Ефективна та комплексна система внутрішнього контролю (СВК) є невід’ємною складовою якісного корпоративного управління. Більш того, в сучасних умовах діджиталізації фінансового ринку дієва СВК як ніколи необхідна для цілей управління ризиками, комплаєнс, забезпечення дохідності та фінансової стабільності, виконання стратегій розвитку банків та забезпечення безперервності їх діяльності.

Ще у 1998 році Базельский комітет з банківського нагляду опублікував загальноєвропейські Принципи для організації внутрішнього контролю у банків. Вони стали основою для подальших європейських регуляцій, які наразі визначають вимоги до організації СВК та її інтеграції з усіма сферами діяльності банків.

В Україні до останнього часу банки у своїй роботі керувалися постановою НБУ № 867 від 29.12.2014 «Про затвердження Положення про організацію внутрішнього контролю в банках України», яка, на жаль, не була достатньо дієвою, оскільки не містила багатьох необхідних компонентів та механізмів для побудови ефективної та комплексної СВК, передбачених європейськими нормами. Але НБУ почав запроваджувати нові дуже важливі, але непрості для виконання вимоги, в тому числі у сфері корпоративного управління, управління ризиками, комплаєнсу. Постанова НБУ № 88 від 02.07.2019 «Про затвердження Положення про організацію системи внутрішнього контролю в банках України та банківських групах» стала черговим кроком НБУ з впровадження європейської регуляції, який направлений на стандартизацію роботи та підвищення ефективності й стабільності банківського сектору.

Що ж нового пропонує нам нова регуляція НБУ?

Відтепер організовувати комплексну СВК мають не тільки банки, а й їх банківські групи. Всі принципи та компоненти внутрішнього контролю мають бути стандартизовані та «працювати» як єдиний механізм для всієї банківської групи.

Інша нова суттєва вимога – це впровадження моделі трьох ліній захисту не тільки у системі управління ризиками, а й цілісно у комплексній СВК. Перед банками постає завдання забезпечити не тільки попередній та поточний контролі, а й впровадити заходи з незалежного моніторингу СВК другою лінією захисту та оцінки ефективності, комплексності та адекватності СВК третьою лінією захисту. Вимоги до розробки і застосування ефективних заходів контролю для запобігання, виявлення та виправлення недоліків та критерії оцінки ефективності СВК визначені новим положенням НБУ.

В цьому положенні вводяться нові поняття: «контрольне середовище банку» та «культура внутрішнього контролю». Перелік принципів СВК розширено принципами комплексності, адекватності, обачності, ризик-орієнтованості, інтегрованості, безперервності. Визначено п’ять обов’язкових компонентів СВК та надані детальні вимоги до них, процедури контролю та шляхи їх здійснення.

Багато уваги у документі приділено контролю за якістю даних та звітності, контролю за управлінням інформацією, інформаційними системами та технологіями. СВК має бути інтегрованою з усіма банківськими процесами, системою управління ризиками та корпоративним управлінням на всіх рівнях. Тобто необхідно забезпечити внутрішній контроль абсолютно на всіх напрямках, у тому числі у процесах ухвалення рішень та виконання стратегій, бізнес-планів та цілей банків та банківських груп, а не тільки на рівні операційної діяльності. При цьому мають бути запроваджені відповідні системи винагороди та регулярного навчання працівників, які, в свою чергу, допоможуть розвивати та оцінювати якість СВК.

Для впровадження нових вимог до СВК банки та банківські групи мають час до 2 січня 2020 року.

Але що ж отримають банки і банківські групи, окрім обов’язкового виконання нових вимог? Ефективна та комплексна СВК буде додатковою перевагою для будь-якого банку або банківської групи. Впровадження кращих міжнародних практик підвищить рівень довіри з боку власників, потенційних інвесторів, клієнтів та контрагентів, а також забезпечить своєчасне виявлення та ліквідацію негативних передумов та факторів, які заважають ефективному веденню бізнесу та досягненню цілей.

В рамках регулярних оцінок банків SREP та CAMELSO, камеральних та позапланових перевірок НБУ буде перевіряти та оцінювати не тільки формальну складову СВК (процедури та методологію), а й практичне впровадження вимог, ефективність внутрішніх контролів та їх інтегрованість у банківські процеси. Окрім того, для цілей нагляду на консолідований основі особлива увага приділятиметься комплексності СВК на рівні банківських груп. Результати оцінки СВК будуть впливати як на оцінку корпоративного управління, так і на загальну оцінку банку регулятором.

Практична імплементація нових вимог до СВК та культури внутрішнього контролю створить умови для гарантованого та сумлінного виконання своїх обов’язків кожним працівником, що підвищить якість, безпеку та оперативність роботи, безпеку даних, мінімізує ризики. Правління та наглядова рада банку будуть впевнені у тому, що вони отримують достовірну та вичерпну інформацію для ухвалення управлінських та стратегічних рішень з повним розумінням та відповідальністю.

Регулятор, переконавшись у ефективності впровадженої СВК, зменшить наглядове навантаження (частоту і обсяги перевірок і запитів) на банк та більш високо оцінить його діяльність.

Які необхідні кроки доцільно зробити для правильної організації системи внутрішнього контролю?

Перш за все потрібно провести оперативний аналіз поточного стану СВК на предмет відповідності новим вимогам. До такого аналізу можна залучити підрозділи внутрішнього аудиту, комплаєнс або незалежних експертів.

Наступним кроком має бути розгляд результатів аналізу вищим керівництвом та визначення найбільш пріоритетних напрямків та термінів роботи. Важливо створити ефективну робочу групу з впровадження нових вимог, яка має складатися з кваліфікованих представників першої та другої ліній захисту.

Робоча група має кластеризувати процеси банку та ідентифікувати контролі у них, розробити детальну дорожню карту з впровадження нових вимог, визначити для кожного етапу проміжні та фінальні терміни робіт, відповідальних та процедури моніторингу стану виконання.

Під час розробки дорожньої карти слід приділити особливу увагу раціональності та застосовності політик та процедур у сфері СВК, які будуть розроблюватися/вдосконалюватися, а також розглянути можливості та доцільність автоматизації контролів (принаймні у найбільш суттєвих процесах).

Своєчасність імплементації нових вимог до СВК та відповідний ефект неможливі без контролю як з боку відповідальних осіб робочої групи, так і з боку вищого керівництва. Також доцільно наприкінці 2019 року провести внутрішній аудит СВК, який забезпечить незалежну оцінку поточного стану імплементацій..