sistema banke, i sl. Plan je banka dužna testirati najmanje jednom godišnje, a rezultate tog testiranja da u pisanoj formi prezentira NO banke.

Izračunavanje rizika Banka je dužna da utvrdi metodologiju za interno evidentiranje svih gubitaka, po kategorijama utvrđenim prema njihovim izvorima i formira posebnu bazu podataka o svim nastalim gubicima po osnovu OR. Kada gubici nastali iz OR ukupno prekorače iznos od 2% neto kapitala banke, banka je dužna da o tome obavijesti FBAnajkasnije u roku 8 dana od dana prekoračenja navedenog iznosa.

Izračunavanje rizika Obaviještenje mora da sadrži: -strukturu izvora-uzroka sa pripadajućim iznosima gubitaka, -aktivnosti koje je banka već preduzela za pokriće tih gubitaka kao, i -aktivnosti koje je banka već preduzela ili namjerava preduzeti sa navođenjem konkretnih rokova za njihovo preduzimanje u cilju sprječavanja nastanka sličnih gubitaka u budućnosti.

Izračunavanje rizika Banka je dužna da za potencijalne gubitke po osnovu izloženosti OR, formira i održava iznos MAKOR-a. Iznos MAKOR banka je dužna da obračunava i formira po "Metodu osnovnog pokazatelja" koji čini 15% prosječnog iznosa bruto dobiti ostvarene u posljednje 3 poslovne godine.

Izračunavanje rizika Ovaj obračun se vrši po slijedećoj formuli: KOR ={Σ( G BD X α)] / n} Pri čemu su: KOR = potreban minimalni iznos kapitala za izloženost banke OR GBD = godišnja bruto dobit koju čine neto kamatni prihod i neto nekamatni prihod n = broj godina u posljednje 3 godine kada je dobit bila pozitivna a = 15% koji predstavlja faktor koji je odredio Bazelski komitet za superviziju banaka

Izračunavanje rizika Pri obračunu prosjeka u formuli, iznos za bilo koju od posljednje 3 godine u kojoj je godišnja bruto dobit bila negativna ili nula (banka nije ostvarila dobit) treba isključiti i iz brojioca i iz imenioca formule.

Izračunavanje rizika U slučaju kada banka, utvrdi potrebu za većim iznosom kapitala ili je već nastao gubitak iz osnova OR u iznosu većem od iznosa dobijenog po obračunu primjenom formule dužna je da u svrhu svoje zaštite od OR formira MAKOR u tako utvrđenom ili nastalom većem iznosu. FBA može banci da naloži da formira veći iznos MAKOR za potencijalne ili već nastale gubitke po osnovu OR, kada ocijeni da iznos MAKOR koji je banka formirala nije formiran u skladu sa Odluke FBA.

Izračunavanje rizika U svrhu obračuna i izvještavanja ukupne visine svojih rizikom ponderisanih stavki banka je dužna da izvrši poseban dodatni obračun ponderisanog OR (POR) banke tako što će iznos MAKOR-a dobijen na prethodni način - pomnoži sa brojem 8, 33 (recipročna vrijednost minimalne stope neto kapitala dobijena po formuli 100% : 12% = 8, 33). Iznos POR banke dobijen na način kod izračuna stope netokapitala (adekvatnosti kapitala), banka je dužna da doda iznosu Rizika ponderisane aktive i kreditnih ekvivalenata i ponderisanom tržišnom riziku (PTR).

1 INTERNE PREVARE 1. 1. 1 Neprijavljene transakcije 1. 1. 2 Neovlaštene transakcije 1. 1 Neovlaštene aktivnosti Gubici zbog kršenja zakona, ugovora, internih pravila i procedura 1. 1. 3 Pogrešno obavljene operativne aktivnosti 1. 1. 4 Pogrešno utvrđivanje i izvještavanje o pozicijama 1. 1. 5 Namjerno manipulisanje dokumentacijom 1. 1. 6 Zloupotreba povjerene odgovornosti 1. 1. 7 Ostalo 1. 2. 1 Kreditna prevara, podmićivanje i/ili pranje novca 1. 2. 2 Iznuđivanje, pronevjera i/ili pljačka 1. 2. 3 Zloupotreba imovine banke (fondova, vrijednosti) 1. 2 Krađe i prevare Gubici zbog aktivnosti čiji je cilj sticanje vlastite (ekonomske) koristi 1. 2. 4 Zlonamjerno uništavanje (oštećenje) imovine banke 1. 2. 5 Ostale zlonamjerne i nelegalne aktivnosti (zloupotreba čeka, preuzimanje računa, neplaćanje poreza) 1. 2. 6 Falsifikovanje 1. 2. 7 Insajderska trgovina (trgovanje upućene osobe iz banke za vlastiti račun) 1. 2. 8 Ostalo 1. 3 Unutrašnji sistem bezbjednosti Gubici zbog nedozvoljenog pristupa i korištenja informacija iz IT sistema banke, zlonamjerna manipulacija, oštećenje i/ili brisanje podataka 1. 3. 1 Zloupotreba IT sistema 1. 3. 2 Manipulisanje fajlovima i programima 1. 3. 3 Loša upotreba povjerljivih podataka 1. 3. 4 Ostale vrste kompjuterskog kriminala (hakeri i sl. ) 1. 3. 5 Ostalo

2 EKSTERNE PREVARE 2. 1. 1 Falsifikovanje 2. 1 Krađe i prevare Gubici zbog aktivnosti čiji je cilj sticanje vlastite (ekonomske) koristi 2. 1. 2 Provala / krađa (neovlašteno korištenje bankomata, . . . ) 2. 1. 3 Zloupotreba čeka (izdavanje čeka bez pokrića) 2. 1. 4 Prevara 2. 1. 5 Ostalo 2. 2. 1 Oštećenje aplikacija od strane hakera (probijanje firewall-a) 2. 2 Spoljašnji sistem bezbjednosti Gubici zbog nedozvoljenog pristupa ili pokušaja pristupa IT sistemu banke s ciljem da se manipulišu/prisvoje/oštete podaci (resursi) banke 2. 2. 2 Nedozvoljen pristup aplikacijama 2. 2. 3 Oštećenje mrežnog servera (web servera, mail servera, proxy servera, . . . ) od strane hakera 2. 2. 4 Upad kompjuterskih virusa i crva 2. 2. 5 Ostale vrste kompjuterskih zločina (krađa informacija i sl. ) 2. 2. 6 Ostalo 2. 3 Druge namjerne aktivnosti Gubici zbog namjerno prouzrokovane štete banci ali bez lične koristi za počinioca štete 2. 3. 1 Vandalizam 2. 3. 2 Oštećenje imovine banke 2. 3. 3 Ostalo

3 ODNOS PREMA ZAPOSLENIM I BEZBJEDNOST RADNOG OKRUŽENJA 3. 1. 1 Potraživanja zaposlenih vezana za kompenzacije (naknade) i beneficije (koristi) i/ili nelegalan prestanak radnog odnosa 3. 1 Odnos prema zaposlenim Gubici zbog neprimjenjivanja zakona o radu 3. 1. 2 Organizovane sindikalne/radničke aktivnosti (štrajk, agitovanje, . . . ) 3. 1. 3 Ostalo 3. 2 Bezbjednost radnog okruženja Gubici zbog neprimjenjivanja zakona i regulativa vezanih za zdravstvenu i socijalnu zaštitu i bezbjednost na radnom mjestu 3. 3 Različitost i diskriminacija Gubici zbog bilo kakvog oblika diskriminacije zaposlenih 3. 2. 1 Fizičke povrede zaposlenih 3. 2. 2 Kršenje pravila o zdravlju i bezbjednosti zaposlenih 3. 2. 3 Ostalo 3. 3. 1 Potraživanja vezana za sve oblike diskriminacije zaposlenih/kandidata za posao (pol, religija, dob, nacionalnost, rasa, . . . )

4 KLIJENTI , PROIZVO DI I POSLOVN A PRAKSA 4. 1. 1 Kršenje tajnosti podataka 4. 1. 2 Kršenje pravilnika o ponašanju 4. 1 Prikladnost, transparentnost i povjerljivost Gubici zbog neprofesionalnog ponašanja prema klijentima 4. 1. 3 Kršenje privatnosti klijenata 4. 1. 4 Netransparentnost prema klijentima 4. 1. 5 Zloupotreba povjerljivih podataka o klijentima 4. 1. 6 Nedozvoljena trgovinska praksa (agresivna prodaja) 4. 1. 7 Manipulacije računima da bi se kreirale fiktivne operacije 4. 1. 8 Ostalo 4. 2. 1 Kršenje antimonopolske regulative 4. 2. 2 Tržišna manipulacija i/ili nedozvoljena trgovina (trži šna praksa) 4. 2. 3 Obavljanje nelicencirane aktivnosti 4. 2 Neadekvatna poslovna praksa Gubici zbog neodgovarajuće tržišne prakse 4. 2. 4 Insajderska trgovina (trgovanje upućene osobe iz banke za račun banke) 4. 2. 5 Nepridržavanje postojećih zakonskih propisa o bankarskom poslovanju 4. 2. 6 Diskriminacija klijenata 4. 2. 7 Kršenje zakona o sprečavanju pranja novca 4. 2. 8 Ostalo 4. 3 Greške u proizvodima/uslugama Gubici zbog grešaka u proizvodima/uslugama ili modelima i/ili greške u ugovorima 4. 3. 1 Greške u modelima 4. 3. 2 Nejasne ili kažnjive klauzule ugovora 4. 3. 3 Ostalo

4 KLIJENTI , PROIZVO DI I POSLOVN A PRAKSA 4. 4 Selekcija, sponzorstvo i izloženost prema klijentima Gubici zbog grešaka u selekciji klijenata, analizi potreba klijenata i/ili zbog prekoračenja limita izloženosti prema klijentima 4. 5 Savjetodavne aktivnosti Gubici zbog sporova sa klijentima u vezi sa savjetodavnim aktivnostima, ako su te aktivnosti regulisane ugovorom 4. 6 Nezgode i opšta bezbjednost Gubici zbog nezgoda koje prouzrokuju štetu ili povrede trećim licima 4. 4. 1 Greške u selekciji i ispitivanju klijenata (suprotno pisanim pravilima i procedurama) 4. 4. 2 Prekoračenje limita izloženosti prema klijentima 4. 4. 3 Ostalo 4. 5. 1 Sporovi u vezi sa obavljanjem savjetodavnih aktivnosti i/ili žalbe na informacije i savjetodavne aktivnosti banke 4. 5. 2 Ostalo 4. 6. 1 Fizičke povrede klijenata unutar prostorija banke 4. 6. 2 Štete ili povrede trećih lica učinjene vozilima banke 4. 6. 3 Ostalo

5 ŠTETE NA FIKSNOJ IMOVINI 5. 1 Prirodne katastrofe (oluje, tornada, mrazevi, poplave, erupcije, zemljotresi, odroni, . . . ) Oštećenja fiksne imovine i ljudski gubici zbog prirodnih katastrofa 5. 1. 1 Oštećenja fiksne imovine zbog prirodnih katastrofa 5. 1. 2 Ljudski gubici zbog prirodnih katastrofa 5. 1. 3 Svi troškovi i dugovi zbog prekida i obnove uzrokovanih prirodnim katastrofama 5. 1. 4 Ostalo 5. 2 Katastrofe uzrokovane ljudskim faktorom (terorizam, rat, neredi, štrajkovi, . . . ) Oštećenja fiksne imovine i ljudski gubici zbog katastrofa uzrokovanih ljudskim faktorom 5. 2. 1 Oštećenja fiksne imovine zbog katastrofa prouzrokovanih ljudskim faktorom 5. 3 Zakonski i politički rizik Gubici zbog političkih i zakonskih (pravnih) promjena 5. 3. 1 Zakonske promjene 5. 2. 2 Ljudski gubici zbog katastrofa prouzrokovanih ljudskim faktorom 5. 2. 3 Svi troškovi i dugovi zbog prekida i obnove usljed katastrofa prouzrokovanih ljudskim faktorom 5. 2. 4 Ostalo 5. 3. 2 Političke promjene 5. 3. 3 Ostalo

6 PREKID U POSLOVANJU I PAD INFORMACIONIH I DRUGIH SISTEMA 6. 1 Neadekvatnost, neefikasnost, loše funkcionisanje ili pad IT sistema Gubici vezani za tehničke probleme IT sistema: neraspoloživost, neefikasnost, pad ili poremećaj hardvera, softvera i/ili telekomunikacije 6. 1. 1 Nedostupnost aplikacija 6. 1. 2 Nemogućnost primanja i slanja podataka 6. 1. 3 Pogrešna automatska obrada podataka (netačni i nepotpuni podaci) 6. 1. 4 Nedostupna ili neblagovremena sistemska ponuda podataka 6. 1. 5 Pad sistema (aplikacija, mreža, . . . ) 6. 1. 6 Ostalo 6. 2 Neraspoloživost provajdera javnih/spoljašnjih usluga (električne energije, telefonskih usluga, komunalnih usluga, . . . ) Gubici zbog poremećaja u funkcionisanju izvršilaca javnih/spoljašnjih usluga 6. 2. 1 Pad sistema javnih usluga 6. 2. 2 Ostalo

7 IZVRŠENJE, ISPORUKA I UPRAVLJAN JE PROCESIMA 7. 1. 1 Loša komunikacija 7. 1. 2 Greške pri unosu podataka/održavanju i/ili greške zbog preopterećenosti 7. 1. 3 Propuštanje rokova i drugih preuzetih obaveza 7. 1 Upravljanje procesima, obuhvatanje i izvršavanje transakcija Gubici zbog grešaka u upravljanju procesima, obuhvatanju i izvršavanju transakcija 7. 1. 4 Neispunjavanje drugih zadataka 7. 1. 5 Računovodstvene greške 7. 1. 6 Neoperativnost modela/sistema 7. 1. 7 Propusti u upravljanju kolateralom 7. 1. 8 Propusti u isporuci 7. 1. 9 Greške kod čuvanja podataka 7. 1. 10 Ostalo 7. 2 Nadzor i izvještavanje Gubici zbog neažurnog/netačnog izvještavanja (javnosti, FBA, CB Bi. H) ili nepreciznog/netačnog eksternog izvještaja 7. 2. 1 Propusti u obaveznom izvještavanju 7. 3 Prijem klijenta i adekvatnost dokumentacije Gubici zbog propusta u vezi sa dokumentacijom klijenta 7. 3. 1 Nepotpuna dokumentacija (dosije) klijenta 7. 2. 2 Netačni eksterni izvještaji 7. 2. 3 Ostalo 7. 3. 2 Nepotpisan ili nekorektno popunjen dokument klijenta 7. 3. 3 Ostalo

7 IZVRŠENJE, ISPORUKA I UPRAVLJAN JE PROCESIMA 7. 4. 1 Neovlašten pristup računu klijenta 7. 4. 2 Netačni podaci o klijentu (nastali gubici) 7. 4 Vođenje računa klijenta Gubici zbog grešaka u vođenju računa klijenata 7. 5 Poslovni partneri Gubici zbog grešaka/odlaganja u poravnanju transakcija od strane poslovnih partnera (druge ugovorne strane koja nije klijent) 7. 6 Prodavci i dobavljači (provajderi) Gubici zbog sporova sa prodavcima i dobavljačima ili zbog njihovog bankrotstva 7. 4. 3 Gubitak nastao zbog nemara za klijentova sredstva (šteta koja mu je pričinjena) 70404 – Ostalo 7. 5. 1 Loš rad poslovnih partnera 7. 5. 2 Sporovi sa poslovnim partnerima 7. 5. 3 Ostalo 7. 6. 1 Loš rad prodavaca i dobavljača 7. 6. 2 Sporovi sa prodavcima i dobavljačima 7. 6. 3 Ostalo