ОПЕРАЦИОННЫЕ РИСКИ
Потери от людей, процессов, систем и внешних событий. Самый непредсказуемый зверь.
Джером Кервьель потерял 4,9 миллиарда евро Societe Generale. Ник Лисон уничтожил Barings Bank. Программист в Knight Capital написал баг, который 45 минут сливал по $10 млн в минуту, пока кто-то не нашёл кнопку выключения. Уборщица в одном дата-центре выдернула не тот кабель и положила расчёты на три часа.
Всё это операционный риск. Риск, который случается не потому что рынок пошёл против, и не потому что заёмщик не вернул. А потому что люди, процессы и системы несовершенны. То есть всегда.
Семь способов потерять деньги не на рынке
Базельский комитет классифицировал операционные убытки в семь категорий. Вот они честно.
Внутреннее мошенничество: твой сотрудник тебя грабит. Кервьель, Лисон, тысячи менее известных случаев. Чаще всего накапливается годами, потому что человек хороший и доверенный.
Внешнее мошенничество: кто-то снаружи. Фишинговые атаки, взломы, поддельные документы. Средний ущерб от кибератаки на финансовую организацию давно превысил несколько миллионов долларов.
Кадровая политика: дискриминация, производственные травмы, трудовые споры. Скучно звучит, пока не придёт коллективный иск.
Клиенты и продукты: продал не то, кому не надо. Misselling ипотечных инструментов в 2004-2007 годах обошёлся индустрии в сотни миллиардов регуляторных штрафов.
Ущерб физическим активам: пожар, наводнение, ураган. Страхование покрывает часть. Простой в работе - нет.
Сбои IT-систем: случается чаще, чем публично признаётся. Большинство инцидентов замалчивается внутри компании. Те, что попадают в прессу, только верхушка.
Ошибки в процессах: неправильное исполнение сделки, ошибка в расчётах, потерянные документы. Самая дорогая разновидность - когда ошибку никто не замечает несколько месяцев.
Как считать непредсказуемое
С рыночным риском проще: есть исторические цены, есть волатильность, можно строить модели. С операционным - данных мало, события редкие, но дорогие, распределения тяжелохвостые. Один крупный инцидент в год на тысячу компаний статистически ничто, но для конкретной компании катастрофа.
Поэтому работают с KRI: число сбоев системы в месяц, процент ошибок при исполнении операций, текучка в критических подразделениях, количество нарушений доступа к данным. Если метрики ползут вверх, жди проблем. Если не мониторишь, уже в проблемах, просто не знаешь.
Самый большой операционный риск - уверенность, что у тебя операционных рисков нет.