Специально для таких ситуаций предусмотрены следующие правила назначения ответственных за исполнение мер по минимизации рисков (см п. 6.2.2.3 настоящих Рекомендаций).

Повторно приведем его:

«Ответственным за организацию исполнения рекомендации всегда обозначается одно лицо (во избежание перекладывания ответственности) – соответствующий руководитель департамента в чьем процессе обнаружен риск. В тех случаях, когда для исполнения рекомендации необходимы доработки информационно технологической структуры (далее ИТ), регламентов, оборудования или его закупки, проведение различных работ (в т. ч. рекламных кампаний, коррекции процессов, продуктов, систем мотивации и т. д.), указанный руководитель организует формирование необходимых требований на такие доработки, закупки, работы (при необходимости согласовывает их с риск-менеджерами) и контролирует их реализацию. При обнаружении некачественного исполнения таких требований ответственный эскалирует эту проблему до уровня риск-менеджера и комитета по рискам.

Ответственность за организацию исполнения рекомендации возлагается на нескольких ответственных только в тех случаях, когда не может возникнуть вероятность ситуации, в которой один ответственный может переложить часть ответственности за неисполнение рекомендации на другого ответственного. Например, рекомендация о представлении отчетов по единому формату может быть возложена на неограниченное число руководителей департаментов, так как каждый из них не сможет обосновать неисполнение рекомендации тем, что другой начальник не представил своего отчета».

7.3.2. Техника учета и контроля мер по минимизации рисков.

Количество рисков, мер по их минимизации со временем многократно увеличивается. И их контроль становится возможным только с использованием соответствующих ИТ-инструментов. Простейший пример такого инструмента приведен в Приложении 5 в виде excel-файла с раскрывающимися столбцами и возможностью фильтрации рисков и мер по суммам, датам, исполнителям, значимости и т. д.

7.4.1. Техника учета и контроля планов ОНиВД.

Планы непрерывности деятельности изначально достаточно объемны, а при росте их количества обновление таких планов, и их использование при возникновении чрезвычайных происшествий становится затруднительным. Пример упрощения такой работы приведен ниже в виде пояснений к excel-файлу, в котором на одном листе ведутся все планы непрерывности деятельности (см. схему 7).

Обычно для организации работы участников обеспечения непрерывности деятельности создают сетевую папку, в которой размещают планы непрерывности деятельности, акты проверок и иную документацию.

Схема 7

Этот процесс условно можно разделить на три основных этапа.

Этап 1. Подготовка данных. Он охватывает:

• фильтрацию инцидентов для включения их в расчет (по сумме, дате, потенциальным, внешним потерям и т. д.);

• распределение по бизнес-линии и по категории убытка;

• распределение по сумме убытка и частоте (см. схему 8).

Этап 2. Подборка модели распределения тяжести последствий, которая наиболее точно описывает распределение фактических потерь Банка (см. схему 9)

Обычно для подборки используют следующие распределения:

1. Распределение Бурра.

2. Экспоненциальное распределение.

3. Гамма-распределение.

4. Обратное гауссовское распределение.

5. Логарифмически нормальное распределение.

6. Комбинированное логарифмически нормальное гамма-распределение.

7. Комбинированное надежное логарифмически нормальное гамма-распределение.

8. Комбинированное логарифмически нормальное обобщенное распределение Парето с хвостом.

9. Логарифмически нормальное обобщенное Парето-Хилла.

10. Комбинированное х-логарифмически нормальное обобщенное распределение Парето с хвостом.

11. Распределение Парето.

12. Обобщенное распределение Парето.

13. Распределение Вейбулла.

14. Комбинированное распределение тяжести последствий с хвостом.

Этап 3. Масштабирование модели на убытки банка, вычисление границ доверительного интервала и установление суммы потерь соответствующей 99,9 % границе (см. схему 10).