5.3 Erfaringer fra arbejdet med Basel II-kravene i pengeinstitutter Af Christian Boserup, senior manager, PricewaterhouseCoopers

Transkript

1 Risk Management Forlaget Andersen 5.3 Erfaringer fra arbejdet med Basel II-kravene i pengeinstitutter Af Christian Boserup, senior manager, PricewaterhouseCoopers cbs@pwc.dk Introduktion Tankerne i Basel II-regelsættet er ikke noget der går over - effektiv risikostyring får større og større betydning, og øger i øjeblikket konkurrencekløften mellem store og små. Sammenfatning De 3 søjler Kapitalkravet falder næppe meget pga. de nye regler Kreditinstitutterne står overfor en række væsentlige udfordringer i forbindelse med implementeringen af Basel II eller rettere EU-direktivet, Capital Requirement Directive (CRD), som i dansk lovgivning har effekt fra 1. januar 2007 i form af ændringer til Lov om Finansiel Virksomhed (FIL) og en ny kapitalbekendtgørelse. Alle institutter står overfor væsentlige udfordringer - dog af forskellig art. De største institutter skal efter betydelige investeringer øge og stabilisere indtjeningen gennem effektivitetsforbedringer og bedre risikostyring, der ideelt set skal integreres helt ned i institutternes incitamentsordninger. De mellemstore institutter er udsat for betydeligt pres for at forbedre deres risikostyring på kort sigt for ikke at miste terræn i forhold til deres større konkurrenter. På (lidt) længere sigt vil også de mindre institutter mærke den øgede konkurrence på deres mest profitable kundesegmenter. Det handler primært om, hvem der har den bedste viden om forholdet mellem risiko og afkast - og de store er kommet mærkbart foran de andre. Udviklingen af Basel IIregelsættet har virket som en katalysator for en proces der var i gang. Det går ikke over - det bliver meget mere væsentligt. Regelsættet er struktureret omkring 3 centrale emner - kaldet søjler. Søjle 1 handler om kvantitativ opgørelse af minimumskapitalkravet for kredit-, markeds- og operationel risiko. Søjle 2 handler dels om opgørelsen af det samlede kapitalbehov (dvs. inklusiv alle former for risici), og dels hvordan de nationale tilsyn skal udøve sit tilsyn med kreditinstitutterne. Den sidste af de 3 søjler handler om at skabe gennemsigtighed i kreditinstitutternes risikostyring og kapitalforhold gennem oplysning og rapportering. De nye regler er udformet for at 1) kapitalkravet bedre skal afspejle den egentlige risiko, 2) skabe ens vilkår (level playing field) på tværs af EU og 3) metoderne bedre afspejler, hvordan risikostyringen foregår i praksis. Det er derimod ikke et formål med de nye regler, at det generelle niveau af minimumskapital skal være lavere end det er i dag. Kapitel 5.3. Side 1/16. Januar 2007

2 Danske kreditinstitutter har typisk en højere andel af private kunder og mindre erhvervskunder end gennemsnittet af europæiske banker, som formlerne er kalibreret efter. Derfor har nogle markedsdeltagere udtrykt bekymring om et fremtidigt fald i kapitalniveauet i visse institutter, som følge af de nye regler. Det er dog langt fra sikkert, at den samlede vurdering af den nødvendige kapital vil føre til et betydeligt fald, hvilket også fremgår af gennemgangen af søjle 2. Hvor langt er institutterne kommet og hvad vil der ske fremover? De danske kreditinstitutter kan groft opdeles i 4 kategorier, når det gælder anvendelse af dette regelsæt og forventningerne til fremtiden. 1. De største og mere komplekse penge- og kreditinstitutter har i nogle år anvendt mere eller mindre avancerede metoder, og vil derfor helt naturligt anvende den interne og avancerede metode til styring af kreditrisici og markedsrisici. Derimod er der ikke noget der tyder på, at nogen vil anvende den avancerede metode for operationel risiko. På længere sigt vil disse institutter udvikle mere avancerede interne modeller, der tager højde for korrelationer både inden for hver risikotype og mellem risikotyperne. Integrationen til institutternes incitamentsordninger vil også øges - og dermed udvikler disse institutter sig til en integreret styring af forholdet mellem risiko og afkast. Disse institutter opnår en meget detaljeret viden om, hvilke kunder og produkter, der bidrager til at forbedre forholdet mellem risiko og afkast i deres virksomhed. Det gør dem i stand til at sætte priser og betingelser over for deres kunder, som øger afkastet på den kapital, der er bundet i instituttet. De er også i stand til at sortere de mindre gode kunder fra eller sætte priserne op, så de passer til den risiko de udgør - og dermed den kapital de lægger beslag på. 2. De specialiserede kreditinstitutter (typisk mindre institutter) som f.eks. alene fokuserer på udvalgte kundesegmenter (f.eks. privatkunder) vil typisk anvende den interne metode til kredit, og formentlig også markedsrisiko samt standardmetoden til operationel risiko. På længere sigt vil disse institutter forsøge at følge efter de største og mere komplekse mht. udvikling og integration af mere avancerede modeller og metoder. Disse institutter vil også opnå betydelig indsigt i hvilke kunder og produkter, der øger forholdet mellem risiko og afkast, og hvem der ikke gør. 3. En række af de mellemstore (ikke specialiserede) kreditinstitutter med en bred portefølje af kunde og produkter vil formentlig anvende standardmetoderne til at begynde med, men ret hurtigt (inden for 3-4 år) anvende de avancerede metoder til kredit- og markedsrisiko. Nogle af disse institutter har ambitioner om at udvikle avancerede interne modeller, men oplever begrænsninger i ledelsens opbakning og interne ressourcer. De har i dag en begrænset, men voksende viden om (privat)kundernes påvirkning af instituttets afkast og risiko. Kapitel 5.3. Side 2/16. Januar 2007

3 Denne viden vil i de kommende år sprede sig til (i nogen grad) også at gælde erhvervskunderne. På længere sigt forventes at også disse institutter vil implementere økonomiske kapitalmodeller for at opnå en bedre overordnet risikostyring. En af udfordringerne for disse institutter er mangel på gode data. Flere institutter har eller er ved at skaffe sig interne ressourcer, som sammen med eksterne kan løfte disse opgaver. 4. Resten (typisk mindre) kreditinstitutter vil anvende standardmetoden for kredit- og markedsrisiko samt basismetoden for operationel risiko, og vedblive med det i en længere periode. På længere sigt vil disse institutter formentlig finde sammen for at udvikle bedre risikostyringsmetoder i fællesskab eller langsomt blive solgt til større institutter. Der er flere store udfordringer for disse institutter - bl.a. mangel på gode data og interne ressourcer til at løfte denne opgave. Der er nye generelle regler og krav Der er to helt centrale nye krav i Lov om finansiel virksomhed (FIL). Ifølge 124, stk. 1, skal bestyrelse og direktion sikre, at instituttet har en forsvarlig basiskapital og interne procedurer til risikomåling, risikostyring og overvågning. Stk. 2 angiver minimumskravet til 8 % af de risikovægtede aktiver, og stk. 4 understreger, at den samlede opgørelse af kapitalkravet ikke kan blive mindre end de 8 % - selv om der tages højde for udjævnende effekter mellem de forskellige risikotyper. 71, stk. 1, nr. 5, er også relevant ved at understrege omfanget af de risici, der skal indgå i den samlede vurdering: En finansiel virksomhed skal have effektive procedurer til at identificere, forvalte, overvåge og rapportere om de risici, virksomheden er eller kan blive udsat for. Vejledning for pengeinstitutter i henhold til 71 præciserer bestyrelsens og direktionens roller og ansvar i relation til styringen af virksomheden. Søjle 1: Kredit-, markeds- og operationel risiko Nedenfor er beskrevet de særlige krav som følge af metodevalg. Standardmetoden - kreditrisiko Standardmetoden minder en del om den nuværende metode. Der er dog væsentlige nyskabelser omkring behandling af sikkerheder, garantier og nettingaftaler. Derfor bør virksomheden anvende en del ressourcer på at efterse procedurer og den tilhørende dokumentation vedr. nedbringelse af kapitalkravet vha. kreditrisikostyringsreglerne. Det har indtil videre vist sig at være en udfordring for visse datacentraler at behandle alle former for tilladte sikkerheder på en automatisk måde. Det må derfor forventes, at der i starten vil forekomme en række nye manuelle procedurer, der skal efterprøves. Kravspecifikation til segmentering følger bekendtgørelsen om standardmetoden, hvor der også er fokus på segmentering på modpartsniveau og tildeling af risikovægte samt identifikation af misligholdte modparter. Kapitel 5.3. Side 3/16. Januar 2007

4 Udover behandlingen af sikkerheder vil der være et begrænset behov for træning/uddannelse i anvendelse af standardmetoden. IRB-A - kreditrisiko I denne metode skal institutterne estimere tre centrale parametre for at opgøre kreditrisikoen: 1) Sandsynligheden for at en kunde misligholder (probability of default, PD), 2) hvor stor er eksponeringen på det tidspunkt kunden misligholder (E) og 3) hvor stor en del af denne eksponering vil instituttet tabe (Loss given default, LGD). Vha. af disse tre centrale parametre kan virksomheden opgøre kreditrisikoen vha. en række givne formler fra regelsættet. Minimumskravene for anvendelse af den avancerede metode til kreditrisiko har stor betydning. Noget tyder på, at selv om kreditinstituttet er mindre eller mellemstort, vil der blive stillet samme krav som til de store, hvis kreditinstituttet er fokuseret inden for et særligt område (f.eks. private kunder) - dvs. at proportionalitets-princippet formentlig ikke får nogen effekt, når der er tale om fokuserede eller specialiserede kreditinstitutter. Minimumskravene omfatter: Design, anvendelse, risikoklassifikation, kvantificering, validering og kontrol. Erfaringerne viser, at opfyldelse af samtlige minimumskrav er en langt større opgave end institutterne havde forestillet sig til at starte med. Problemer opstår ofte som følge af en uklar fordeling af opgaver og ansvar. Det er derfor tilrådeligt, at instituttet undersøger, hvorvidt der er en entydig forbindelse mellem de blå og hvide kasser i nedenstående eksempel. Bestyrelse Direktion Kreditrisikokontrol Salg Kreditafdeling Intern revision Bevillige og forny kreditter Udvælge og udvikle ratingmodeller Tildele rating Teste og validere ratingmodeller Rapportering Godkende ratingmodeller Kontrollere funktionalitet iht. hensigten Udvikle ratingsystemer og forretningsgange Kontrollere datakvalitet Overvåge risikostyringssystemet En række værktøjer er udviklet for at øge overblikket og reducere ressourceforbruget med at overholde de meget omfattende krav i regelsættet. Kapitel 5.3. Side 4/16. Januar 2007

5 IRB-Grundliggende(G) - kreditrisiko IRB-G indebærer stort set samme udfordring som IRB-A. Der vil dog som regel være langt færre modeller at validere, og dermed en mindre arbejdsbelastning, men ikke væsentligt lavere krav til ekspertise inden for avanceret estimering af risikoparametre (her kun PD). Markedsrisiko - intern metode Stort set samme krav og dermed udfordringer som for IRB-A metoden, herunder stort set samme kvalitative krav. Metoden giver et bedre indblik i den reelle risiko ved at tage højde for den korrelation, der er mellem forskellige typer af finansielle aktiver. Metoden kan desuden med fordel genbruges ifm. opgørelse af det samlede kapitalkrav i søjle 2. Markedsrisiko - standardmetode Ingen ændring i forhold til i dag. Operationel risiko - basismetode Ingen væsentlige udfordringer ud over de generelle udfordringer, de generelle bestemmelser og krav om bedre risikostyring. Hvis man anlægger en stram fortolkning af disse generelle regler kan kravene minde meget om dem, der er beskrevet nedenfor under standardmetoden for operationel risiko. Operationel risiko - standardmetode Kvalitative krav til standardmetoden medfører, at tilsynet skal informeres før den kan anvendes. Virksomheder kan anvende standardindikatormetoden til opgørelse af de risikovægtede poster for operationelle risici, hvis den opfylder følgende kriterier: Virksomheden har retningslinjer og forretningsgange for vurdering og håndtering af operationelle risici. Ansvaret for styringen af operationelle risici er klart defineret. Virksomheden har et veldokumenteret system til identifikation og vurdering af instituttets eksponering mod operationelle risici, som kan spore relevante data vedrørende operationelle risici, herunder oplysninger om betydelige tab. Systemet gennemgås regelmæssigt af en uafhængig kontrolfunktion, som ikke har noget forretningsmæssigt ansvar. Systemet til identifikation og vurdering af operationelle risici indgår som en integreret del af virksomhedens samlede risikostyring. Systemets output indgår som en integreret del af overvågning og styring af virksomhedens operationelle risikoprofil. Kapitel 5.3. Side 5/16. Januar 2007

6 Virksomheden har forretningsgange for rapportering til direktionen, som sikrer, at direktionen regelmæssigt informeres om udviklingen i virksomhedens operationelle risici. Virksomheden har ligeledes forretningsgange, der sikrer en hensigtsmæssig indgriben på grundlag af oplysningerne i rapporterne til direktionen. Opfyldelse af ovennævnte kriterier skal være forsvarlige set i forhold til virksomhedens størrelse, kompleksitet og aktivitetsniveau (proportionalitetsprincippet). Det er på nuværende tidspunkt uklart, hvad dette i praksis betyder i Danmark, og erfaringerne fra udlandet er endnu sparsomme. Virksomheder som anvender standardindikatormetoden skal have forretningsgange for indplacering af virksomhedens aktiviteter under de forskellige forretningsområder. Kriterierne skal gennemgås og justeres, når det er påkrævet i forbindelse med nye eller ændrede forretningsaktiviteter og risici, og ledelsen skal afgive skriftlig erklæring omkring opfyldelsen af ovenstående. Der er således en del merarbejde for instituttet ved overgangen til standardmetoden for operationel risiko - og man kan ikke gå tilbage til basismetoden. Operationel risiko - den avancerede metode (AMA) Indeholder væsentlige og meget omfattende krav til virksomhed. Der er dog ikke tegn på, at nogen i Danmark vil anvende denne metode, men flere institutter lader sig inspirere af tankegangen for at opnå en bedre styring på sigt. Hvornår skal man gå i gang? Institutterne (og deres datacentre) er i en del tilfælde kommet for sent i gang med forberedelserne. Generelt følger implementeringer tre faser, som illustreret nedenfor. Minimumskrav opfyldt i store træk Alle krav opfyldt Udvikling Anvendelsesperiode (2-3 år) Udrulningsperiode (3 år) Officiel opgørelse af solvensbehov Skal der anvendes interne metoder, er der krav om forudgående anvendelse (2 år for dem der søger om tilladelse i ellers 3 år), hvor virksomheden i store træk opfylder minimumskravene. I denne fase bør virksomheden være i stand til at gennemføre en efterprøvning af om minimumskravene er opfyldt. Det betyder, at virksomheden og dens kontrolfunktioner bør være fuldt på højde med en driftssituation, som starter i den efterfølgende udrulningsperiode, der kan vare op til 3 år. Kapitel 5.3. Side 6/16. Januar 2007

7 Søjle 2 og 3 Søjle 2 - opgørelsen af det samlede kapitalbehov og tilsynets tilgang Hvor ovenstående har fokuseret på at give overblik over Basel II-reglerne og se mere specifikt på udfordringerne i søjle 1, har nedenstående til formål at løfte sløret for de udfordringer, der ligger i søjle 2 og 3 under Basel II-regelsættet. Søjle 1 fastlægger reglerne for, hvordan instituttet kan opgøre minimumskravet til kapital for så vidt angår kredit-, markeds- og operationel risiko. Søjle 2 indeholder derimod retningslinjer for a) den proces kreditinstitutterne skal anvende ved opgørelsen af det samlede kapitalkrav og b) den proces Finanstilsynet skal anvende i sit tilsyn med kreditinstitutterne. Målet med søjle 2-processerne er at styrke sammenhængen mellem instituttets risikoprofil, risikostyringssystem og dets kapital. Instituttet skal selv udvikle sunde risikostyringsprocesser, som på passende vis identificerer, måler, aggregerer og overvåger sine risici. Instituttet forventes at have en passende vurderingsproces, som omfatter alle væsentlige elementer af kapitalplanlægning og -styring samt afsætter passende kapital til at modstå disse risici. Mange principper men få konkrete anvisninger I søjle 2 er der en lang række overordnede principper, der skal følges, men i modsætning til reglerne under søjle 1, er der relativt få konkrete anvisninger på, hvordan processen nøjagtigt skal designes. Det giver i sig selv en række udfordringer for den interne revision, herunder i forbindelse med at vurdere om processen giver et passende svar på, hvor meget kapital instituttet overordnet set bør have i forhold til risikoprofil og risikostyringssystem. Uden for søjle 1 ligger en række risici, som skal indgå i vurderingen af det samlede kapitalbehov. De vigtigste er kort beskrevet nedenfor. I søjle 2-opgørelsen skal indgå kvalitative vurderinger af kreditrisiko, markedsrisiko og operationel risiko - dvs. kvalitativ vurdering af om søjle 1-opgørelsen af kreditrisiko, markedsrisiko og operationel risiko fanger alle risikoelementer tilstrækkelig godt. Endvidere er omdømme-risiko som regel ikke omfattet af kreditinstitutternes definition af operationel risiko, og derfor skal denne risiko også indgå i vurderingen af det samlede kapitalbehov. Derudover skal der foretages vurderinger af den forretningsmæssige risiko - f.eks. risici som følge af vækst, ændringer i konkurrenters eller kunders adfærd, som får relativt hurtig effekt for indtjeningen - samt den mere strategiske risiko, der ofte handler om mere strukturelle ændringer i virksomhedens branche - f.eks. den forventede introduktion af covered bonds eller en væsentlig ændring i distributionskraften mellem markedsdeltagerne. Kapitel 5.3. Side 7/16. Januar 2007

8 Endelig skal der foretages en vurdering af risici som strukturel valutarisiko, likviditetsrisiko samt restværdirisiko, hvor det måtte være relevant. Der er ingen facitliste, som beskriver, hvordan disse vurderinger skal foregå - så den interne revision må f.eks. opsøge viden om god praksis for at kunne foretage vurderinger af, om processen og resultatet er passende. I praksis er der to grundlæggende metoder Valget af metode til opgørelse af det samlede kapitalbehov vil typisk afhænge af, i hvilket omfang der anvendes interne modeller til opgørelse af risici i søjle 1. Anvender instituttet interne modeller til opgørelse af kredit- og markedsrisici er der en indirekte forventning om (men ikke krav om), at opgørelse af det samlede kapitalbehov også befinder sig på et relativt avanceret niveau. En undersøgelse fra oktober 2005 viste, at 95 % af de europæiske banker anvender - eller planlægger at anvende - økonomiske kapital som koncept til opgørelse af det samlede kapitalbehov. Anvendelse og validering af økonomiske kapitalmodeller er en kompliceret opgave for kreditinstituttet, og det er dermed en betydelig udfordring for den interne revision at forholde sig til, om metoden giver en passende beskrivelse af det samlede kapitalbehov. De mindre institutter vil typisk vælge en tilgang, der ikke bygger på et samspil mellem statistiske fordelinger, men som i stedet er enklere at beregne og gennemskue. Eksempelvis har LOKALE PENGEINSTITUTTER udviklet en enkel model som sammenligner instituttet med sektoren. Regelsættet siger dog direkte, at en sammenligning med andre institutter ikke i sig selv er tilstrækkeligt, og derfor er der behov for at supplere denne eller lignende modeller med en række stresstest, og i øvrigt supplere med vurderinger af alle de risici regelsættet nu opregner. Denne mere enkle metode vil ofte tage udgangspunkt i minimumskapitalkravet fra søjle 1-beregningerne, og derefter tillægge eller fratrække kapital til dækning af øvrige risici. Uanset, hvilken overordnet metode der anvendes, skal kreditinstituttet løbende foretage stresstest, der er relevante for virksomheden, hvor de enkelte forudsætninger stresses. Formålet med stresstestene er at bestemme, hvilke ændringer i forudsætningerne instituttet kan overleve. Stresstesten skal måle, hvorledes indtjening og kapitalforhold påvirkes af relativt usandsynlige, men ikke helt utænkelige forhold. Der er ved at opstå en praksis for hvilke standardstresstest et institut som minimum bør udsætte sig selv for. Den gode stresstest er en kombination af følsomhed overfor udsving i en enkelt parameter - f.eks. ændring af renteniveauet med f.eks. 2 procentpoint - og sammensatte scenarier, som kombinerer flere mulige hændelser. Kapitel 5.3. Side 8/16. Januar 2007

9 Der skal foretages en uafhængig vurdering af opgørelsen af det samlede kapitalbehov og vurderingen skal foretages af en enhed, der ikke deltager i den løbende forretningsmæssige drift. Resultatet af vurderingen skal rapporteres til bestyrelsen. Bemærk, at for kreditinstitutter, der ikke anvender interne metoder, kan den kontrol som bestyrelsen foretager, anses for at opfylde kravet til uafhængig vurdering og dermed kan den interne revision muligvis fritages for den opgave. En lang række risici skal identificeres, vurderes og kvantificeres Der er en hel del af ovenstående risici, der kan være vanskelige at kvantificere. For sådanne risici kan virksomheden vælge at begrænse risiciene ved hjælp af foranstaltninger omfattet af lov om finansiel virksomhed 71 (med den tilhørende nye vejledning). Men kreditinstituttet kan ikke undlade at medtage væsentlige risici ved opgørelsen af den tilstrækkelige basiskapital, da det er nødvendigt at skønne over den indflydelse, som risikoen har på den tilstrækkelige kapital. Det vil således på nogle områder være nødvendigt, at bestyrelse og direktion skønsmæssigt fastsætter, hvilket beløb/procent, der skal afsættes til risici, der ikke kan kvantificeres specifikt. Den tilstrækkelige kapital skal opgøres på baggrund af instituttets risikoprofil, og f.eks. et ønske om at opnå en bestemt rating, instituttets omdømme i markedet og strategiske mål. Når sådanne forhold indgår i opgørelsen, skal instituttet kunne dokumentere, hvordan disse forhold har påvirket opgørelsen af den tilstrækkelige kapital. Bemærk, at disse forhold ikke kan medføre, at virksomheden får et lavere kapitalbehov, end en opgørelse baseret på virksomhedens risikoprofil ville medføre. Nedenfor ses lidt nærmere på hver enkelt risiko. Risici knyttet til indtjening, vækst og koncentration Den fremtidige indtjening skal vurderes konservativt og i særdeleshed tage højde for forventede udsving i fremtiden. Regelsættet lægger generelt vægt på, at instituttet forholder sig mere til fremtiden end historiske udsving. Forventede udsving på mere end 50 % i forhold til budgettet vil f.eks. betragtes som væsentlige, og bør føre til et passende tillæg. Vækst er ofte et strategisk mål, som kan udgøre en betydelig risiko. Særligt når udlånet vokser eksplosivt, uden at der er tilgået instituttet væsentlig ny viden om risikoen ved disse udlån. Kan kreditinstituttet vise, at væksten alene eller primært foregår i segmenter, hvor der er særlig god viden om risici vil det formentlig ikke føre til et tillæg. Betydelig vækst i nye forretningsområder vil omvendt typisk medføre et tillæg. Særligt høje vækstrater skal også ses i sammenhæng med kapitalberedskabsplanen. Kapitel 5.3. Side 9/16. Januar 2007

10 Risikokoncentration optræder i en række sammenhænge. Følsomhedsanalyser og/eller simple stresstest skal indgå i vurderingen af disse risici. Eksempler på risikokoncentration er: Mange store engagementer Geografisk koncentration Betydelige udlån til (risikofyldte) erhvervsvirksomheder i forhold til private Koncentration af sikkerheder Koncentration af markedsrisici (f.eks. få risikofyldte aktier eller højrisikovaluta). Koncernrisici og likviditetsrisici Koncernrisici er relevante for de mere komplicerede koncerner. Der skal tage højde for de risici, der er forbundet med, at virksomheden ejer en eller flere dattervirksomheder. Det gælder særligt for de dattervirksomheder, som ikke indgår i den konsoliderede opgørelse efter lov om finansiel virksomhed 171 og 172, herunder særligt forsikringsselskaber. Såfremt dattervirksomhederne udgør en væsentlig risikofaktor, skal der tages højde herfor. Viden om vurdering af risici i f.eks. forsikringsselskaber bliver dermed en nødvendig kompetence for den interne revision. Likviditetsrisici kan opstå af forskellige årsager, men er ret sjældne. Instituttet skal derfor overveje, om denne risikotype skal indgå i kapitalbehovet eller om de solide og indarbejdede forretningsgange og låneberedskab er tilstrækkeligt til, at risikoen kan udelades af opgørelsen. Se også under kapitalberedskabsplan. Kontrolrisici og afviklingsrisici Kontrolrisici optræder når der ikke er sammenhæng mellem de ressourcer, instituttet anvender til at minimere de risici, der er ved at udøve finansiel virksomhed og virksomhedens risikoprofil. Instituttet skal derfor foretage en kvalitativ vurdering af sit kontrolmiljø. Der er udviklet en række værktøjer til at foretage sådanne vurderinger, og de er absolut relevante og effektive for de mellemstore og større institutter. Instituttet skal vurdere om kompleksitet og størrelse i sig selv nødvendiggør overvejelser om korrektion af den tilstrækkelige kapital, bl.a. med hensyn til de ressourcer, som instituttet råder over. I disse overvejelser bør det indgå, om instituttet på anden måde har søgt at dække disse risici, f.eks. ved styrkelse af eller tillæg for kontrolmiljøet eller tillæg for en eventuel forøget risikokoncentration. Mindre kreditinstitutter skal typisk påregne et tillæg, bl.a. som følge af begrænsede ressourcer og af historiske årsager (flere mindre institutter har været nødlidende). Kapitel 5.3. Side 10/16. Januar 2007

11 Det præciseres også, at en komplet udbygget organisation, hvor risikostyringen understøttes af forretningsgange, funktionsadskillelse, interne kontroller, ledelsesrapportering m.v., ikke vil give anledning til, at virksomheden kan foretage fradrag i den tilstrækkelige kapital. Kreditinstitutter, der har store afviklingsrisici, skal overveje, hvordan dette skal indgå i den tilstrækkelige kapital. Ved afviklingsrisici forstås risikoen for, at virksomheden afleverer et solgt aktiv eller penge til modparten uden samtidig at modtage penge eller det købte aktiv som forventet. Solide indarbejdede procedurer med gode kontroller kan medføre, at der ikke skal afsættes ekstra kapital til denne risikotype. Strategiske risici Omdømme, politiske risici mv. De strategiske risici skal ligeledes identificeres. Ved strategiske risici forstås f.eks. risici, der kan påvirke indtjeningen eller kapitalen som følge af ændringer i konkurrencesituationen, ny lovgivning, forkerte beslutninger, utilstrækkelig gennemførelse af vedtagne beslutninger - f.eks. et sammenbrud af kommunikationen mellem bestyrelsen, direktionen og ledelseslaget lige under - eller manglende evne til at tilpasse sig konkurrencesituationen. Kreditinstituttet skal overveje om, der skal afsættes kapital til dækning af et forværret omdømme. Ved omdømmerisici forstås f.eks. risikoen for tab af indtjening og kapital, som følge af virksomhedens dårlige omdømme blandt kunder, investorer, leverandører og offentlige myndigheder. Særligt i relation til omdømmerisici er det vigtigt at undersøge om der er risici, der allerede er taget højde for under operationelle risici eller om der er risici, der muligvis er udeladt af vurderingen pga. uklare definitioner og afgrænsninger. Den interne revision bør være ekstra opmærksom på sådanne definitoriske eller afgrænsningsmæssige problemstillinger. Markedsrisici der ikke er omfattet af søjle 1 - f.eks. renterisiko i bankbogen - skal også medtages i opgørelsen af det samlede kapitalbehov. Endelig kan der være udefrakommende faktorer - eksterne risici - som kan påvirke den tilstrækkelige kapital. Dette kan f.eks. være risici, der opstår som følge af ændringer i lovgivningen eller de økonomiske og forretningsmæssige betingelser, og som ikke er dækket af de ovennævnte risici. Kapitalplanlægning Bestyrelsen skal godkende en plan for fremskaffelse af kapital. Planen skal omfatte generelle principper for kapitalplanlægning, og hvem der er ansvarlig for processen. Planen skal også tage stilling til, hvordan kapitalkravet forventes overholdt i fremtiden, herunder en overordnet nødplan for afvigelser i de fastsatte forventninger og tage stilling til, hvad der skal ske, hvis der indtræffer uventede begivenheder. Kapitel 5.3. Side 11/16. Januar 2007

12 Nødplanen kan f.eks. indeholde planer for fremskaffelse af ny kapital, begrænsning af aktivitetsområderne eller anvendelse af risikoreducerende metoder. Instituttet bør overveje, om det vil være effektivt at arbejde med hybridkapital som en del af kapitalberedskabet. Udarbejdelse af kapitalplaner bør tage udgangspunkt i instituttets strategiske målsætninger, herunder vækstmål og eventuelle ratingmålsætninger og instituttets risikoappetit. Risikoappetitten er udtryk for instituttets risikovillighed, og bør fastsættes af bestyrelsen i samarbejde med direktionen. Overvågning og som minimum årlig revurdering Opgørelsen af den tilstrækkelige basiskapital skal revurderes så ofte - dog mindst årligt - som det er nødvendigt for at sikre, at alle risici er dækket tilstrækkeligt, og at den tilstrækkelige basiskapital er udtryk for den aktuelle risikoprofil. Det betyder, at alle (væsentlige) ændringer i virksomhedens strategi, forretningsområder, de økonomiske eller forretningsmæssige betingelser eller andre forhold, der har en betydelig indflydelse på de forudsætninger eller metoder, der er lagt til grund for opgørelsen af den tilstrækkelige kapital, skal medføre tilpasninger i den tilstrækkelige kapital. Hvis virksomheden får eller påtager sig nye risici - f.eks. ved indgåelse i nye forretningsområder - skal disse identificeres og indgå i opgørelsen af den tilstrækkelige kapital. Søjle 3 - gennemsigtighed og rapportering Retningslinjer for rapportering til de tre målgrupper - eksterne, Finanstilsynet og ledelsen - giver i øjeblikket anledning til en del forvirring. Den eksterne rapportering - typisk i form af årsrapporter - reguleres af IFRS eller Finanstilsynets regnskabsbekendtgørelse. Rapporterne til Finanstilsynet er reguleret af de nye fordanskede COREP-formater (EUrapportformat) og de interne rapporter til instituttets ledelse er reguleret af kravene i søjle 1, 2 og 3. Her ser vi alene på rapporten til Finanstilsynet. Instituttet skal til Finanstilsynet offentliggøre målsætninger og politikker for risikostyring på de enkelte risikokategorier, herunder de risici, der er omtalt i afsnit 3. Offentliggørelsen skal omfatte: strategier og procedurer for styring af de pågældende risici, strukturen i og tilrettelæggelsen af den relevante risikostyringsfunktion eller andre relevante funktioner, omfanget og arten af systemer til risikorapportering og -måling, politikker til risikoafdækning og risikoreduktion samt strategier og procedurer til overvågning af afdæknings- og reduktionsmekanismernes effektivitet. Kapitel 5.3. Side 12/16. Januar 2007

13 For kreditinstitutter, der anvender interne metoder, er der naturligvis ret omfattende krav til oplysning om metoder og procedurer, jf. den foregående artikel. Men uanset metode - og det kan måske overraske nogen - skal kreditinstituttet, der anvender kreditrisikoreduktionsteknikker (og det gør langt de fleste!), i hovedtræk oplyse følgende: Politikker, procedurer omfang af anvendelse af netting, herunder balanceført netting og netting under stregen Politikker og procedurer for værdiansættelse og forvaltning af sikkerhedsstillelse En beskrivelse af hovedkategorierne af modtagen sikkerhedsstillelse Hovedtyperne af modparter i form af garantistiller og kreditderivater og deres kreditværdighed Oplysninger om markeds- eller kreditrisikokoncentrationer inden for den foretagne kreditrisikoreduktion. Basel II-kravenes samlede betydning for risikostyringen Hvad er den overordnede betydning for den ansvarlige for risikostyringen? Som det fremgår af de foregående afsnit er der med det nye regelsæt lagt mere fokus på, at virksomheden har mere omfattende metoder til identifikation, måling, styring, kontrol og overvågning end tidligere. Dette gælder naturligvis i særlig grad, når virksomheden anvender de interne/avancerede metoder, men er nu et krav, der gælder alle kreditinstitutter. Et nøglespørgsmål er så, hvad der er et passende niveau for hvert enkelt kreditinstitut. God risikostyring omfatter en række delprocesser som identifikation, kvantificering, styring, kontrol, rapportering og overvågning. Der er udviklet en række relativt enkle metoder og processer, der kan hjælpe institutterne med at forbedre den generelle risikostyring, men den meget systematiske tilgang, som regelsættet lægger op til, er endnu ikke fuldt implementeret i ret mange institutter. En omfattende og fremadskuende identifikationsproces ses ikke implementeret i ret mange virksomheder i dag, men antallet er stærkt stigende. For at sikre at processen er tilstrækkeligt omfattende bør alle dele af virksomheden inddrages i arbejdet - dvs. alle led i værdikæden fra indkøb og ansættelse af medarbejdere over produktudvikling til salg og service af kunder samt alle de understøttende interne processer, herunder samarbejde med andre virksomheder. Kapitel 5.3. Side 13/16. Januar 2007

14 Det er altså ikke længere tilstrækkeligt at have fokus på it-relaterede risici. Det er derfor relevant for den interne revision at kortlægge, i hvilket omfang den nuværende proces afviger fra god praksis, og dermed om den nuværende proces udgør en risiko for virksomheden. Hvor langt ud i fremtiden skal man så fokusere? Bilag 1 siger, at overvejelserne omkring en tilstrækkelig basiskapital skal være fremadrettede. Det betyder, at ændringer i virksomhedens strategi, forretningsplaner, samfundsmæssige forhold og andre forhold, der kan påvirke de forudsætninger og metoder, der hidtil er indgået i overvejelserne, skal give anledning til nye overvejelser. Det indebærer endvidere, at virksomheden ved opgørelse af den tilstrækkelige basiskapital skal lægge vægt på de fremtidige forventninger og mindre på de historiske erfaringer. Opgørelsen af den tilstrækkelige kapital og solvensbehovet skal være skriftligt dokumenteret. Dokumentationen skal omfatte en beskrivelse af de metoder, forudsætninger og procedurer, der er anvendt i opgørelsen af den tilstrækkelige kapital og solvensbehovet. Dokumentationens omfang vil typisk være voksende med virksomhedens størrelse og kompleksitet i forretningsområder. Den præcise udformning af dokumentationen skal foretages af det enkelte kreditinstitut. Følgende skal dog kunne dokumenteres: At opgørelsen af den tilstrækkelige kapital og solvensbehovet er godkendt af bestyrelsen Bestyrelsens plan for fremskaffelse af kapital og nødplaner Hvilke stresstest virksomheden anvender En beskrivelse af den interne proces for opgørelse af den tilstrækkelige basiskapital og solvensbehovet En beskrivelse af den metode til opgørelse af den tilstrækkelige basiskapital og solvensbehovet, som virksomheden anvender En beskrivelse af hvilke forhold der indgår i opgørelsen Procedure og forretningsgange for revurdering af opgørelsen af den tilstrækkelige basiskapital og solvensbehovet Hvem der foretager den uafhængige vurdering En beskrivelse af den uafhængige vurdering Hvordan den interne rapportering foregår. Kapitel 5.3. Side 14/16. Januar 2007

15 Ordliste Begreb (alfabetisk) AMA Basel II BCBS CAD CCF CEBS GL03 GL10 CP10 CRD EAD ICAAP IRB-A IRB-F LGD M PD SRP SREP Søjle 1 Søjle 2 Søjle 3 Value at Risk (VaR) Beskrivelse Advanced Measurement Approach - avanceret metode til kvantificering af operationel risiko Betegnelse for BCBS s udgave af regelsættet for internationalt aktive pengeinstitutter Basel Committee on Banking Supervision - forfatteren til Basel II Capital Adequacy Directive - tidligere betegnelse for EU direktivets udgave af Basel II - nu under betegnelsen CRD. Credit conversion factor - faktor til estimering af fremtidige ukendte eksponeringer - f.eks. ved afgivne trækningsfaciliteter Committee of European Banking Supervisors - tager sig af koordinering af udviklingen Endelig udgave af CP03 - principper for tilsynets tilgang Endelig udgave af CP10 - de 10 principper for opgørelse af det samlede kapitalbehov (ICAAP) - endelig udgave af CP10. Consulting Paper nr. 10 fra CEBS - væsentligt fortolkningsbidrag til minimumskrav under IRB metoden. Se GL10. Capital Requirement Directive - EU direktiv som skal implementeres i dansk lov 1/ Exposure at default - eksponering i tilfælde af misligholdelse Internal Capital Adequacy Assessment Process, ICAAP - kreditinstituttets egen metode til opgørelse af det samlede kapitalbehov I henhold til søjle 2. Intern metode til opgørelse af minimumskapitalbehov for kreditrisiko. Metoden anvender virksomhedens egne estimater af PD, LGD og EAD/CCF og M Intern metode til opgørelse af minimumskapitalbehov for kreditrisiko. Metoden anvender virksomhedens egne estimater af PD. Loss given default - tab som følge af misligholdelse Maturity - effektiv varighed på eksponeringer og sikkerheder Probability of default - sandsynlighed for at modparten misligholder inden for de næste 12 måneder Supervisory Review Process - retningslinjer for Finanstilsynets tilsynsproces Supervisory Review and Evaluation Process - retningslinjer for Finanstilsynets tilsynsproces Ref. Basel II-regelsættet - indeholder retningslinjer for opgørelse af minimumkapitalkravet for kredit, operationel og markedsrisiko Ref. Basel II-regelsættet - retningslinjer for bankens interne opgørelse af det samlede kapitalbehov (ICAAP) og de nationale myndigheders tilsynsproces (SRP) Ref. Basel II-regelsættet - retningslinjer for rapportering. Metode til kvantificering af markedsrisiko Kapitel 5.3. Side 15/16. Januar 2007

16 Kapitel 5.3. Side 16/16. Januar 2007