Risikostyringsfunksjonen

Transkript

1 Risikostyringsfunksjonen Bankenes sikringsfonds høstkonferanse 9. september 2014 Einar Westby, BDO AS

2 Agenda Regelverk Organisering i banker av ulik størrelse Ressursbehov Innhold og oppgaver hvordan bidra til bedre risikostrategi innenfor de regulatoriske rammer Kommunikasjon med styre og risikoutvalg Oppsummering/suksesskriterier Spørsmål 2

3 Kapitalkravsforskriften del X: Krav til styring og kontroll (etter endringer som trer i kraft ) Styrets rolle ( 47-1) Fastsette retningslinjer for: Å påta banken risikoer Identifisere, styre, overvåke og kontrollere risikoer banken er eller kan bli eksponert for Skille mellom ulike funksjoner Forebygging av interessekonflikter Risikostyring og kontroll ( 47-2) Retningslinjer og rutiner for styring og kontroll av risiko skal minst omfatte: Kreditt- og motpartsrisiko Restrisiko Konsentrasjonsrisiko Risikoer knyttet til verdipapiriseringsaktiviteter Markedsrisiko Renterisiko i portefølje for annen virksomhet enn handelsportefølje Operasjonell risiko Likviditetsrisiko Risiko knyttet til uforsvarlig gjeldsoppbygging 3

4 Kapitalkravsforskriften del X: Krav til styring og kontroll (etter endringer som trer i kraft ) (forts.) Risikokontrollfunksjon ( 47-3) Risikoutvalg ( 47-4) 1. Skal ha uavhengig risikokontrollfunksjon med tilstrekkelig kompetanse og ressurser 2. Funksjonen skal sikre at alle vesentlige risikoer er identifisert, målt og rapportert av relevante enheter 3. Lederen: uavhengig av operative funksjoner og rapporterer til daglig leder. Mindre banker med mindre kompleks struktur: Leder med andre ansvarsområder kan i tillegg ha ansvaret for risikokontroll dersom interessekonflikter unngås 4. Å avsette leder av funksjonen krever samtykke fra styret. Finanstilsynet skal informeres ved skifte av leder 5. Rapportere direkte til styret hvis styret ikke får nødvendig risikoinformasjon via ordinær rapportering og varsle styret om identifiserte risikoer som påvirker eller kan påvirke banken Forvaltningskapital > NOK 20 mrd. i > 1 år: Skal ha eget risikoutvalg Banker som ikke må ha eget risikoutvalg: Samlet styre utgjør risikoutvalg eller velge kombinert risiko- og revisjonsutvalg 4

5 Forslag til ny finansforetakslov viderefører og «løfter» kravene til risikostyring Forsvarlig virksomhet ( 13-5) Klar organisasjonsstruktur og hensiktsmessige styrings- og kontrollordninger Uavhengige kontrollfunksjoner (internrevisjon, risikostyring, compliance og aktuar) Tilpasses risikoen ved og omfanget av virksomheten Tilrettelegge for at ansatte skal kunne varsle internt eller til myndighetene Forskriftshjemmel Risiko og kapitalbehov ( 13-6) Til en hver tid oversikt over risikoer knyttet til virksomheten og forsvarlig ansvarlig kapital Vurdere risiko knyttet til kreditt, likviditet, finansiering, forsikring, marked/valuta, operasjonell og system Kort- og langsiktig kapitalbehov Risikoutvalg i styret Jevnlig beregne uvektet kapitaldekning Forskriftshjemmel 5

6 Bankenes styrings- og kontrollorganer ny finansforetakslov Generalforsamling Ekstern revisor Valgkomité Intern revisor Styret Revisjonsutvalg Risikoutvalg Godtgjørelsesutvalg Daglig leder/ direksjon Risikostyring Compliance 6

7 Organisering av uavhengige kontrollfunksjoner (Brev fra Finanstilsynet til forsikringsselskapene ) 7

8 Risikostyring eksempel på organisering i større bank 8

9 Innspill til vurdering av organisering i mindre banker Ikke noe fasitsvar må vurdere ut fra egne forutsetninger og behov «skal være tilpasset risikoen ved og omfanget av virksomheten i foretaket» Forsvarslinjene skal være intakt Risikostyring og compliance i samme enhet? Kombinere med andre ansvarsområder i banken? Identifisere og motivere kandidater med rette egenskaper (fit & proper) Helhetsforståelse, anseelse og pedagogisk evne må ikke undervurderes Tilpasse arbeidsbelastning («stillingsbrøk») og stillingsinstrukser Sikre uavhengighet ved adgang til å kunne rapportere direkte til styreleder og bare kunne sies opp av styret tas inn i stillingsinstruks Deltidsansettelse (eventuelt i samarbeid med andre banker)? Utkontraktering? Forutsatt at krav til utkontraktering oppfylles (kravene presiseres i forslag til ny finansforetakslov 13-4) 9

10 Forholdsmessighetsprinsippet 10

11 Forutsetninger/krav ved avtale om utkontraktering Kjerneoppgaver kan normalt ikke utkontrakteres Ledelsens ansvar kan ikke delegeres Forpliktelser overfor kunder endres ikke Iverksette tiltak dersom oppdragstaker ikke utfører oppdraget som forutsatt Tilstrekkelig kunnskap til å kunne føre tilsyn med utkontraktert virksomhet Sikre at avtalen kan sies opp uten skade for kontinuitet og kvalitet i tjenester Sikre at oppdragstaker har nødvendig kompetanse, kapasitet og tillatelser Sikre at oppdragstaker utfører oppdraget på en effektiv måte Sikre at oppdragstaker underretter om endringer eller hendelser som kan påvirke mulighet til å utføre oppgavene Sikre at oppdragstaker er forpliktet til å samarbeide med tilsynsmyndigheter Sikre at revisorer og Finanstilsynet har tilgang til aktuelle opplysninger og til oppdragstakers lokaler Sikre forsvarlig håndtering av konfidensiell informasjon Sikre at selskapet og oppdragstaker har beredskapsplan for uforutsette hendelser og at testing gjennomføres regelmessig 11

12 Ressursbehov for risikostyringsfunksjonen Avhenger av: Risikoen i bankens virksomhet og bankens størrelse «skal være tilpasset risikoen ved og omfanget av virksomheten i foretaket» Kontrollkultur nødvendig grunnpilar Styrets og ledelsens vektlegging av styring og kontroll («tone at the top») Uten kontrollkultur på plass innebærer risikostyring lett økte oppgaver og kostnader uten særlig verdi for virksomheten Banker uten risikostyringsfunksjon, men med god kontrollkultur og godt implementert ICAAP-prosess og risikostyringsforskrift Rendyrking av roller/oppgaver, men samlet ressursbruk bør ikke øke vesentlig Banker med svak kontrollkultur og mangler i risikostyring og ICAAP har en betydelig lenger vei å gå, men det skyldes ikke først og fremst nye krav 12

13 Hvordan bidra til reelt sett bedre risikostyring? Fremoverskuende, proaktiv og verdiskapende risikostyring sikres ved: Integrere risikostyringen i den samlede virksomhetsstyringen Risikostyringsforskriften varslet å bli erstattet av ny virksomhetsstyringsforskrift Krever forankring i styre og hos daglig leder jf risikokultur Sørge for at det settes av tilstrekkelig tid i ledelse og styre Bidra til å sikre sammenheng strategi-/icaap-prosesser og risikotoleranse Sørge for løpende dialog/samarbeid med forretningsenheter og staber Fokusere på muligheter ikke bare (nedside)risiko Unngå unødvendig kompliserte modeller Sørge for tidsriktig og relevant risikorapportering Analysere tapshendelser (avviksrapportering) (inkludert «nestenhendelser») og sørge for læring i organisasjonen Vurdere konsekvenser og praktisk implementering av regulatorisk utvikling Naturlig hovedkontakt og koordinator for internrevisjonen 13

14 EBAs retningslinjer for styring og kontroll (GL 44) Nøkkelrolle for å sikre en effektiv risikostyringsprosess Risikostyringsfunksjonen må involveres tidlig i arbeidet med: Risikostrategi og risikotoleranse Transaksjoner med nærstående parter Komplekse juridiske strukturer Vesentlige endringer Måling og vurdering av risiko Overvåking av risiko Rammebrudd Hva er det "riktige" kapitalkrav et? Hvilken kapital krever risikoen? Hvilke risikoer finnes? Involvering Hva påvirker risikoen? Hva er risikoen? Hvordan styres risikoen? 14

15 Kommunikasjon med styre og risikoutvalg Risikostyringsfunksjonen skal bidra til styrets forståelse av bankens risikoer og det kapitalbehovet som risikoene medfører på kort og lang sikt ICAAP-dokumentet er oppsummering av en prosess styret må involveres underveis Riktig gjennomført er ICAAP-prosessen verdiskapende bør integreres med styrets strategiarbeid Styret godkjenner policies og bestemmer derved hvordan prosesser mv. skal gjennomføres Styret legger rammene administrasjonen gjennomfører Viktig at styret får anledning til å utfordre forutsetninger som ligger til grunn for beregninger av kapitalbehov slik at resultatet stemmer med styrets egen oppfatning av risikoene i virksomheten Både kvantitative og kvalitative vurderinger må reelt drøftes i styret Utkast til ICAAP bør drøftes grundig i styret før endelig ICAAP legges frem for godkjennelse Sette av tilstrekkelig tid i risikoutvalg og styret Diskutere styrepresentasjoner med risikoutvalget 15

16 Bankens risikostyringsfunksjon forutsetninger for vellykket etablering/videreutvikling «Tone at the top» - kontrollkultur er grunnpilaren Integrert del av bankens samlede virksomhetsstyring Tilstrekkelig ressurser og kompetanse Løpende dialog/samarbeid med: Styre og ledelse Forretningsenheter og staber Uavhengigheten må ivaretas uten at det går på bekostning av kompetansedeling og bidrag til videreutvikling av banken Fokus på muligheter ikke bare (nedside)risiko Fremoverskuende, proaktiv og verdiskapende Unngå unødvendig kompliserte modeller Ligge i forkant av regulatorisk utvikling 16

17 Takk for oppmerksomheten! Einar Westby