Risikobasert tilsyn utvikling av nytt verktøy

Transkript

1 Kapittel 12 ERIK LIND IVERSEN Risikobasert tilsyn utvikling av nytt verktøy Erik Lind Iversen er tilsynsrådgiver og nestleder i Avdeling for finans- og forsikringstilsyn i Kredittilsynet. 1. Bakgrunnen Risikobasert tilsyn er en tilsynsmetode hvor tilsynsmyndighetene forsøker å identifisere de viktigste risikoene en institusjon står overfor. Hensikten er å finne ut hvilken risikoeksponering institusjonene har, og hvordan disse risikoene styres og kontrolleres. Metoden ble først utviklet i USA på 1980-tallet, fordi problemer i en rekke banker der gjorde det nødvendig å tenke nytt. Inspeksjoner som tidligere i stor grad var manualstyrt, transaksjonsorientert og svært ressurs- og tidkrevende, ble lagt om til å konsentrere oppmerksomheten om de viktigste risikoene i den enkelte institusjon. Dette ble gjort for å utnytte knappe ressurser best mulig. I Kredittilsynet ble det i forbindelse med arbeidet med strategiplanen vedtatt å starte et strategisk prosjekt, Målretting av tilsynsarbeidet mot viktige risikoområder. Dette arbeidet besto blant annet i en kartlegging av tilsynsarbeid og metoder i andre land som USA, Storbritannia og de øvrige nordiske land. Samtidig ble det klart at arbeidet med de nye kapitaldekningsreglene Basel II 1 også ville inneholde nye krav til tilsynsmyndighetene gjennom Pilar II 2 som trakk i retning av et mer risikobasert tilsyn. Som et resultat av dette prosjektet ble det vedtatt å legge om tilsynsmetodene mot et risikobasert tilsyn. 2. Om arbeidet med å utvikle det risikobaserte tilsyn Utviklingen av risikobasert tilsyn kunne i utgangspunktet skje på ulike måter. Det var mulig å benytte konsulentselskaper, kopiere opplegg fra andre lands tilsynsmyndigheter eller man kunne gå den lange veien og utvikle det risikobaserte tilsyn på egen hånd. Det ble besluttet å 1 Nye retningslinjer for kapitaldekning fra Baselkomiteen for banktilsyn. 2 En del av det nye kapitaldekningsregelverket som omhandler vurdering av samlet kapitalbehov og individuell tilsynsmessig oppfølging. 153

2 utvikle det risikobaserte tilsyn ved å benytte egne krefter. Det ble ansett som viktig at brukerne av det nye verktøyet også var med på utvikle det. Nytt tilsynsverktøy skulle ikke fremstå som en revolusjon, og det som var bra med det tidligere tilsynsarbeidet skulle tas med inn i det nye opplegget. Det ble nedsatt ulike interne arbeidsgrupper for å utarbeide opplegg for de ulike risikotyper eller såkalte risikomoduler. Denne beslutningen bygget også på erfaringer fra andre land som hadde valgt å kjøpe inn nytt tilsynsverktøy fra konsulentselskaper og som fikk problemer med å få aksept for nye tilsynsmetoder hos de ansatte. Det ble vurdert som helt sentralt at det nye tilsynsverktøyet måtte ha en sterk forankring i egen organisasjon. De viktigste risikoene for finansinstitusjoner er kreditt-, markeds-, likviditets- og operasjonell risiko. For å kunne vurdere de blandede konsernene, ble det senere nedsatt en arbeidsgruppe for forsikringsrisiko, det vil si risikoen for at premiene ikke dekker erstatningene. Arbeidsgruppene skulle utarbeide moduler for den enkelte risiko som skulle sette Kredittilsynet i stand til å kartlegge risikonivå og styring og kontroll i den enkelte institusjon. 3. Tilknytningen til Basel II og kapitaldekningsdirektivet (CRD 3 ) Et av formålene med det nye kapitaldekningsregelverket Basel II, er å bedre risikostyring og kontroll i finansinstitusjonene. Regelverket inneholder derfor både insentiver og krav som skal bidra til dette. Pilar II er basert på fire hovedprinsipper: Institusjonene skal ha en prosess for å vurdere samlet kapitalbehov i forhold til risikoprofil og en strategi for å opprettholde sitt kapitalnivå. Tilsynsmyndigheten skal evaluere institusjonens bedømning av kapitalbehovet og dens interne kapitalvurderingsprosess, og treffe tiltak om nødvendig. Tilsynsmyndigheten skal legge til grunn at institusjonene har en kapitaldekningsgrad som ligger over minimumskravet til kapitaldekning. Tilsynsmyndigheten skal gripe inn på et tidlig stadium for å forhindre at kapitalen faller under det minimumsnivå som kreves for å ivareta institusjonens risikoeksponering og treffe tiltak dersom nivået på ansvarlig kapital ikke opprettholdes. Disse fire hovedprinsippene er også nedfelt i kapitaldekningsdirektivet og i lov og forslag til forskrifter i Norge som vil iverksettes fra 1. januar Dette betyr at alle institusjoner må etablere en prosess for å vurdere sitt behov for ansvarlig kapital i forhold til sin risikoprofil. De viktigste risikoene må identifiseres, måles, overvåkes, styres og kontrolleres av den enkelte institusjon. En beskrivelse av denne prosessen og resultatene av den skal årlig oversendes Kredittilsynet for en nærmere vurdering. 3 Kapitaldekningsdirektivene fra EU. 2006/48/EC og 2006/49/EC. 154

3 Kredittilsynet skal gi en tilbakemelding til den enkelte institusjon om kapitaldekningen anses som tilfredsstillende. Innen EU kom den nye strukturen for utvikling av regelverk for finanssektoren etter Lamfalussy-modellen 4 på plass i På banksiden er nivå 3-komiteen CEBS 5 sentral for utviklingen. Et av målene for CEBS er tilnærming av tilsynsmetodene i Europa, og i regi av CEBS blir det utarbeidet en rekke retningslinjer i forbindelse med det nye kapitaldekningsregelverket. Dette for også å gjøre implementeringen mest mulig lik. Det fremgår av disse retningslinjene at det forventes at tilsynsmyndighetene har utviklet et risikobasert tilsynsverktøy for å vurdere institusjoner under tilsyn. Risikovurderingssystemet RAS 6 skal dekke alle relevante risikoer og styringen med og kontrollen av disse. Eksponering og styring og kontroll skal vurderes separat. Vurderingene skal baseres på både kvantitative og kvalitative faktorer. Det er et mål å gjøre resultatene av vurderingene sammenliknbare mellom de ulike institusjoner. Det skal etableres opplegg for kvalitetskontroll som sikrer kvalitet og konsistens i risikovurderingene. Kredittilsynet har oppnevnt et eget panel som skal sørge for denne kvalitetskontrollen. Tilsynsmyndighetene skal benytte disse risikovurderingene ved gjennomgangen av institusjonens egne vurderinger av kapitalbehov (ICAAP) 7. Det risikobaserte tilsynsverktøyet i Norge anses å oppfylle de krav som CEBS setter til et slikt system. 4. Nærmere om modulene Kredittilsynet har utarbeidet moduler for vurdering av: Kredittrisiko Markedsrisiko Likviditetsrisiko Operasjonell risiko Forsikringsrisiko Hver modul består av to deler. En for vurdering av institusjonenes risikonivå og en for vurdering av styring og kontroll av den aktuelle risiko. Modulene bygger i hovedsak på internasjonale best practice -standarder og tilsvarende opplegg fra andre lands tilsynsmyndigheter, men også erfaringer fra tilsynsarbeidet. Mest sentrale her er anbefalingene fra Basel og etter hvert anbefalingene fra CEBS. Risikonivået graderes henholdsvis som lav, moderat, betydelig og høy risiko, mens kvaliteten på styring og kontroll graderes som god, tilfredsstillende, mindre tilfredsstillende og ikke tilfredsstillende. Graderingen er viktig for Kredittilsynet ut i fra prioritering og planleggingsformål. Det har vært en del diskusjon når det gjelder å la den enkelte institusjon få kjennskap til sine graderinger. For mye oppmerksomhet rundt selve graderingen kan stenge for en diskusjon om begrunnelsene for den, som bør være sentrale i dialogen med institusjonene. Det er viktigere 4 Forslag til ny komitéstruktur i EU. 5 Committee of European Banking Supervisors 6 Risk Assessment System 7 Internal Capital Adequacy Assessment Process 155

4 å redusere en eventuell høy risikoeksponering og å bedre svakheter i styring og kontroll enn å diskutere hva som er korrekt gradering. I Samlet Risikovurdering for 2005 ble det likevel valgt å gå åpent ut med graderingene for både eksponering og styring og kontroll, uten at det ble noen hovedsak i den etterfølgende dialog. Modulene for kreditt, markeds- og likviditetsrisiko er tilgjengelige på Kredittilsynets nettsted. Kredittrisiko Formål Formålet med eksponeringsdelen er å: Kartlegge og vurdere risikonivået i kredittporteføljen. Kartleggingen vil omfatte kategorisering av kredittengasjementer ut fra sannsynlighet for mislighold, vurdering av sikkerheter og anslag for tap. I tillegg vurderes diversifisering og konsentrasjon i kredittporteføljen. Kartlegge og vurdere om engasjementer er verdsatt forsvarlig det vil si vurdering av om det er behov for ytterligere økonomisk kapital for å dekke tapspotensialet som det ikke er gjort tilstrekkelig nedskrivninger for. Vurdere om institusjonen priser risiko riktig. Kredittrisikomodulen er bygd opp etter et mønster hvor første fase består i å kartlegge og beskrive institusjonens/enhetens risikosituasjon ut fra den dokumentasjon og klassifisering av portefølje som institusjonen selv anvender. I denne fasen benyttes den informasjon som innhentes gjennom varslet, samt regnskapstall som institusjonen regelmessig innrapporterer som del av dokumentbasert tilsyn. Deretter gjøres en selvstendig analyse for å danne et bilde av den faktiske risiko i porteføljen. Viktige hjelpemidler eller verktøy i denne fasen er SEBRA 8 -modellen og gjennomgang av enkeltsaker på stikkprøvebasis. Eksponeringsdelen inneholder fem kapitler: Overordnet forretningsposisjon, konsentrasjon/diversifisering, bedriftsmarked, personmarked og porteføljes robusthet. Styrings- og kontrolldelen av kredittrisikomodulen er delt i seks kapitler: Strategi og policies Organisering og ansvarsforhold rutiner og prosedyrer Målemetoder Overvåkning og rapportering Uavhengig kontroll Styrets rolle Vurderingsmetodene i dette dokumentet er hentet fra Basel-dokumenter, men bygger også på erfaringer fra tilsynsarbeidet. Markedsrisiko Eksponeringsdelen av markedsrisikomodulen behandler aksjer, renter og valuta. I utgangspunktet beregnes risikoen ut i fra institusjonenes egne vedtatte rammer. Vurderingen 8 System for EDB-basert regnskapsanalyse, utviklet av Norges Bank. 156

5 baseres på de tre risikofaktorene: Eksponering, Risikospredning og Markedslikviditet. Eksponeringen beregnes ved hjelp av en stresstest med nærmest definerte verdiendringer i aksje-, rente- og valutamarkedene. Risikospredning og markedslikviditet er basert på kvalitative vurderinger. Graderingen er den samme som i kredittrisikomodulen. Inndeling av styrings- og kontrolldelen er også den samme som i kredittrisikomodulen. Likviditetsrisiko I eksponeringsdelen beregnes to likviditetsindikatorer som uttrykker i hvilken grad institusjonenes langsiktige og illikvide eiendeler har finansiering med gjenstående løpetid på mer enn henholdsvis ett år og en måned. En del faktorer som påvirker likviditetsrisikoen i en institusjon, fanges ikke opp av indikatorene. Eksempler på slike faktorer er stabiliteten på kundeinnskuddene, grad av diversifisering av innlån fra kredittinstitusjoner, grad av likviditet i verdipapirporteføljer og omfanget av ubenyttede kommitterte trekkrettigheter. For disse faktorene foretas en mer skjønnsmessig vurdering. Graderingen for eksponeringen er også den samme som i de øvrige modulene. Styring og kontrolldelen har samme inndeling som de andre modulene. Denne modulen bygger også på Basel-dokumenter og erfaringer fra inspeksjonsvirksomheten. Operasjonell risiko Operasjonell risiko har vist seg som det vanskeligste området å få utarbeidet et tilfredsstillende opplegg på. Den første utgaven av modulen besto av en del med overordnet styring og kontroll, samt en del for IKT. Modulen foreligger nå i omarbeidet versjon, hvor også CEBS-prinsippene for Internal Governance er tatt inn. I tillegg får modulen nå en inndeling i sju ulike taps- og hendelseskategorier basert på Basel- og CRD-regelverket. Inndelingen gir grunnlag for kartlegging og vurdering av institusjonens eksponering mot, og styring og kontroll av operasjonell risiko. Internt bedrageri Eksternt bedrageri Arbeidsmiljø Kunder, produkter og forretningspraksis Oppgjør, levering og annen transaksjonsbehandling Skade på fysiske eiendeler Systemsvikt Graderingen er den samme som for de andre modulene. Det nye opplegget er under testing, og vil bli publisert på Kredittilsynets nettsted når det anses ferdigstilt. Forsikringsrisiko Modulene for forsikringsrisiko tar for seg risikoen for at premiene ikke dekker erstatningene. Det er en del for skade- og en del for livsforsikring. Modulen for skadeforsikring er testet i ett selskap, mens livsforsikringsmodulen ennå ikke er ferdigstilt. Skadeforsikringsmodulen har fire ulike eksponeringsfaktorer: 157

6 Tegningsrisiko Konsentrasjonsrisiko Beregningsrisiko Reassuranse Styring og kontroll følger i stor grad mønsteret fra de andre modulene, og graderingene er den samme som i de øvrige modulene. 5. Konsekvensene for tilsynsarbeidet Kredittilsynet har nå gjennom flere år tatt i bruk de nye modulene i tilsynsarbeidet. De fleste av de større bankene er blitt kjent med modulene gjennom inspeksjonsvirksomheten. Tilsynsvirksomheten er blitt mer systematisk og målrettet, men også mer ressurskrevende både for Kredittilsynet og institusjonene. Det innhentes mer informasjon før et stedlig tilsyn enn tidligere, og forberedelsene er grundigere enn før. Skrivebordsarbeidet i forkant av en inspeksjon har økt, og det betyr at inspektørene stiller mer forberedt under inspeksjonen. Ved hjelp av modulene kan Kredittilsynet danne seg et bilde av den enkelte institusjons risikonivå, og kvaliteten på styring og kontroll av de ulike risikoer. Det ligger også en trygghet i at dette er tilsynsmetoder som etter hvert vil anvendes over hele Europa og som følger anbefalingene fra CEBS. CEBS har anbefalt at alle tilsyn skal etablere sine egne risikovurderingssystem (RAS). Dette innebærer et risikobasert tilsynssystem som ved gjennomgangen av institusjonens ICAAP-er skal være utgangspunktet for tilsynsmyndighetenes vurderinger. Kredittilsynet gjorde i 2005 de første samlede risikovurderinger av de ni største bankkonsernene som en forberedelse til Basel II. Risikovurderingen inneholder følgende deler: Finansiell analyse Risiko analyse Bedømming av risikostyring og kapitalallokering Tilsynsmessig oppfølging Det er meningen at Samlet Risikovurdering skal utarbeides årlig for de største institusjonene og være bakgrunn for tilsynets ICAAP-vurderinger. Samlet Risikovurdering skal forelegges institusjonenes styre for å unngå eventuelle feil og misforståelser og for å være et av utgangspunktene for en dialog med institusjonene. For Kredittilsynet er dette også viktig for planlegging og prioriteringsformål. Det er viktig å anvende ressursene der behovet er størst. Når det gjelder ICAAP-gjennomgangen for de mellomstore og mindre institusjonene som ikke er gjenstand for regelmessige inspeksjoner, vil den finansielle analysen og risikoanalysen være dokumentbasert og bygge på regnskapsinformasjon og Pilar IIIinformasjon. Dette vil danne utgangspunktet for ICAAP-vurderingen og tilbakemeldingen fra Kredittilsynet. I sum vil dette kunne representere den forbedring i tilsynsarbeidet som er forutsatt i Basel II. 158

7 6. Videreutvikling av det risikobaserte tilsyn Basel II betyr økt oppmerksomhet på risikostyring og kontroll, både i institusjonene og hos tilsynsmyndighetene. Dette vil føre til forbedringer i metodene for risikostyring. Risikomodulene er ikke ment å være noe sluttprodukt. Det er meningen at disse skal endres kontinuerlig i takt med utviklingen når det gjelder metoder for risikostyring og kontroll. Tilsynsmetodene vil utvikle seg i retning av mer kvantifisering av risiko i tillegg til de kvalitative vurderingene. Institusjonene blir med det nye kapitaldekningsregelverket også pålagt å vurdere andre risikoformer enn de som er nevnt her. Kredittilsynet tar sikte på å utvikle metoder for å vurdere disse risikoene. Nye retningslinjer fra CEBS vil også bli bygget inn i modulene for at Kredittilsynet skal være på høyde med utviklingen i Europa. Egne erfaringer med bruk av modulene, særlig i relasjon til gjennomgangen av ICAAP-ene vil også kunne være en kilde til forbedring av modulene. At det er full åpenhet om modulene og at de er publisert på Kredittilsynets nettsted med oppfordringer til kommentarer, kan også bli et bidrag til eventuelle forbedringer. Arbeidsgruppene som har utarbeidet modulene er beholdt med sikte på videreutvikling, og alle de nevnte momentene trekker i retning av at det risikobaserte tilsynet vil forbedres i takt med utviklingen i næringen og hos andre lands tilsynsmyndigheter. 159