Анализ рисков кредитной организации

Анализ рисков кредитной организации — комплексная оценка угроз, способных привести банк к убыткам, нарушению обязательных нормативов Банка России или отзыву лицензии. За терминами «кредитный риск» и «риск ликвидности» стоит реальная уголовная ответственность руководителей. Наша команда защищала топ-менеджеров банков, которых привлекали по ст. 196 и 201 УК РФ после того, как регулятор обнаруживал провалы в системе управления рисками. Разбираемся, какие риски обязан анализировать банк, какие нормативы действуют и что грозит за их нарушение.

Виды рисков, которые обязана контролировать кредитная организация

Федеральный закон «О банках и банковской деятельности» определяет статус кредитных организаций, а Банк России задает перечень рисков, подлежащих обязательному анализу. Каждый из них способен стать основанием для надзорных санкций — вплоть до уголовного преследования.

Кредитный риск — вероятность того, что заемщик не исполнит обязательства по договору. На него приходится основная доля потерь любого банка. Формула ожидаемых потерь: EL = PD × LGD × EAD, где PD — вероятность дефолта, LGD — уровень потерь при дефолте, EAD — подверженность риску на момент дефолта. Непредвиденные потери (UL), выходящие за рамки прогноза, покрываются собственным капиталом банка — именно поэтому достаточность капитала настолько важна для регулятора. Рост просроченной ссудной задолженности и показателя NPL (доля необслуживаемых кредитов в портфеле) — первый сигнал для Службы анализа рисков Банка России, созданной решением Совета директоров 29 апреля 2016 года.

Рыночный риск объединяет процентный (изменение ставок), валютный и фондовый риски. Крах Silicon Valley Bank в 2023 году показал, как процентный риск способен уничтожить банк за считанные дни: резкий рост ставок обесценил портфель облигаций, вкладчики побежали — и финансовая устойчивость испарилась.

Операционный риск — потери из-за сбоев процессов, ошибок персонала, отказа систем. Кибер-риск, значимость которого растет с каждым годом, тоже относится сюда.

Риск ликвидности — неспособность банка вовремя исполнить обязательства. Именно он превращает проблемный банк в банкрота.

Риск концентрации возникает при чрезмерной зависимости от одного заемщика, отрасли или региона. Нормативы Н6 (максимум 25% капитала на одного заемщика или группу связанных заемщиков) и Н7 (до 800% капитала — совокупная величина крупных кредитных рисков) установлены для ограничения этой угрозы. Институциональный риск — нестабильность правовой или политической среды — дополняет картину.

Помимо перечисленных, банки обязаны учитывать комплаенс-риск (санкции за несоблюдение нормативных требований), репутационный, стратегический и правовой риски. Системный риск — угроза для финансовой системы в целом — отдельная забота системно значимых кредитных организаций (СЗКО), к которым относятся Сбербанк, ВТБ, Газпромбанк, Альфа-Банк и другие крупнейшие банки.

Нормативная база анализа рисков

Фундамент регулирования — Федеральный закон от 10.07.2002 N 86-ФЗ «О Центральном банке Российской Федерации». Статья 72.1 этого закона (введена ФЗ от 02.07.2013 N 146-ФЗ, существенно переработана ФЗ от 23.04.2024 N 97-ФЗ) устанавливает требования к банковским методикам управления рисками и моделям количественной оценки. С 1 января 2030 года СЗКО обязаны применять подход на основе внутренних рейтингов (IRB, он же ПВР) для расчета кредитного риска — это прямое требование закона, а не рекомендация.

Инструкция Банка России N 199-И определяет обязательные нормативы:

Норматив	Что ограничивает	Порог
Н1.0	Достаточность совокупного капитала	Минимум 8%
Н1.1	Достаточность базового капитала (CET1)	Минимум 4,5%
Н6	Риск на одного заемщика/группу	Максимум 25% капитала
Н7	Крупные кредитные риски	Максимум 800% капитала
Н9.1	Риск на участников (акционеров)	Максимум 50%
Н10.1	Совокупный риск на инсайдеров	Максимум 3%

Нормативы достаточности капитала рассчитываются через активы, взвешенные по риску (RWA). К базовым требованиям добавляются надбавки по стандартам Базельского комитета по банковскому надзору при Банке международных расчетов (BIS): буфер консервации капитала (2,5%), контрциклический буфер (устанавливает Банк России) и буфер системной значимости для СЗКО. Капитал первого уровня (Tier 1) — основа расчета. Базель II ввел три компонента регулирования: минимальные требования к капиталу, надзорный процесс и рыночную дисциплину. Базель III ужесточил требования после мирового финансового кризиса 2008 года. Финализация реформ (так называемый «Базель IV») ограничивает свободу банков при использовании внутренних моделей.

Положение Банка России N 590-П (пришло на смену Положению N 254-П) регулирует формирование резервов на возможные потери по ссудам (РВПС). Банк классифицирует каждую ссуду по пяти категориям качества — от стандартных (I) до безнадежных (V). Провизионирование по проблемным активам (IV–V категории) может составлять от 51 до 100% суммы долга. Стоимость риска (Cost of Risk) — отношение отчислений в резервы к кредитному портфелю — одна из метрик, на которую смотрит и регулятор, и рынок. RAROC (доходность с поправкой на риск) показывает, оправдывает ли прибыль принятые риски.

МСФО 9 (IFRS 9) обязывает банки применять модель ожидаемых кредитных убытков (ECL) вместо прежней модели понесенных потерь — резервы формируются на основе прогноза, а не постфактум. Внутренние процедуры оценки достаточности капитала (ВПОДК, международный аналог — ICAAP) обязывают банки самостоятельно оценивать достаточность капитала с учетом всех существенных рисков. Коэффициент покрытия ликвидности (LCR) и показатель чистого стабильного фондирования (NSFR) контролируют устойчивость банка в краткосрочном и долгосрочном горизонте.

Методы и инструменты оценки рисков

Банки применяют два подхода к расчету кредитного риска: стандартизированный (с использованием внешних рейтингов агентств — ACRA, «Эксперт РА», а на международном уровне — Moody's, S&P Global Ratings, Fitch Ratings) и подход на основе внутренних рейтингов (IRB/ПВР), требующий собственных моделей оценки PD, LGD и EAD.

Кредитный скоринг — базовый инструмент розничного сегмента. Скоринговая карта присваивает заемщику балл на основе кредитной истории (данные из бюро кредитных историй — НБКИ, ОКБ, Equifax, по ФЗ «О кредитных историях»), уровня доходов, долговой нагрузки (DTI) и десятков других параметров. За рубежом эталоном остается FICO Score. Классический математический аппарат — логистическая регрессия, но банки все чаще применяют методы машинного обучения: градиентный бустинг (XGBoost, LightGBM), случайные леса, нейронные сети. Качество модели измеряется через AUC-ROC и коэффициент Джини. Автоматизированный кредитный конвейер обрабатывает заявки потоком — и каждый его сбой попадает в зону операционного риска.

Для корпоративных заемщиков применяют анализ финансовых коэффициентов (ликвидность, рентабельность активов — ROA, рентабельность капитала — ROE, коэффициент текущей ликвидности), метод экспертных оценок и модели прогнозирования банкротства. Z-score Эдварда Альтмана — классика жанра, хотя и не лишенная ограничений. Структурная модель Роберта Мертона связывает вероятность дефолта со стоимостью активов компании; на ее основе построена модель KMV (Moody's). Портфельные модели — CreditMetrics и CreditRisk+ — оценивают риск на уровне всего кредитного портфеля через матрицу миграции рейтингов.

Стресс-тестирование — обязательная процедура: банк моделирует поведение портфеля в неблагоприятных макроэкономических сценариях. Банк России проводит собственные надзорные стресс-тесты и внимательно изучает результаты. Для рыночного риска применяют Value at Risk (VaR) — максимальные потери с заданной вероятностью за определенный период, и более консервативную меру — Expected Shortfall (CVaR). Моделирование методом Монте-Карло позволяет учитывать сложные нелинейные зависимости. GAP-анализ и дюрация помогают измерить процентный риск.

Все модели проходят бэктестинг и независимую валидацию — без этого Банк России не выдаст разрешение на применение IRB-подхода. Система раннего предупреждения (EWS) и ведение watchlist — перечня заемщиков с признаками ухудшения — часть обязательного мониторинга. Стандарт ISO 31000 и фреймворк COSO ERM задают общую рамку, а организационная модель «три линии защиты» распределяет ответственность: бизнес-подразделения, затем риск-менеджмент и комплаенс, и наконец — внутренний аудит. Аппетит к риску и толерантность к риску фиксируются советом директоров и определяют лимитную политику банка. Технологии Big Data расширяют возможности анализа.

Снижение рисков на практике

Диверсификация кредитного портфеля по отраслям, регионам и категориям заемщиков — первая линия обороны от концентрации. Лимитирование устанавливает предельные значения на каждый вид операций. Кредитная политика банка задает требования к андеррайтингу, Due Diligence и обеспечению (залог, поручительство, гарантия). Качественное обеспечение напрямую снижает LGD — и, что не менее важно, показывает регулятору разумность принятых решений.

Хеджирование через производные инструменты — форварды, фьючерсы, опционы, свопы — компенсирует рыночные риски. Кредитный дефолтный своп (CDS) передает кредитный риск третьей стороне. Секьюритизация переводит портфельный риск на рынок через выпуск ценных бумаг (ипотечные ценные бумаги — MBS и структурированные продукты CDO). Правда, именно бесконтрольная секьюритизация и раздутый рынок жилищного кредитования в США стали одной из причин Великой рецессии 2008 года — инвесторы катастрофически недооценили реальный риск.

Работа с проблемной задолженностью включает реструктуризацию долга, forbearance и work-out. Коэффициент покрытия (отношение РВПС к просроченной задолженности) — индикатор готовности банка к реализации рисков. Процедуры KYC и AML/ПОД/ФТ — обязательный элемент: Росфинмониторинг и стандарты FATF задают рамку, несоблюдение которой несет и репутационные, и уголовно-правовые последствия.

Когда провалы в риск-менеджменте становятся уголовным делом

Наша практика показывает: грань между «неудачным управленческим решением» и «преднамеренным банкротством» в глазах следствия оказывается тоньше, чем кажется руководству банка.

Статья 172.1 УК РФ предусматривает ответственность за фальсификацию финансовых документов учета и отчетности финансовой организации — в том числе за искажение данных о качестве ссуд и размере РВПС. Статья 196 УК РФ (преднамеренное банкротство) применяется, когда следствие считает, что руководитель умышленно совершал действия, приведшие банк к неплатежеспособности, — например, выдавал заведомо невозвратные кредиты связанным лицам. По ст. 201 УК РФ (злоупотребление полномочиями) привлекают, если решения топ-менеджера нанесли ущерб интересам банка.

После отзыва лицензии Агентство по страхованию вкладов (АСВ) проводит собственное расследование и нередко инициирует уголовное преследование бывшего руководства. Следственные органы запрашивают акты проверок, предписания, результаты стресс-тестирования. Каждый документ, где зафиксировано нарушение нормативов или игнорирование требования регулятора, становится доказательством.

Кризисы увеличивают эти риски многократно. Пандемия COVID-19 резко повысила уровень просроченной задолженности и вынудила банки пересматривать модели оценки. Банковский кризис 2014–2015 годов привел к массовому отзыву лицензий и волне уголовных дел. Санкционное давление с 2022 года создало совершенно новую категорию рисков, для которой у большинства банков не существовало ни моделей, ни сценариев.

Зачем банку адвокат в сфере управления рисками

Мы не заменяем риск-менеджеров. Наша задача — защитить интересы руководителей и собственников кредитной организации, когда регуляторные претензии переходят в правовую плоскость.

Чем конкретно помогаем:

• Правовая оценка действий менеджмента при проверках Банка России — до того, как материалы уйдут в следственные органы.
• Защита по уголовным делам, связанным с банковской деятельностью (ст. 172.1, 196, 201 УК РФ и смежные составы).
• Представительство при взаимодействии с АСВ в рамках ликвидационных процедур.
• Юридический аудит внутренних документов банка — кредитной политики, лимитной политики, процедур андеррайтинга — на предмет соответствия требованиям Банка России.

Каждое второе дело, которое мы ведем в этой сфере, могло бы не дойти до следствия, если бы банк вовремя получил правовую консультацию. Грамотно выстроенная и документально подтвержденная система управления рисками — аргумент, который разбивает обвинения в «преднамеренности» и «умысле». Когда есть утвержденный аппетит к риску, работающие лимиты, протоколы комитета по рискам и результаты стресс-тестирования — доказать умысел следствию значительно сложнее.

Если вы — руководитель или собственник кредитной организации и столкнулись с претензиями регулятора, не ждите, пока проверка обернется уголовным делом. Запишитесь на консультацию — разберем ситуацию и оценим реальные правовые риски.