Эффективный контроль второй линии защиты

Автор: Jonas Osman Abdelghafour.

Термин «эффективный контроль» (effective challenge) встречается почти в каждом надзорном документе по корпоративному управлению и почти в каждом положении о функциях риск-менеджмента. Это также одно из наименее подтверждаемых доказательствами понятий в финансовых услугах, потому что артефакты, которые создаёт фирма — списки участников, служебные записки по итогам проверок, протоколы комитетов, — доказывают, что контроль имел место, но не то, что он был эффективен. Различающий тест проще и одновременно сложнее: может ли функция указать на решения, которые изменились именно благодаря ей?

Четыре условия

Компетентность. Проверяющий, не понимающий методику, не может её оспорить и по умолчанию сведёт всё к вопросам процесса. Это самая распространённая причина, по которой валидация превращается в аудит полноты документации. Это также самое дорогое условие для выполнения, и фирмам, недоинвестирующим в него, не стоит удивляться, что вторая линия превращается в контрольную точку комплаенса.

Независимость с полномочиями. Структурная независимость — линия подчинения, бюджет, оценка результативности — необходима, но недостаточна. Функция должна иметь возможность устанавливать условия, ограничивать использование или блокировать внедрение. Если её результат носит рекомендательный характер, а бизнес сам решает, принимать его или нет, контроль превращается в предложение.

Доступ. К данным, коду, документации и людям, создавшим объект проверки. Ограниченный доступ превращает проверку в интервью, а договорённости с поставщиками, лишающие доступа, должны запускать компенсирующее тестирование, а не снижение стандарта.

Статус. Воспринимает ли высшее руководство выводы функции как решения или как переговорную позицию. Это культурный фактор, и он виден по одной метрике: как часто выводы понижаются в статусе или продлеваются без новых доказательств.

Фокус на существенности, а не на полноте

Самый дефицитный ресурс второй линии — время экспертов, и оно регулярно тратится не на то. Повторное выполнение расчётов доказывает арифметику. Проверка наличия всех разделов документации доказывает соблюдение формата. Продуктивная повестка гораздо у́же: определить два-три допущения, которые определяют результат, проверить, как результат меняется при их изменении, и разобраться, подтверждают ли их доказательства.

Для большинства моделей это означает репрезентативность данных, поведенческие или экспертные параметры, доминирующие в результате, качество работы в тех сегментах и условиях, которые важны коммерчески, и честность заявленных ограничений. Проверка, дающая три вывода по этим пунктам, стоит больше, чем проверка, дающая тридцать выводов по оформлению.

Сделайте контроль видимым

С точки зрения надзорного органа незафиксированный контроль не имел места. Практические механизмы включают журнал контроля, фиксирующий поднятый вопрос, ответ и его разрешение; зафиксированное несогласие в случаях, когда позиция второй линии не была принята, с указанием ответственного лица, принявшего решение; выводы с рейтингами существенности, владельцами и сроками, отслеживаемые до закрытия; и условия, прилагаемые к одобрениям, чтобы ограничения на использование были обязательными к исполнению, а не декларативными.

Метрики, показывающие, работает ли это

• Доля проверок, дающих существенные выводы, — значение, близкое к нулю, говорит либо о необычно хорошей первой линии, либо о неэффективной второй, и стоит знать, о чём именно.
• Возраст открытых выводов и частота их продления; повторные продления без новых доказательств — самый явный сигнал сбоя.
• Частота зафиксированного несогласия и то, как оно было разрешено.
• Доказуемо изменённые решения: отказанные одобрения, наложенные условия, ограниченное использование, отложенные внедрения.
• Повторяющиеся выводы в разных проверках, свидетельствующие о том, что устранение недостатков носит косметический характер.

Типичные режимы отказа

Эффективный контроль рушится предсказуемыми способами. Он превращается в фильтр, применяемый слишком поздно, когда коммерческие обязательства делают отказ непрактичным. Он поглощается графиком реализации проекта, из-за чего интересы проверяющего совпадают с датой запуска. Он размывается, когда второй линии передают ответственность за результаты первой линии, разрушая независимость в обмен на краткосрочную мощность. Или он тихо выводится из объёма при сокращении ресурсов на основании того, что первая линия «созрела», — суждение, проверить которое можно только после того, как что-то уже пошло не так.

Функции, справляющиеся с этим успешно, как правило, похожи друг на друга: технически убедительные, вовлечённые на раннем этапе, намеренно узко сфокусированные, не стесняющиеся фиксировать несогласие и оцениваемые по результатам, а не по объёму проделанной работы. Всё остальное — документация.

Основные источники: PRA SS1/23 о принципах управления модельным риском; руководящие принципы EBA по внутреннему управлению; руководство Базельского комитета по принципам корпоративного управления для банков.