16.6.2012   

RO

Jurnalul Oficial al Uniunii Europene

C 173/1

BCE

Banca Centrală Europeană

BCM

Gestionarea continuității activității (Business Continuity Management)

BPH

Manual de practici organizaționale (Business Practice Handbook)

BRI

Banca Reglementelor Internaționale

CBPP

Programul de achiziționare de obligațiuni garantate (Covered Bonds Purchase Programme)

CE

Comitetul executiv

CRO

Responsabilul cu gestionarea riscurilor (Chief Risk Officer)

D-CO

Direcția comunicare

DG-A

Direcția generală administrație

DG-H

Direcția generală resurse umane, buget și organizare

DG-IS

Direcția generală sisteme informatice

DG-M

Direcția generală operațiuni de piață

DG-P

Direcția generală plăți și infrastructura piețelor

DG-S

Direcția generală statistică

FOS

Servicii privind operațiunile financiare (Financial Operation Services)

GIPS

Standardele globale de prezentare a performanței investițiilor (Global Investment Performance Standards)

IAS

Standardele Internaționale de Contabilitate (International Accounting Standards)

IASB

Comitetul pentru Standarde Internaționale de Contabilitate (International Accounting Standards Board)

IFRS

Standardele Internaționale de Raportare Financiară (International Financial Reporting Standards)

INV

Serviciul plasamente (Investment Division)

MOS

Sisteme ale operațiunilor de piață (Market Operations Systems)

OFM

Gestionarea fondurilor proprii (Own Funds Management)

ORC

Comitetul pentru riscuri operaționale (Operational Risk Committee)

ORM

Gestionarea riscurilor operaționale (Operational Risk Management)

RMA

Serviciul gestionarea riscurilor (din cadrul DG-H) (Risk Management Division)

SEBC

Sistemul European al Băncilor Centrale

SMP

Programul destinat piețelor titlurilor de valoare (Securities Markets Programme)

VaR

Valoare la risc (Value at Risk)

1.

Banca Centrală Europeană (BCE), împreună cu băncile centrale naționale ale tuturor statelor membre ale Uniunii Europene (UE), formează Sistemul European al Băncilor Centrale (SEBC). Obiectivul principal al SEBC este menținerea stabilității prețurilor. SEBC susține, de asemenea, politicile economice generale ale UE pentru a contribui la realizarea obiectivelor Uniunii (1). În acest scop, BCE îndeplinește funcțiile specificate în statutul său (2) și este responsabilă de gestionarea activităților și a finanțelor sale.

2.

Auditul eficienței administrării BCE efectuat de Curtea de Conturi Europeană (Curtea) are drept temei juridic articolul 27.2 din Protocolul privind statutul SEBC și al BCE (3). Auditul pentru exercițiul 2010 acoperă sistemele și procedurile pe care BCE le utilizează în scopul gestionării riscurilor și modul în care acestea sunt puse în aplicare.

3.

Organele de decizie ale BCE sunt Consiliul guvernatorilor și Comitetul executiv (4). Comitetul executiv pune în aplicare politica monetară în conformitate cu orientările și deciziile adoptate de Consiliul guvernatorilor (5) și deține responsabilitatea globală privind gestionarea activității zilnice și a resurselor BCE. Tot Comitetului executiv îi revine și responsabilitatea finală privind gestionarea riscurilor în cadrul BCE.

4.

BCE dispune de două cadre separate pentru gestionarea riscurilor. Unitatea de gestionare a riscurilor operaționale [ORM (6)/BCM] acoperă totalitatea riscurilor operaționale (a se vedea nota de subsol 22), inclusiv continuitatea activității. Serviciul gestionarea riscurilor (RMA) are ca obiect gestionarea riscurilor financiare (a se vedea punctul 70), inclusiv riscurile legate de activitățile de plasament și de operațiunile de creditare ale BCE.

5.

Obiectivul auditului desfășurat de Curte pentru exercițiul financiar 2010 a fost de a evalua gradul de adecvare al cadrului de gestionare a riscurilor financiare și operaționale din cadrul BCE (7). Gestionarea riscurilor în cadrul BCE a fost evaluată prin prisma următoarelor întrebări-cheie de audit:

6.

Auditul gestionării riscurilor la nivelul BCE (8) a inclus următoarele elemente:

7.

Obiectivul declarat al BCE este de a aplica cele mai bune practici în procesul său de gestionare a riscurilor: „Banca Centrală Europeană a acordat, încă de la început, o atenție deosebită gestionării riscurilor. În calitate de membru nou al comunității băncilor centrale, ambiția sa a fost de a respecta cele mai înalte standarde de guvernanță în organizarea funcției de gestionare a riscurilor în cadrul instituției și de a aplica instrumente ultramoderne” (10).

8.

9.

În cadrul BCE, fiecare unitate organizațională (12) răspunde de gestionarea propriilor riscuri și controale. Există două funcții/servicii care acordă sprijin unităților organizaționale în procesul de gestionare a riscurilor:

10.

Pentru a sprijini Comitetul executiv în cadrul procesului de luare a deciziilor, s-au constituit mai multe comitete care răspund de diverse aspecte ale gestionării riscurilor; printre aceste comitete se numără și Comitetul pentru riscuri operaționale, Comitetul pentru investiții, Comitetul pentru active și pasive și Comitetul pentru credite.

11.

Structura organizațională este exhaustivă, cu o repartizare clară a rolurilor și a responsabilităților. Cu toate acestea, există o demarcare puternică între gestionarea riscurilor financiare și a celor operaționale în cadrul BCE, ceea ce sporește riscul ca aceasta să nu dispună de o viziune de ansamblu completă asupra riscurilor globale la care este expusă.

12.

Niciun organism unic și independent, de exemplu, un responsabil cu gestionarea riscurilor sau un comitet general pentru gestionarea riscurilor, nu a fost constituit pentru a face legătura între Comitetul executiv și cele două funcții/unități axate pe riscuri, ORM/BCM și RMA. La momentul desfășurării acestui audit, membrul Comitetului executiv care era însărcinat cu gestionarea riscurilor mai răspundea de o serie de alte domenii, în timp ce un responsabil cu gestionarea riscurilor s-ar concentra exclusiv pe acest domeniu.

13.

Mai mult, lipsa unei funcții de gestionare a riscurilor care să fie independentă din punct de vedere ierarhic sporește riscul ca anumite chestiuni legate de gestionarea riscurilor să nu beneficieze de o prioritate suficientă, cum ar fi alocarea de resurse de personal unor sarcini de gestionare a riscurilor, întrucât astfel de chestiuni intră sub incidența deciziilor luate de DG-H.

14.

În urma analizei celor mai bune practici existente în cadrul altor organizații internaționale similare, s-a constatat că Banca Canadei a adoptat un cadru integrat de gestionare a riscurilor, care include un responsabil cu gestionarea riscurilor și un grup de lucru pentru gestionarea riscurilor. Aceștia au drept sarcină elaborarea unui profil de risc exhaustiv al băncii, profil care include riscurile specifice activității acesteia, riscurile operaționale și riscurile financiare, astfel cum este descris în caseta 1. Cadrul de gestionare a riscurilor al băncii este încorporat pe deplin în procesele sale de planificare strategică, de întocmire a bugetului și, respectiv, în procesul său de evaluare a performanței de la sfârșitul exercițiului.

Caseta 1

Exemplu de gestionare integrată a riscurilor – Banca Canadei

Responsabilul cu gestionarea riscurilor are următoarele responsabilități:

Grupul de lucru pentru gestionarea riscurilor are următoarele sarcini:

15.

16.

BCE publică un raport anual, care include conturile anuale și notele explicative aferente (16). Informațiile prezentate în conturile anuale referitor la gestionarea riscurilor sunt relativ restrânse, iar informațiile referitoare la principiile și cifrele privind gestionarea riscurilor în cadrul BCE nu sunt făcute publice [cu excepția indicatorului consolidat privind valoarea la risc (17) (VaR)]. Raportul anual al BCE conține informații pe scurt cu privire la anumite aspecte de gestionare a riscurilor, însă nu prezintă o imagine de ansamblu a procesului de gestionare a riscurilor în cadrul organizației, neindicând nici riscurile cu care Banca se confruntă, nici abordarea pe care conducerea o adoptă cu privire la aceste riscuri.

17.

Utilizarea Standardelor Internaționale de Raportare Financiară (IFRS) (18) reprezintă cea mai bună practică în ceea ce privește prezentarea conturilor unei entități. Standardul Internațional de Raportare Financiară 7 „Instrumente financiare: Informații de furnizat” prevede că entitățile trebuie să prezinte în conturile lor informații cu privire la riscurile cu care se confruntă; acest standard nu a fost însă aplicat de BCE.

18.

Alte organizații bancare internaționale sau bănci centrale naționale, precum Banca Reglementelor Internaționale (BRI) și Banca Canadei, prezintă, în situațiile lor financiare anuale, informații cu privire la gestionarea riscurilor, chiar dacă una dintre aceste două bănci nu aplică standardele IFRS (a se vedea caseta 2 prezentată în continuare).

Caseta 2

Ilustrarea modului în care sunt prezentate informațiile cu privire la gestionarea riscurilor

19.

Gestionarea continuității activității completează cadrul de gestionare a riscurilor operaționale (ORM) al BCE, ambele formând un element important al guvernanței corporative (20).

20.

Un cadru eficace de gestionare a riscurilor operaționale presupune strategii clare, supraveghere din partea consiliului de administrație și din partea membrilor conducerii, o cultură solidă cu privire la riscurile operaționale și la controlul intern (inclusiv stabilirea unor linii clare de responsabilitate și o separare a sarcinilor), precum și un sistem de raportare eficace pe plan intern.

21.

Pentru a evalua gestionarea riscurilor operaționale în cadrul BCE, Curtea a examinat:

22.

23.

Cadrul de gestionare a riscurilor operaționale al BCE a fost aprobat de Comitetul executiv în octombrie 2007 (21) și este descris în Business Practice Handbook (BPH), care este publicat pe intranetul instituției, fiind pus la dispoziția întregului personal. Acest document prezintă, în linii mari, definiția dată de BCE conceptului de gestionare a riscurilor operaționale (22), politica de toleranță la risc, precum și repartizarea rolurilor și a responsabilităților în acest domeniu; documentul prezintă, în egală măsură, o imagine de ansamblu asupra politicilor legate de evaluarea riscurilor, de luarea de măsuri ca răspuns la acestea, de raportarea cu privire la riscuri și de monitorizarea acestora.

24.

Politicile ORM stabilite oferă o definiție clară, la nivelul de ansamblu al Băncii, pentru riscul operațional și pun bazele politicilor care definesc abordarea adoptată de Bancă în ceea ce privește evaluarea, monitorizarea și controlul/atenuarea riscurilor. Cu toate acestea, BPH nu conține detalii referitoare la abordarea Băncii cu privire la identificarea riscurilor.

25.

26.

Comitetului executiv îi revine responsabilitatea finală privind gestionarea riscurilor operaționale în cadrul BCE. Comitetul pentru riscuri operaționale (ORC) tratează subiecte cu caracter strategic și cu perspective pe termen mediu, precum și chestiuni pertinente punctuale (ad-hoc), încadrate într-un orizont pe termen scurt (23). Comitetul este format dintr-un membru al Comitetului executiv (președintele) și din șapte responsabili de nivel înalt din cadrul Băncii (24) și dispune de competențe decizionale în ceea ce privește acceptarea riscurilor de nivel mediu, în timp ce acceptarea riscurilor globale de nivel ridicat ține de competența Comitetului executiv. Comitetul se reunește o dată la două luni sau mai des, în cazul în care este necesar.

27.

BPH descrie în mod clar faptul că serviciile sunt responsabile de gestionarea propriilor riscuri operaționale (25). În consecință, fiecare serviciu ar trebui să desemneze (cel puțin) un coordonator privind gestionarea riscurilor, care să sprijine directorii serviciilor în procesul de gestionare a riscurilor operaționale și care să îndeplinească rolul primei persoane de contact pe probleme de gestionare a riscurilor operaționale în cadrul serviciului în cauză. Directorii serviciilor sunt, în egală măsură, responsabili de asigurarea faptului că personalul își însușește și își consolidează competențele necesare pentru a-și putea asuma atât responsabilitatea pentru gestionarea riscurilor operaționale, cât și obligația de a da seamă cu privire la acest aspect. Funcția ORM/BCM ar trebui să dezvolte și să consolideze cadrul de gestionare a riscurilor operaționale, asigurând totodată coordonarea abordării adoptate de diferitele servicii în acest domeniu.

28.

Din cei opt membri ai personalului funcției ORM-BCM, doar patru erau angajați permanenți la momentul auditului. Restul erau detașați de la băncile centrale naționale sau erau angajați în baza unor contracte de muncă cu durate determinate cuprinse între trei luni și doi ani. Aceasta înseamnă că există o rată ridicată de fluctuație a personalului, ceea ce are drept rezultat o pierdere de continuitate la nivelul unei funcții importante și sporește riscul ca BCE să nu implementeze în mod adecvat acest cadru de gestionare a riscurilor operaționale.

29.

În 2009 și în 2010, s-au desfășurat o serie de sondaje în rândul personalului, care au urmărit să evalueze, printre altele, în ce măsură este acesta conștient de cadrul de gestionare a riscurilor operaționale. Sondajul din 2009 arăta că aproximativ 40 % din respondenți au indicat că nu au primit suficiente informații despre acest cadru, 56 % nu cunoșteau cine fusese desemnat drept coordonator al gestionării acestor riscuri în cadrul serviciului lor, iar 45 % nu cunoșteau de unde anume de pe intranet să își procure informații cu privire la acest aspect. Potrivit rezultatelor sondajului din 2010, în continuare, 40 % nu cunoșteau unde anume pot găsi informații cu privire la ORM.

30.

31.

O parte importantă în stabilirea profilului de risc al BCE o reprezintă evaluarea anuală a riscurilor operaționale desfășurată de diferitele servicii și de funcția ORM/BCM. Evaluările pentru 2009 au fost efectuate de diferitele servicii în perioada iunie-august 2009, după care a avut loc o ședință de calibrare cu coordonatorii pentru gestionarea riscurilor. Raportul bazat pe o abordare „de sus în jos” a fost finalizat în ianuarie 2012.

32.

Profilul de risc ar trebui să fie unul dintre elementele care contribuie la procesul de planificare strategică, care, la rândul său, este determinant pentru elaborarea planului financiar. Auditul a arătat însă că evaluarea anuală a riscurilor operaționale nu este integrată în ciclul de planificare strategică și financiară al BCE. Prin urmare, ORM riscă să devină un exercițiu izolat și este posibil ca planul financiar să nu prevadă o alocare adecvată a resurselor astfel încât să permită îndeplinirea obiectivelor strategice (26).

33.

Un exemplu de bună practică este dat de Banca Canadei, unde profilul de risc al băncii reprezintă o parte integrantă din ciclul global de planificare strategică și financiară al acesteia (27).

34.

35.

Cadrul ORM a fost implementat în principal prin evaluări bazate pe o abordare „de sus în jos”. Conform politicii BCE în materie de riscuri, serviciile din cadrul Băncii ar trebui să realizeze la rândul lor, în mod constant, evaluări bazate pe o abordare „de jos în sus” cu privire la procesele pe care le derulează, iar riscurile care sunt astfel identificate ar trebui să fie supuse aprobării (28).

36.

BCE a desfășurat evaluări ale riscurilor, pe baza unei abordări „de sus în jos”, în 2008 și în 2009. Funcția ORM/BCM a pus la dispoziția diferitelor servicii o serie de riscuri globale de nivel ridicat predefinite care au servit drept bază pentru evaluările efectuate de acestea cu privire la riscuri. Raportul final a inclus un plan de acțiune pentru fiecare dintre servicii. BPH prevede că serviciile trebuie să analizeze și să definească strategii de răspuns la riscurile identificate și să efectueze o analiză a raportului costuri/beneficii al posibilelor soluții.

37.

Toate serviciile identificaseră riscuri și măsuri aferente care să fie întreprinse ca răspuns la aceste riscuri, în cadrul demersului de evaluare „de sus în jos” din 2009. Raportul privind evaluarea „de sus în jos” din 2009 conținea o serie de puncte de acțiune care trebuiau urmărite de fiecare serviciu. Nu exista însă nicio documentație cu privire la analizele costuri/beneficii din cadrul serviciilor incluse în eșantionul auditat.

38.

Pentru unele riscuri, procedura de acceptare de către ORC/CE, derulată după identificarea riscului de către serviciul în cauză, era foarte lentă. De exemplu, două riscuri identificate în iulie-august 2009 nu erau încă aprobate în decembrie 2010. Lista punctelor de acțiune în curs, care au fost examinate în cadrul reuniunilor ORC, indică de asemenea că unele puncte rămăseseră deschise mai mult de un an, iar altele până la doi ani.

39.

Doar în cazul a trei din șase servicii incluse în eșantion a fost posibilă identificarea unor resurse alocate în mod specific activităților de gestionare a riscurilor operaționale în cadrul programului lor de activitate, însă descrierea acestor activități era formulată în termeni vagi; de asemenea, nu a fost posibilă identificarea unei corelații între punctele de acțiune rezultate din exercițiul de evaluare „de sus în jos” din 2009 privind gestionarea riscurilor operaționale și programele de activitate ale diferitelor servicii.

40.

Gestionarea continuității activității (BCM) reprezintă o componentă semnificativă a gestionării riscurilor operaționale. Pentru a se asigura continuitatea activităților și a proceselor de maximă importanță în eventualitatea unei situații de criză, este nevoie de planuri de urgență și de planuri de redresare pentru scenariile cele mai pesimiste.

41.

Curtea a examinat dacă:

42.

Gestionarea continuității activității reprezintă o abordare organizațională globală care include politici, standarde și proceduri menite să asigure că anumite operațiuni pot fi menținute sau recuperate în timp util în eventualitatea unei perturbări a activității. Scopul său este de a reduce la minimum consecințele operaționale, financiare, juridice sau pe cele legate de reputație, precum și alte consecințe semnificative cauzate de o astfel de perturbare  (29).

43.

Scopul BCM este de a asigura faptul că mecanismele și soluțiile în materie de continuitate a activității sunt conforme cu obiectivele, cu obligațiile și cu atribuțiile statutare ale BCE, precum și cu politica de toleranță la risc a acesteia (30).

44.

Auditul a cuprins examinarea principalelor documente care constituie cadrul BCM:

45.

BCE a elaborat un manual de gestionare a crizelor care definește rolurile, responsabilitățile și procesele care trebuie îndeplinite în situații de criză și care conține datele de contact ale membrilor echipei de gestionare a crizelor. Fiecare serviciu este pe deplin responsabil de elaborarea propriului plan de continuitate a activității. Modelul elaborat la nivel înalt pentru a fi utilizat de către fiecare serviciu la întocmirea acestui plan nu prevede însă elaborarea unui plan general de continuitate a activității la nivelul BCE și, în consecință, BCE nu a elaborat niciun astfel de plan.

46.

BCE a instituit un cadru solid care furnizează orientări în ceea ce privește politicile, procesele și responsabilitățile în materie de gestionare a continuității activității în cadrul organizației. Cu toate acestea, abordarea sa descentralizată dă naștere totodată la riscul ca, în lipsa unei coordonări stricte, gestionarea continuității activității să nu fie implementată în mod coerent în cadrul întregii organizații.

47.

Analizele de impact asupra activității constituie un proces dinamic de identificare a operațiunilor și a serviciilor de maximă importanță, a relațiilor principale de dependență, interne și externe, și a nivelurilor corespunzătoare de reziliență. Acest proces evaluează riscurile și impactul potențial al unor diverse scenarii de perturbare a activității asupra operațiunilor organizației și asupra reputației acesteia  (31).

48.

Cea mai recentă analiză completă de impact asupra activității a fost realizată în 2006 (32) pentru a identifica produsele și serviciile BCE indispensabile pentru continuitatea principalelor operațiuni ale Băncii. Printre domeniile-cheie pe care această analiză de impact s-a axat s-au numărat următoarele:

49.

În urma unei actualizări cuprinzătoare în 2007 a analizei de impact asupra activității, s-au constatat lacune în ceea ce privește continuitatea activității și mecanismele aferente existente în acea perioadă. S-a elaborat o strategie de urmărire a situației respective. Aceasta propunea diferite soluții vizând fie remedierea lacunelor identificate, fie acceptarea riscurilor și a costurilor. Cu toate acestea, deși documentul conținea o prezentare a costurilor pe care le implicau diferitele soluții legate de tehnologia informației și de infrastructura logistică, acesta nu conținea și o defalcare detaliată care să indice impactul diferitelor niveluri de risc asupra costurilor.

50.

Cea mai recentă actualizare a analizei de impact asupra activității, al cărei obiectiv a fost de a remedia lacunele identificate în 2007, a fost finalizată în 2010. De la declanșarea crizei financiare, nu s-a mai realizat nicio analiză completă de impact asupra activității.

51.

Planurile de continuitate a activității trebuie concepute în așa manieră încât să identifice operațiunile de maximă importanță pentru ca BCE să își poată îndeplini obligațiile statutare, astfel cum sunt acestea definite în protocolul privind statutul Băncii Centrale Europene  (33). Aceste planuri ar trebui dezvoltate având la bază „scenariul cel mai pesimist”, ținând seama de faptul că măsurile care trebuie luate pot fi de o mai mică amploare, pentru a fi adaptate la situația reală de criză  (34).

52.

BCE a stabilit o serie de criterii de referință principale în raport cu care să se determine nivelul critic corespunzător unui număr de riscuri, pe baza obligațiilor sale statutare (a se vedea caseta 3).

Caseta 3

Principalele criterii de referință în raport cu care se determină nivelul critic

Îndeplinirea obligațiilor statutare, inclusiv:

Întreruperea oricăruia dintre procesele identificate poate avea drept consecințe:

Sursa: Analizele de impact asupra activității, BCE, examinarea pentru 2006.

53.

În urma examinării de către Curte a acestor criterii de referință principale și pe baza unei evaluări preliminare a nivelului potențial la care ar urma să se continue operațiunile în condițiile scenariilor stabilite (35), s-a constatat că planurile erau concepute astfel încât să permită îndeplinirea obligațiile statutare ale Băncii. În schimb, în urma examinării planurilor de continuitate a activității, Curtea a identificat o lipsă de planuri care să abordeze o pierdere importantă de resurse umane (36) în caz de dezastru. Deși serviciile responsabile de procesele în cauză desemnaseră atât personalul răspunzător de continuitatea activității, cât și pe înlocuitorii acestuia, niciun serviciu nu dispunea de un plan de rezervă în caz de indisponibilitate masivă a personalului.

54.

În cadrul unei organizații, se va efectua o comparație între, pe de o parte, beneficiile directe pe care aceasta le obține ca urmare a măsurilor luate pentru îmbunătățirea rezilienței sale la eventualele perturbări de activitate și, pe de altă parte, costurile măsurilor respective  (40).

55.

Modelul general elaborat la nivel înalt de BCE pentru planurile de continuitate a activității conține structura și cuprinsul pe care planul elaborat de fiecare dintre serviciile Băncii trebuie să le conțină în mod obligatoriu. Prin urmare, acest model cuprinde doar structura pe care trebuie să o aibă documentele privind planul de continuitate a activității, furnizate de fiecare serviciu.

56.

Planurile de continuitate a activității sunt întocmite la nivelul fiecărui serviciu, departament sau divizie. În general, modelul privind planul de continuitate a activității este respectat din punctul de vedere al conținutului obligatoriu, însă există diferențe mari în ceea ce privește gradul de detaliere. Deși funcția ORM/BCM joacă un rol de coordonare centrală, calitatea fiecărui plan de continuitate a activității depinde de persoana responsabilă în acest sens la nivelul fiecărui serviciu în parte. Nu exista nicio probă care să ateste că diferitele planuri de continuitate a activității sunt revizuite în mod suficient de către funcția ORM/BCM.

57.

Dintre cele cinci servicii (41) selectate pentru a fi testate în detaliu, patru elaboraseră planuri de continuitate a activității în conformitate cu cerințele prevăzute, iar trei dintre aceste patru servicii abordaseră în totalitate chestiunea proceselor de maximă importanță care fuseseră identificate în cadrul analizei de impact asupra activității.

58.

În cea mai mare parte a cazurilor, în serviciile selectate, nu exista nicio documentație în sprijinul analizelor costuri/beneficii privind diversele soluții pentru continuitatea activității, și nici în ceea ce privește evaluarea diverselor niveluri de risc.

59.

Organizațiile ar trebui să testeze planurile lor de continuitate a activității, să le evalueze eficacitatea și să își actualizeze gestionarea continuității activității, acolo unde este necesar  (42). BS 25999  (43) prevede că organizația trebuie să se asigure că mecanismele sale privind gestionarea continuității activității sunt validate prin intermediul testelor și al revizuirii și că sunt actualizate în mod constant.

60.

Au fost examinate următoarele documente:

61.

Strategia de testare este axată pe planurile de continuitate a activității și pe planurile de recuperare a sistemelor informaționale elaborate, obiectivul acesteia fiind de a examina dacă planurile respective acoperă toate procesele de maximă importanță ce au fost identificate în cadrul analizei de impact asupra activității. Cadrul de testare include o repartizare clară a responsabilităților, stabilirea sferei și a frecvenței testelor, definirea cerințelor de raportare, precum și un program pertinent de testare pe termen mediu. În urma examinării, s-a constatat că acest cadru de testare este adecvat și că a fost stabilit în conformitate cu cerințele standardului BS 25999.

62.

Testele efectuate au relevat că exercițiile de simulare, deși vizează personalul-cheie și sunt realizate în mod regulat, nu reproduc întotdeauna situațiile cu care BCE s-ar confrunta în caz de perturbare majoră a activității. Testele planificate pentru 2009 și 2010 nu au acoperit toate scenariile elaborate de BCE și nu toate testele planificate inițial au fost executate.

63.

Echipele responsabile de gestionarea crizelor și de luarea de măsuri în situații de criză trebuie formate cu privire la responsabilitățile și sarcinile care le revin. Aceste echipe ar trebui să beneficieze de formare cel puțin o dată pe an, iar noii membri ar trebui să treacă printr-un parcurs de formare în acest domeniu atunci când se alătură echipelor respective. Fiecare membru al personalului ar trebui să fie format astfel încât să fie capabil să își îndeplinească responsabilitățile care îi revin în situații de criză. De asemenea, întregul personal ar trebui să fie informat cu privire la principalele componente ale planului de continuitate a activității  (45).

64.

Strategia de formare adoptată de BCE prevede că întregul personal ar trebui să beneficieze de programul de creștere a sensibilizării în ceea ce privește gestionarea continuității activității (46). În ceea ce privește testarea, strategia de formare prevede stabilirea unui program de formare care să furnizeze detaliile de implementare.

65.

În 2010, au avut loc, pentru cinci jumătăți de zi, programe de formare în domeniul gestionării crizelor, în cadrul cărora s-a oferit posibilitatea de a „parcurge” manualul de gestionare a crizelor adoptat de BCE. Per ansamblu, atât pentru introducerea realizată cu privire la manual, cât și pentru sesiunea de formare, s-au primit evaluări pozitive din partea cursanților, însă, totodată, s-a subliniat că ar fi în mare măsură apreciată inițiativa de a se efectua o serie de exerciții de simulare.

66.

Auditul a identificat probe care atestă în mod clar faptul că au loc formări ale personalului responsabil de continuitatea activității, în principal prin intermediul testării planurilor de continuitate a activității; în schimb, auditul nu a identificat nicio probă care să indice că chestiunea sensibilizării celorlalți membri ai personalului cu privire la cadrul și la procesele de continuitate a activității era abordată în mod activ. În mai multe documente interne de referință (47), se recunoaște faptul că, deși testarea joacă un rol esențial în formarea personalului, este nevoie ca întregul personal să fie informat prin intermediul unui program de sensibilizare. Nu s-a elaborat un astfel de program până în prezent, întrucât funcția ORM/BCM consideră că gradul de sensibilizare a personalului cu privire la mecanismele de continuitate a activității este satisfăcător. Cu toate acestea, rezultatele unei anchete interne (48) arată faptul că peste 12 % (20 % în 2009) din respondenți nu cunosc mecanismele de continuitate a activității pentru serviciul în care își desfășoară activitatea și nici nu cunosc de unde anume să își procure informații cu privire la modul în care ar trebui să reacționeze în situații de criză.

67.

Gestionarea riscurilor financiare este un proces prin care sunt abordate incertitudinile cauzate de piețele financiare. Procesul implică evaluarea riscurilor financiare cu care se confruntă organizația și elaborarea unor strategii de gestiune care să fie în conformitate cu prioritățile și politicile interne.

68.

Curtea a examinat dacă:

69.

Cadrul ar trebui să furnizeze o definiție a riscului financiar la nivel de organizație și să stabilească principiile legate de modul în care riscul financiar trebuie identificat, evaluat, monitorizat și controlat/atenuat  (49). Banca trebuie să dispună de un sistem de gestionare a riscurilor financiare în cadrul căruia responsabilitățile să fie alocate în mod clar.

70.

Cadrul BCE privind gestionarea riscurilor financiare este conceput cu scopul de a acoperi riscurile la care sunt expuse următoarele două tipuri de operațiuni desfășurate de Bancă: (i) operațiunile de plasament; și (ii) operațiunile de creditare. Operațiunile de plasament sunt legate de două portofolii, și anume portofoliul de rezerve valutare (50) (60 600 de milioane de euro la 31 decembrie 2010) și portofoliul de fonduri proprii (51) (13 300 de milioane de euro la 31 decembrie 2010). Operațiunile de creditare sunt legate de operațiunile de politică monetară (52). Printre activitățile de plasament ale BCE se numără administrarea rezervelor valutare ale BCE (53), administrarea portofoliului de fonduri proprii al BCE și a fondului de pensii, precum și activități legate de cele două portofolii deținute în scopuri de politică monetară (54).

71.

Serviciul gestionarea riscurilor este responsabil de actualizarea constantă a cadrului general de gestionare a riscurilor pentru operațiunile de plasament, precum și pentru monitorizarea, evaluarea și controlul riscurilor rezultate din astfel de operațiuni. Serviciul respectiv supraveghează conformitatea acestui cadru cu politicile și procesele convenite în materie de gestionare a riscului de credit și a riscului de piață. Cazurile de neconformitate sunt raportate urmându-se o serie de proceduri de intervenție în etape.

72.

DG-M este serviciul din cadrul BCE care desfășoară operațiunile de plasament ale Băncii. Acest serviciu este, de asemenea, responsabil de actualizarea și de dezvoltarea constantă a aplicației destinate administrării portofoliilor Eurosistemului (55). Serviciul plasamente al DG-M răspunde de elaborarea propunerilor Comitetului pentru plasamente, propuneri legate de nivelul de referință tactic pentru portofoliile de rezerve valutare și de administrarea directă a portofoliului de fonduri proprii al BCE.

73.

Principalul document legat de gestionarea riscurilor financiare rezultate din activitățile de plasament, intitulat Handbook of Financial Risk Management  (56), prezintă în mod exhaustiv totalitatea politicilor, proceselor și procedurilor relevante, făcând referire în special la documentele adoptate de organul de decizie al BCE.

74.

Cadrul general, precum și cadrul de gestionare a riscurilor financiare instituit de BCE pentru gestionarea operațiunilor de plasament și a celor de politică monetară oferă o definiție a riscului financiar la nivelul de ansamblu al Băncii și stabilesc modalitățile în care riscul financiar trebuie identificat, evaluat, monitorizat și controlat/atenuat.

75.

76.

Documentul elaborat de BCE, intitulat Handbook of Financial Risk Management, definește următoarele elemente:

77.

Procesul de plasament al rezervelor valutare are la bază o structură de trei niveluri, care cuprinde nivelul de referință strategic, nivelul de referință tactic și portofoliile efective. Nivelul de referință strategic reflectă preferințele în ceea ce privește riscurile și randamentele pe termen lung și este decis de Consiliul guvernatorilor.

78.

Procesul de plasament al fondurilor proprii are la bază o structură de două niveluri, nivelul de referință strategic și portofoliul efectiv. Nivelul de referință strategic este decis de Comitetul executiv.

79.

Randamentele sunt valorificate la maximum, făcând obiectul constrângerii „zero pierderi” și al celei legate de alocarea activelor și sunt implementate prin intermediul unei alocări strategice specifice a activelor (58).

80.

Listele privind țările, emitenții și contrapartidele eligibile sunt administrate de RMA. Limitele pentru contrapartide sunt fixate de RMA pe baza metodologiei aprobate de Comitetul executiv. În ceea ce privește administrarea rezervelor valutare, fixarea limitelor pentru băncile centrale naționale este bazată pe metodologia aprobată de Consiliul guvernatorilor. O dată pe an, se procedează în mod sistematic la o actualizare a tuturor limitelor. În plus, este luat în considerare în mod prompt impactul pe care îl are modificarea ratingurilor asupra eligibilității și asupra limitelor.

81.

Alocarea strategică a activelor ține seama de următoarele cerințe de politică stabilite la nivel înalt:

Orizontul de timp privind plasamentele și orizontul de risc sunt stabilite o dată pe an pentru rezervele valutare și o dată la cinci ani pentru fondurile proprii.

82.

Auditul desfășurat de Curte a inclus examinarea:

83.

Examinarea cadrului de gestionare a riscurilor financiare indică faptul că metodologia aplicată în acest domeniu permite, într-un mod satisfăcător, determinarea apetitului pentru risc și că aceasta furnizează orientări exhaustive pentru operațiunile de plasament derulate de BCE.

84.

85.

Auditul Curții a inclus:

86.

În ceea ce privește examinarea cadrului privind valoarea la risc, s-au avut în vedere următoarele aspecte:

87.

Testele de audit au arătat că metodologia a fost implementată în mod adecvat. Cu toate acestea, nu există nicio documentație care să ateste că s-a aplicat „principiul celor patru ochi”. În plus, în urma examinării modelelor utilizate pentru calculul nivelurilor de referință strategice și tactice și pentru calculul valorii la risc (VaR), inclusiv examinarea modului în care s-a realizat validarea modelelor, s-au constatat următoarele pentru unele dintre modele:

88.

Analiza celor mai bune practici existente în cadrul altor organizații internaționale similare a arătat că, în urma crizei financiare din Statele Unite, Federal Reserve Bank of New York a constituit o echipă însărcinată cu validarea modelelor, în cadrul inițiativei sale de a-și consolida capacitățile de gestionare a riscurilor financiare. Sarcinile principale ale acestei echipe sunt descrise în caseta 4.

Caseta 4

Echipa din cadrul Federal Reserve Bank of New York, însărcinată cu validarea modelelor

Sarcinile principale ale echipei sunt enumerate în continuare:

89.

90.

RMA supraveghează conformitatea cu politicile și procesele convenite în materie de gestionare a riscului de credit și a riscului de piață, răspunzând și de raportarea cazurilor de neconformitate prin utilizarea unor proceduri de intervenție în etape. Serviciul RMA din cadrul BCE raportează în mod regulat cu privire la raportul risc/randament și la performanța ambelor portofolii ale Băncii, și anume rezervele valutare și fondurile proprii, precum și cu privire la nivelurile de referință strategice și tactice conexe. Raportarea are loc zilnic, săptămânal, lunar, trimestrial și anual.

91.

Testele și interviurile derulate de auditori au confirmat faptul că raportarea performanțelor se realizează în mod regulat și este comunicată conducerii executive în timp util. Cu toate acestea, s-a luat notă de faptul că standardele GIPS (59), considerate a fi drept unele dintre cele mai bune practici în domeniu, nu sunt respectate în totalitate în cadrul raportării interne a BCE cu privire la performanță.

92.

Structura organizațională stabilită de BCE este completă, iar rolurile și responsabilitățile sunt alocate în mod clar. Cu toate acestea, există o demarcare puternică între gestionarea riscurilor financiare și a celor operaționale în cadrul Băncii, ceea ce sporește riscul ca aceasta să nu dispună de o viziune de ansamblu completă asupra riscurilor la care este expusă. Niciun organism unic și independent, de exemplu, un responsabil cu gestionarea riscurilor sau un comitet pentru gestionarea riscurilor, nu a fost constituit pentru a face legătura între Comitetul executiv și cele două funcții/unități axate pe riscuri, ORM/BCM și RMA.

93.

Conturile anuale ale BCE conțin doar informații pe scurt cu privire la anumite aspecte de gestionare a riscurilor, în loc să prezinte o imagine de ansamblu a procesului de gestionare a riscurilor în cadrul organizației, neindicând nici riscurile cu care Banca se confruntă, nici abordarea pe care conducerea o adoptă cu privire la aceste riscuri.

Recomandări

94.

BCE dispune de o structură organizațională clară și a instituit politici adecvate de gestionare a riscurilor operaționale care definesc abordarea adoptată de Bancă în ceea ce privește evaluarea, monitorizarea și controlul/atenuarea riscurilor.

95.

Deși s-au efectuat evaluări bazate pe o abordare „de sus în jos” în 2008 și în 2009 și s-au identificat planuri de acțiune pentru fiecare serviciu în parte, nu exista nicio documentație cu privire la analizele raporturilor costuri/beneficii.

96.

S-a instituit un sistem de raportare, de monitorizare și de urmărire cu privire la riscuri și s-a convenit asupra unui calendar pentru urmărirea măsurilor luate în vederea atenuării riscurilor de nivel mediu și ridicat. Cu toate acestea, în cazul anumitor riscuri, procedura de acceptare de către ORC/CE a avut o durată foarte îndelungată. Nu există nicio relație de integrare între ciclul de planificare și ciclul de gestionare a riscurilor operaționale. De asemenea, activitățile de gestionare a riscurilor operaționale nu erau indicate în mod clar în programele de activitate ale unora dintre serviciile auditate.

97.

BCE a elaborat un manual exhaustiv de gestionare a crizelor care definește rolurile, responsabilitățile și procesele care trebuie îndeplinite în situații de criză și care conține datele de contact ale membrilor echipei de gestionare a crizelor. Fiecare serviciu este pe deplin responsabil de elaborarea propriului plan de continuitate a activității.

98.

BCE a instituit un cadru solid, care furnizează orientări în ceea ce privește politicile, procesele și responsabilitățile în materie de gestionare a continuității activității în cadrul organizației. Cu toate acestea:

Recomandări

99.

Cadrul general, precum și cadrul de gestionare a riscurilor financiare instituit de BCE pentru gestionarea operațiunilor de plasament și a celor de politică monetară sunt adecvate. Examinarea cadrului de gestionare a riscurilor financiare a indicat faptul că metodologia aplicată în acest domeniu este solidă și adecvată pentru gestionarea operațiunilor de plasament și a celor de politică monetară derulate de BCE. Cu toate acestea, este nevoie de îmbunătățiri în ceea ce privește punerea în practică a metodologiei respective, de exemplu referitor la modelele utilizate pentru calculul nivelurilor de referință strategice și tactice și pentru calculul valorii la risc (VaR).

100.

Rapoartele interne privind gestionarea riscurilor furnizează membrilor conducerii și Comitetului executiv al BCE informații exacte, adecvate și exhaustive privind gestionarea riscurilor financiare. Raportarea cu privire la performanță are loc în mod regulat și în timp util, însă nu este actualizată în mod regulat pentru a reflecta modificările aduse standardelor GIPS.

Recomandări