اصول چهارچوب اشتهای ریسک مؤثر

چکیده
با توجه به آنکه هر سیستم مالی جهانی از یک نظام نظارتی بهره می‌برد، در این مقاله به بررسی یکی از نهادهای نظارت بر سیستم مالی جهانی یعنی نهاد بین‌المللی «هیئت ثبات مالی»، پرداخته شده و توصیه‌ها و رهنمودهای ارائه‌شده توسط این هیئت، شامل اعضایی از کشورهای گروه ۲۰، مجمع ثبات مالی و کمیسیون اروپا که در سال ۲۰۰۹ از سوی بانک تسویه بین‌المللی تأسیس شده است، مورد بررسی قرار می‌گیرد. هدف اصلی این هیئت، تقویت سیستم مالی و حفظ ثبات مالی از طریق نظارت مستمر و ارائه توصیه‌های سیاستی مرتبط و همچنین همکاری با مقامات مالی کشورهای عضو است. این مقاله، ترجمه‌ای از سند منتشره توسط این هیئت است که به بررسی عناصر اصلی چهارچوب اشتهای ریسک مؤثر به‌منظور بهبود نظارت بر مؤسسات مالی می‌پردازد. به‌طور خلاصه، این سند در پاسخ به انتظارات ذینفعان برای بهبود مدیریت ریسک، تعاریف، اصول، نقش‌ها و مسئولیت‌های ارکان راهبری شرکتی در مؤسسات مالی به‌منظور دستیابی به اهداف نظارتی تهیه شده است. شایان ذکر است، این نظارت به بیمه‌گران، بورس‌های اوراق بهادار و سایر مؤسسات غیربانکی نیز مربوط است.

مقدمه
افزایش اثربخشی نظارت‌های مالی، جزء کلیدی چهارچوب هیئت ثبات مالی۱ است که از سوی رهبران گروه ۲۰ به‌منظور کاهش خطر اخلاقی مؤسسات مالی مهم از نظر سیستمی۲ مورد تأیید قرار گرفته است. به همین دلیل، انتظارات نظارتی برای مدیریت ریسک، به‌ویژه در این مؤسسات در حال افزایش است. در گزارش پیشرفت هیئت ثبات مالی در اکتبر ۲۰۱۱ که در مورد تقویت نظارت مطرح شده است، چهارچوب‌های اشتهای ریسک مؤثر که هم توسط مؤسسات مالی و هم توسط ناظرین قابل‌اجرا و اندازه‌گیری باشند، هنوز به‌طور گسترده مورد پذیرش قرار گرفته‌اند. در این گزارش، این نتیجه نیز بیان شده که گسترش چهارچوب اشتهای ریسک مؤثر، برای مؤسسات مالی و ناظرین مهم است و باید مورد توجه هر دو گروه قرار گیرد. در گزارش مذکور، توصیه شده است که ناظرین انتظارات از یک چهارچوب اشتهای ریسک «خوب» و چگونگی نظارت بر آن را مورد بحث و گفتگو قرار دهند.
در پرتو این یافته‌ها، هیئت ثبات مالی بررسی هم‌پیشگان بر حاکمیت ریسک را آغاز نمود که در فوریه ۲۰۱۳ اولین نسخه این بررسی منتشر شد. بر اساس یافته‌های این بررسی، پنج توصیه به مرحله عمل رسید، یکی از آنها از هیئت ثبات مالی خواست که رهنمودی در خصوص عناصر اصلی چهارچوب اشتهای ریسک مؤثر را با مشارکت تدوین‌کنندگان استاندارد، تهیه نماید. همچنین، در این گزارش به هیئت ثبات مالی توصیه شد که تعاریف رایجی را از اصطلاحاتِ استفاده‌شده در چهارچوب اشتهای ریسک ارائه نماید تا ارتباط بین ناظرین و مؤسسات مالی را همانند درون مؤسسات مالی تسهیل کند.
اصول هیئت ثبات مالی، عناصر اصلی را برای:
۱- چهارچوب اشتهای ریسک مؤثر
۲- بیانیه اشتهای ریسک مؤثر
۳- حدود ریسک
۴- تعریف نقش‌ها و مسئولیت‌های هیئت مدیره و مدیریت ارشد مشخص می‌کند.
این اصول قصد دارد نظارت بر این مؤسسات را افزایش دهد، اما برای نظارت بر مؤسسات مالی و گروه‌های عام‌تر، شامل بیمه‌گران، بورس‌های اوراق بهادار و سایر مؤسسات غیربانکی نیز مربوط است. برای مؤسسات مالی غیرمهم به‌لحاظ سیستمی، ناظرین و مؤسسات مالی می‌توانند این اصول را به‌گونه‌ای مناسب اعمال کنند به‌طوری‌که چهارچوب اشتهای ریسک متناسب با ماهیت، دامنه و پیچیدگی فعالیت‌های آن مؤسسات مالی تدوین شود.
یک چهارچوب اشتهای ریسک مناسب باید ظرفیت ریسک، اشتهای ریسک، حدود ریسک و نمایه ریسک را که برای کسب‌و‌کار و اشخاص حقوقی مربوط فراهم نماید. شرکت‌های فرعی گروه‌ها، به‌طور خاص این مؤسسات، باید بیانیه اشتهای ریسکی داشته باشند که با چهارچوب اشتهای ریسک در سطح مؤسسه و اشتهای ریسک سطح بالاتر (مؤسسات بالادستی) سازگار باشد. عناصر چهارچوب اشتهای ریسک باید در سطح کسب‌و‌کار و شخصیت حقوقی به‌نحوی به‌کار برده شوند که متناسب با اندازه آسیب‌پذیری، پیچیدگی و اهمیت ریسک‌ها باشد. همچنین، اهمیت باید از سوی مؤسسات مالی تعیین شود و متناسب با ارزیابی‌های داخلی آنها از اشتهای ریسک، ظرفیت ریسک، نمایه ریسک و با در نظر گرفتن سرمایه، نقدینگی و سود در سطح واحد انتفاعی، با ناظرین مورد بحث و بررسی قرار گیرد.
اصول هیئت ثبات مالی در سطح بالا قرار گرفته است تا به مؤسسات مالی اجازه دهد چهارچوب اشتهای ریسک مؤثری را ایجاد کنند که به‌طور خاص مربوط به مؤسسه بوده و بازتابی از مدل کسب‌و‌کار سازمان باشد. همچنین، مؤسسات مالی را قادر سازد با محیط قانونی و اقتصادیِ در حال تغییر به‌منظور مدیریت انواع جدید ریسک‌ها سازگار شوند. سازماندهی چهارچوب اشتهای ریسک مؤثر، به تقویت فرهنگ قوی در رویارویی با ریسک در مؤسسات مالی کمک می‌کند که به نوبه خود برای مدیریت ریسک صحیح، حیاتی است. فرهنگ سالم رویارویی با ریسک، محیطی سودمند را فراهم می‌کند تا اطمینان دهد ریسک‌های در حال ظهور که اثر بااهمیت بر مؤسسه مالی دارد و هر فعالیت پذیرش ریسکی فراتر از اشتهای ریسک مؤسسه، شناسایی می‌شود، مورد توجه قرار می‌گیرد و به‌موقع با آن برخورد می‌شود.
ناظرین همچنین باید اقداماتی را انجام دهند تا اطمینان یابند که مؤسسات مالی، این اصول را رعایت می‌کنند و باید با مؤسسات مالی در مورد تغییرات چهارچوب اشتهای ریسک آنها، نقض حدود ریسک، انحرافات قابل‌ملاحظه از بیانیه اشتهای ریسک مصوب و هرگونه ریسک بااهمیت که چهارچوب اشتهای ریسک به‌اندازه کافی به آنها اشاره نکرده است، به‌طور منظم بحث و تبادل نظر کنند. در مورد گروه‌های بین‌المللی، چهارچوب اشتهای ریسک باید به‌صورت روزمره از سوی ناظرین، شامل کالج‌های نظارتی، مورد بحث و ارزیابی قرار گیرد.

تعاریف مهم
تعاریف برای واژگان کلیدی استفاده‌شده در چهارچوب‌های اشتهای ریسک، اغلب در حوزه‌های قضایی مختلف و حتی در بین مؤسسات مالی، متفاوت است. اصطلاح «چهارچوب اشتهای ریسک» و عناصر منفرد آن ممکن است در هر بخش صنعت، معانی متفاوتی داشته باشند. برای اهداف این اصول، تعاریف زیر استفاده می‌شود که قصد آن، ایجاد یک نام‌گذاری مشترک برای ناظرین و مؤسسات مالی جهت تسهیل بحث در مورد اشتهای ریسک است.
چهارچوب اشتهای ریسک: رویکردی کلی شامل سیاست‌ها، فرآیندها، کنترل‌ها و سیستم‌هایی است که از طریق آن، سطح اشتهای ریسک تعیین شده، مورد گفتگو قرار گرفته و پایش می‌گردد و شامل یک بیانیه اشتهای ریسک، حدود ریسک و طرح کلی از نقش‌ها و مسئولیت‌های افرادی است که بر پیاده‌سازی و پایش چهارچوب اشتهای ریسک نظارت می‌کنند. چهارچوب اشتهای ریسک باید ریسک‌های مهم برای مؤسسه اعتباری و همچنین برای اعتبار و شهرت آن در برابر بیمه‌گذاران، سپرده‌گذاران، سرمایه‌گذاران و مشتریان را بررسی کند. شایان ذکر است، چهارچوب اشتهای ریسک با راهبرد مؤسسه هم‌راستا است.
بیانیه اشتهای ریسک: نوشتاری به‌شکل کتبی از سطح کلی و انواع ریسکی که یک مؤسسه مالی برای دستیابی به اهداف تجاری خود، مایل به پذیرش و یا اجتناب از آن است. شامل بیانیه‌های کیفی و معیارهای کمّی است که نسبت به سودآوری، سرمایه و معیارهای ریسک، نقدینگی و دیگر معیارهای مرتبط، بیان می‌شود. همچنین، به‌منظور کمّی کردن ریسک‌هایی مانند ریسک شهرت و رفتار حرفه‌ای و نیز پولشویی و اقدامات غیراخلاقی، باید مشکلات پیش‌آمده را بیشتر مورد توجه قرار دهد.
ظرفیت ریسک: حداکثر سطح ریسکی که مؤسسه مالی می‌تواند با توجه به سطح فعلی منابع خود قبل از نقض حدودِ تعیین‌شده در سرمایه نظارتی و نیازهای نقدینگی، محیط عملیاتی (مانند زیرساخت فنی، قابلیت‌های مدیریت ریسک، تخصص)، تعهدات و همچنین از منظر رفتار با سپرده‌گذاران، بیمه‌گذاران، سهامداران، سرمایه‌گذاران با درآمد ثابت و نیز سایر مشتریان و ذی‌نفعان بپذیرد.
اشتهای ریسک۳ : سطح کلی و انواع ریسکی که مؤسسه مالی مایل است در ظرفیت ریسک خود، برای دستیابی به اهداف راهبردی و برنامه تجاری خود بپذیرد.
حدود ریسک: معیارهای کمّی بر اساس مفروضات آینده‌نگر که بیانیه اشتهای ریسک کلی مؤسسه مالی (مانند اندازه زیان یا رویدادهای منفی) را به کسب‌و‌کار، اشخاص حقوقی به‌عنوان طبقات ریسک خاص و مربوط، نقاط تمرکز و در صورت لزوم سایر سطوح، اختصاص می‌دهد.
نمایه ریسک: ارزیابی زمانی از ناخالص و در صورت لزوم، خالص آسیب‌پذیری از ریسک مؤسسه مالی (پس از در نظر گرفتن محافظ‌ها) در داخل و در هر طبقه ریسک مربوط بر اساس مفروضات آینده‌نگر.

۱-اصول چهارچوب اشتهای ریسک
توسعه و استقرار یک چهارچوب اشتهای ریسک مؤثر، یک فرآیند مستمر و تکاملی است که مستلزم گفتگوی مداوم در تمام بخش‌های مؤسسه مالی برای دستیابی به توافق جهت حمایت از آن است. چهارچوب اشتهای ریسک، نمایه ریسک مؤسسه مالی را تعیین می‌کند و بخشی از فرآیند توسعه و پیاده‌سازی راهبرد مؤسسه و تعیین ریسک‌های پذیرفته‌شده در رابطه با ظرفیت ریسک مؤسسه است. برای اهداف این اصول، چهارچوب اشتهای ریسک شامل فرآیندهایی برای استقرار راهبرد، توسعه طرح کسب‌و‌کار، مدل‌ها و سیستم‌ها برای اندازه‌گیری و تجمیع ریسک‌ها نمی‌شود. چهارچوب اشتهای ریسک باید با طرح کسب‌و‌کار، توسعه راهبرد، برنامه‌ریزی سرمایه و طرح‌های جبران خدمت مؤسسه مالی همسو باشد. یک چهارچوب اشتهای ریسک مؤثر باید ساختار مشترک و معیارهای قابل‌مقایسه در سراسر مؤسسه مالی را برای مدیریت ارشد و هیئت مدیره جهت تبادل ‌نظر، درک و ارزیابی انواع ریسکی که آنها می‌خواهند بپذیرند، فراهم کند. این چهارچوب به‌صراحت مرزهایی را تعریف می‌کند که انتظار می‌رود مدیریت هنگام پیگیری راهبردهای کسب‌و‌کار مؤسسه به آن عمل کند. مؤسسات مالی که چهارچوب اشتهای ریسک را به‌طور مؤثر اجرا می‌کنند، آن را در فرآیند تصمیم‌گیری و در مدیریت ریسک در سطح مؤسسه گنجانده‌اند و نیز بر اساس ساختار آن تبادل‌نظر می‌کنند و آن را در سراسر سازمان (از بالا به پایین) ارتقا می‌دهند. مؤسسات مالی و ناظرین باید بررسی کنند که ریسک‌پذیری بالا به پایین با دیدگاه پایین به بالا برای نمونه نظرسنجی‌های کارکنان، بررسی‌های مستقل و گزارشگری داخلی منطبق باشد.
ارزیابی نمایه ریسک تجمیعی در مؤسسه مالی در برابر اشتهای ریسک آن، باید فرآیندی مداوم باشد. اجرای یک چهارچوب اشتهای ریسک مؤثر نیازمند ترکیب مناسبی از سیاست‌ها، فرآیندها، کنترل‌ها، سیستم‌ها و رویه‌ها برای دستیابی به مجموعه‌ای از اهداف است. چهارچوب اشتهای ریسک باید ظرفیت ریسک، اشتهای ریسک، حدود ریسک و نمایه ریسک را که برای کسب‌و‌کار و اشخاص حقوقی در نظر گرفته می‌شود، در چهارچوب گروه با لحاظ کردن ارتباط بین اشخاص حقوقی (برای نمونه در مورد اشتراک‌گذاری ریسک یا دیگر ارتباطات متقابل)۴ امکان‌پذیر سازد. به این ترتیب، یک چهارچوب اشتهای ریسک کارآمد و مؤثر باید با توسعه فناوری اطلاعات و سیستم‌های اطلاعات مدیریت در مؤسسات مالی به‌طور دقیق مرتبط شود. ۵
ناظرین باید منعطف باشند و مهارت‌ها، تجربه و دانش خود از مؤسسات مالی را در ارزیابی کفایت چهارچوب اشتهای ریسک به‌کار گیرند. ناظرین باید کیفیت یک چهارچوب اشتهای ریسک خاص را ارزیابی کنند. به‌عنوان مثال، از طریق گفتگو با هیئت مدیره و مدیریت ارشد درباره اینکه چگونه راهبرد کسب‌و‌کار مؤسسه مالی به چهارچوب اشتهای ریسک آن مربوط می‌شود، همچنین چگونه اشتهای ریسک بر تصمیمات مؤسسه اثر داشته است. این امر شامل بررسی مطالب، مانند اسناد برنامه‌ریزی و راهبرد و گزارش‌های هیئت مدیره در زمینه نحوه تعیین، اجرا و نظارت بر اشتهای ریسک است تا اطمینان حاصل شود که پذیرش ریسک در راستای بیانیه اشتهای ریسک تصویب‌شده از سوی هیئت مدیره می‌باشد.

۱-۱- چهارچوب اشتهای ریسک مؤثر باید:
الف) فرآیندی را برای بحث و گفتگو درباره چهارچوب اشتهای ریسک در داخل و سرتاسر مؤسسه مالی و همچنین برای به اشتراک‌گذاری اطلاعات غیرمحرمانه با ذی‌نفعان بیرونی (مانند سهامداران، سپرده‌گذاران، سرمایه‌گذاران با درآمد ثابت) ایجاد کند.
ب) به‌واسطه، رهبری هیئت مدیره، از بالا به پایین و به‌واسطه مشارکت مدیریت در تمامی سطوح، از پایین به بالا هدایت شود و در سرتاسر مؤسسه مالی گنجانده و درک گردد.
پ) جانمایی اشتهای ریسک در فرهنگ ریسک مؤسسه مالی را تسهیل کند.
ت) فرصت‌ها را برای پذیرش ریسک ارزیابی کند و به‌عنوان دفاعی در برابر پذیرش ریسک بیش‌از‌حد عمل نماید.
ث) اجازه دهد بیانیه اشتهای ریسک به‌عنوان ابزاری برای ترویج بحث‌های سالم و قوی درباره ریسک و به‌عنوان مبنایی استفاده شود که بر اساس آن، کارکردهای هیئت مدیره، مدیریت ریسک و حسابرس داخلی بتواند به‌طور مؤثر و قابل‌اعتماد مورد بحث قرار گیرد و توصیه‌ها و تصمیم‌های مدیریت را به چالش بکشد.
ج) با تغییرات کسب‌و‌کار و شرایط بازار سازگار باشد، به‌طوری‌که مشروط به تصویب مدیریت ارشد و هیئت مدیره، امکان تحقق فرصت‌هایی که مستلزم افزایش حد ریسک یک کسب‌و‌کار یا شخص حقوقی است، فراهم شود، در‌حالی‌که در محدوده اشتهای ریسکِ توافق‌شده در سطح مؤسسه باقی بماند. ۶
چ) فعالیت‌ها، عملیات و سیستم‌های مؤسسه مالی را که در محدوده ریسک آن قرار می‌گیرند، اما خارج از کنترل مستقیم آن هستند (شامل شرکت‌های فرعی و تأمین‌کنندگان) با برون‌سپاری به اشخاص ثالث پوشش دهد.
ح) منطبق با اصول این سند باشد.

۲- بیانیه اشتهای ریسک
بیانیه اشتهای ریسک باید به‌راحتی قابل‌بحث و گفتگو بوده و درک آن برای همه ذی‌نفعان آسان باشد. باید مستقیما‌ً با راهبرد مؤسسه مالی مرتبط باشد، با ریسک‌های مهم مؤسسه در بازار عادی و بحران‌زده و شرایط اقتصاد کلان۷ رو‌به‌رو شود و با ایجاد حدود کمّی و بیانیه‌های کیفی، مرزها و انتظارات شفافی را تعیین کند. این بیانیه باید معیارهای کمّی زیان یا پیامدهای منفی را تعیین کند، به‌طوری‌که بتوان آنها را تجمیع و تفکیک کرد. این معیارها ممکن است در ارتباط با سود، سرمایه، نقدینگیِ در معرض ریسک یا سایر سنجه‌های مناسب، مطرح شوند (مانند رشد و نوسان‌پذیری). بیانیه‌های کیفی باید مکمل معیارهای کمّی باشند، برای رویکرد ریسک‌پذیری مؤسسه مالی، آهنگی کلی را تنظیم کنند و انگیزه‌های پذیرش یا اجتناب از انواع خاصی از ریسک‌ها، محصولات، آسیب‌پذیری‌های کشوری/منطقه‌ای/ یا سایر طبقه‌بندی‌ها را به‌وضوح بیان نمایند. تعیین اشتهای ریسک در سطح مؤسسه اولین گام است؛ اشتهای ریسک تجمیع‌شده باید به خطوط کسب‌و‌کار مؤسسه مالی، اشخاص حقوقی مرتبط و سایر سطوح در صورت لزوم، در راستای برنامه‌های راهبردی و تجاری مؤسسه، ارائه شود. این امر مستلزم قضاوت بوده و به ورود داده‌ها و فرمان‌ها از پایین به بالا و همچنین از بالا به پایین نیاز دارد.
نمونه‌ای از بیانیه اشتهای ریسک، بیانیه خلاصه‌ای است که برای تمام ذی‌نفعان به‌آسانی قابل‌درک بوده و به سطوح و انواع ریسکی می‌پردازد که مؤسسه مالی تمایل دارد برای رسیدن به اهداف تجاری خود بپذیرد. اشتهای ریسک ممکن است لزوماً در یک سند واحد بیان نشود، با این حال روشی که بیان می‌شود و شیوه‌ای که طی آن، چند سند یک کلیت منسجم را تشکیل می‌دهند باید به‌دقت مورد بررسی قرار گیرد تا اطمینان حاصل شود که هیئت مدیره یک دید جامع، اما فشرده و سهل‌الوصول، از اشتهای ریسک مؤسسه مالی به‌دست می‌آورد.

۲-۱- بیانیه اشتهای ریسک مؤثر باید:
الف) شامل اطلاعات پیشینه اصلی و مفروضاتی باشد که برنامه‌های راهبردی و تجاری مؤسسه مالی را پس از تصویب، اطلاع‌رسانی کند.
ب) به برنامه‌های راهبردی، سرمایه‌ای و مالی کوتاه‌مدت و بلندمدت مؤسسه و نیز برنامه‌های جبران خدمت آن مرتبط باشد.
پ) مقدار ریسکی را که مؤسسه مالی برای دستیابی به طرح کسب‌و‌کار و اهداف راهبردی خود با در نظر گرفتن منافع مشتریان (مانند سپرده‌گذاران و بیمه‌گذاران) و وظیفه امانتداری نسبت به سهامداران، همچنین با توجه به سرمایه و سایر الزامات نظارتی، آمادگی پذیرش آن را دارد، تعیین کند.
ت) برای هر ریسک مهم، حداکثر سطح ریسکی را که مؤسسه مالی بر اساس اشتهای ریسک کلی، ظرفیت ریسک و نمایه ریسک خود، در آن سطح تمایل به فعالیت دارد، تعیین‌ کند.
ث) شامل معیارهای کمّی باشد که می‌تواند حدود ریسک قابل‌اجرا برای کسب‌و‌کار و اشخاص حقوقی تابعه را که در سطح گروه قابلیت تعیین دارد، تفکیک و تجمیع کند تا امکان اندازه‌گیری نمایه ریسک در برابر اشتهای ریسک و ظرفیت ریسک فراهم شود.
ج) شامل بیانیه‌های کیفی باشد که انگیزه‌ها برای پذیرش یا اجتناب از انواع خاصی از ریسک از جمله ریسک شهرت و سایر ریسک‌های رفتاری در بازارهای خرده‌فروشی و عمده‌فروشی را آشکارا مطرح کرده و نوعی از مرزها یا شاخص‌ها (برای نمونه، معیارهای غیرکمّی) را تعیین نماید تا نظارت بر این ریسک‌ها را امکان‌پذیر سازد.
چ) اطمینان دهد که راهبرد و حدود ریسک هر خط کسب‌و‌کار و شخصیت حقوقی، در صورت لزوم، با بیانیه اشتهای ریسک در سطح مؤسسه هم‌راستا است.
ح) آینده‌نگر باشد و در صورت امکان، در معرض آزمون بحران و تحلیل سناریو قرار بگیرد تا اطمینان حاصل شود که مؤسسه مالی این درک را دارد که چه رویدادهایی ممکن است مؤسسه مالی را از سطح اشتهای ریسک و یا ظرفیت ریسک خود خارج کند.

۳- حدود ریسک
برای هدف ریسک‌پذیری، حدود ریسک، طرح کردن بیانیه اشتهای ریسک مؤسسات مالی در سطح کسب‌و‌کار، شخصیت حقوقی، طبقات ریسک خاص، نقاط تمرکز و در صورت لزوم، سطوح دیگر است. به‌منظور تسهیل نظارت و گزارشگری مؤثر، حدود ریسک باید مشخص و حساس به شکل پرتفوی‌های واقعی، قابل‌اندازه‌گیری۸ ، مبتنی بر تناوب، قابل‌گزارش و بر اساس مفروضات آینده‌نگر باشند. داشتن حدود ریسکی که قابل‌اندازه‌گیری هستند می‌تواند از فراتر رفتن ناآگاهانه یک مؤسسه مالی از ظرفیت ریسک خود به‌دلیل تغییر در شرایط بازار جلوگیری کند و دفاعی مؤثر را در برابر پذیرش ریسک بیش‌از‌حد به‌عمل آورد. در تعیین حدود ریسک، مؤسسه مالی باید تعامل بین ریسک‌ها در داخل و بین خطوط کسب‌و‌کار و اثر همبسته یا ترکیبی آنها بر آسیب‌پذیری‌ها و خروجی‌ها را در نظر بگیرد. به این ترتیب، آزمون بحران باید در سطح مؤسسه و همچنین برای اشخاص حقوقی و ریسک‌های خاص انجام شود. تعداد حدود انتخاب‌شده باید بین جامعیت و هزینه‌های نظارت و اثربخشی، موازنه برقرار کند.

۳-۱- حدود ریسک باید:
الف) در سطحی تعیین شود تا پذیرش ریسک در محدوده اشتهای ریسک قرار گیرد. باید اثر هر رویدادی که حد ریسک را نقض می‌کند و نیز اثر احتمال تحقق هر ریسک بااهمیت بر منافع مشتریان (مانند سپرده‌گذاران و بیمه‌گذاران)، سهامداران و همچنین بر سرمایه و سایر الزامات نظارتی، در نظر گرفته شود.
ب) برای کسب‌و‌کار و اشخاص حقوقی تعیین شود و به‌طور کلی نسبت به سودآوری، سرمایه، نقدینگی یا سایر معیارهای مربوط (مانند رشد و نوسان‌پذیری) بیان شود.
پ) شامل نقاط تمرکز ریسک بااهمیت در سطح مؤسسه یا گروه، خط کسب‌و‌کار و شخصیت حقوقی، درجایی‌که مربوط است، باشد (برای نمونه، طرف مقابل، صنعت، کشور/ منطقه، نوع وثیقه، محصول).
ت) اگرچه به بهترین شیوه‌ها و معیارهای بازار ارجاع داده می‌شود، نباید به‌طور سخت‌گیرانه مبتنی بر مقایسه با هم‌پیشگان یا نکول حدود نظارتی باشد.
ث) بیش‌از‌حد پیچیده، مبهم یا ذهنی نباشد.
ج) به‌طور منظم بر آن نظارت شود.

۴- نقش‌ها و مسئولیت‌ها
هیئت مدیره‌ها۹ باید چهارچوب اشتهای ریسک در سطح مؤسسه را تعیین کنند و بیانیه اشتهای ریسک را که با همکاری مدیرعامل، مدیر ارشد ریسک و مدیر ارشد مالی تهیه شده است، تصویب نمایند. مدیرعامل، مدیر ارشد ریسک و مدیر ارشد مالی، انتظارات را به اهداف و الزاماتی برای کسب‌و‌کار و اشخاص حقوقی جهت پیروی تبدیل می‌کنند۱۰ . ارزیابی مستقل چهارچوب اشتهای ریسک مؤسسه مالی (به‌عنوان نمونه، توسط حسابرس داخلی، حسابرس مستقل و یا سایر اشخاص ثالث مستقل) برای نظارت مستمر بر طراحی و اثربخشی کلی کنترل‌های داخلی، مدیریت ریسک و راهبری ریسک مؤسسه مالی، حیاتی است. استحکام روابط بین هیئت مدیره، مدیرعامل، مدیر ارشد ریسک، مدیر ارشد مالی، کسب‌و‌کار و حسابرس داخلی، نقش ابزاری را در اثربخشی چهارچوب اشتهای ریسک ایفا می‌کند. به این ترتیب، وظایف و مسئولیت‌های متمایز برای هر یک از این سطوح راهبری ضروری است. مؤسسات مالی باید نقش‌ها و مسئولیت‌های دقیق را مطابق با ساختار سازمانی خود اختصاص دهند، اما وظایف نظارت و کنترل (که معمولاً توسط مدیرعامل، مدیر ارشد ریسک، مدیر ارشد مالی، مدیران در سطح کسب‌و‌کار و حسابرس داخلی انجام می‌شود) همیشه باید نقش اصلی را ایفا کند.
برخی از مؤسسات مالی، مدیریت ارشد را ملزم می‌کنند که بیانیه اشتهای ریسک را پس از دریافت و ملاحظه آن به‌صورت رسمی از سوی هیئت مدیره، تصویب کند. با این حال، هیئت مدیره‌هایی که بیانیه اشتهای ریسک را تصویب می‌کنند، در قیاس با زمانی‌که این بیانیه دریافت و ملاحظه می‌شود، تمایل به درک سطح بالاتری از اشتهای ریسک مؤسسه مالی دارند. در صورت لزوم، ناظرین باید تصویب یا لحاظ کردن نقش هیئت مدیره در تصویب بیانیه اشتهای ریسک مؤسسه مالی را پیگیری کنند. به‌عنوان نمونه، با بررسی صورتجلسه‌های هیئت مدیره یا از طریق بحث با هیئت مدیره و مدیریت، اطمینان یابند که هیئت مدیره صرفا‌ً به تصویبِ بدون بررسیِ توصیه‌های مدیریت نمی‌پردازد. همچنین، هیئت مدیره باید خود را متقاعد کند که حدود ریسک در بیانیه اشتهای ریسک، به‌طور مناسب در طرح‌های کسب‌و‌کار راهبردی و حدود ریسک خاص (مانند آسیب‌پذیری از ریسک بازار و اعتباری) منعکس می‌شود. ناظرین باید شواهدی را در اسناد و صورتجلسه‌های هیئت مدیره، اسناد بیانیه اشتهای ریسک، معیارها و نیز در گزارشگری و سایر فعالیت‌های انجام‌شده جستجو کنند که نشان می‌دهد هیئت مدیره نحوه تفسیر و اعمال اشتهای ریسک و حدود ریسک توسط مدیریت را درک می‌کند.

۴-۱- هیئت مدیره باید:
الف) چهارچوب اشتهای ریسک مؤسسه مالی را که با همکاری مدیرعامل، مدیر ارشد ریسک و مدیر ارشد مالی تهیه شده است، تصویب کند و از سازگاری آن با راهبردهای کوتاه‌مدت و بلندمدت مؤسسه، طرح‌های کسب‌و‌کار و سرمایه، ظرفیت ریسک و همچنین برنامه‌های جبران خدمات اطمینان حاصل نماید.
ب) مدیرعامل و سایر مدیران ارشد را در قبال درستی چهارچوب اشتهای ریسک، از جمله شناسایی به‌موقع، مدیریت و توجه به نقض حدود ریسک و آسیب‌پذیری از ریسک بااهمیت، پاسخگو نگه‌دارد.
پ) اطمینان یابد که طرح‌های کسب‌و‌کار سالانه مطابق با اشتهای ریسک مصوب شده است و مشوق‌ها و بازدارنده‌ها به‌منظور تسهیل پایبندی به اشتهای ریسک، در برنامه‌های جبران خدمت گنجانده می‌شوند.
ت) ارزیابی اشتهای ریسک را در بحث و گفتگو‌های راهبردی خود از جمله تصمیمات در مورد ادغام‌ها، تحصیل‌ها و رشد در خطوط کسب‌و‌کار یا محصولات لحاظ کند.
ث) نمایه ریسک واقعی و حدود ریسک را با سطوح موردتوافق (به‌عنوان نمونه، بر اساس سطح کسب‌و‌کار، شخصیت حقوقی، محصول، طبقه‌بندی ریسک)، از جمله معیارهای کیفی ریسک رفتاری، به‌طور منظم بررسی و نظارت کنند.
ج) در نظرات به این اطمینان دست پیدا کند که اقدام مناسب در مورد «نقض پیمان‌ها و تعهدات» در حدود ریسک انجام می‌شود.
چ) از مدیریت ارشد در مورد فعالیت‌های خارج از بیانیه اشتهای ریسک مصوب هیئت مدیره، در صورت وجود، سؤال بپرسد.
ح) ارزیابی مستقلی را (از طریق ارزیابان داخلی، اشخاص ثالث یا هر دو) از طراحی و اثربخشی چهارچوب اشتهای ریسک و همسویی آن با انتظارات نظارتی به‌دست آورد.
خ) خود را قانع سازد که سازوکارهایی وجود دارد که می‌تواند اطمینان دهد مدیریت ارشد به‌منظور مدیریت مؤثر و در صورت لزوم، کاهش آسیب‌پذیری ریسک‌های نامطلوب بااهمیت، به‌ویژه آنهایی که نزدیک یا فراتر از بیانیه اشتهای ریسک هستند، اقدام به‌موقع انجام می‌دهد.
د) تصمیمات مربوط به ایجاد و نظارت مستمر بر اشتهای ریسک و همچنین تغییرات بااهمیت در سطوح اشتهای ریسک فعلی یا انتظارات نظارتی در مورد آن را با ناظرین به بحث و گفتگو بگذارد.
ذ) اطمینان یابد که منابع و افراد متخصص کافی به مدیریت ریسک و واحد حسابرسی داخلی اختصاص داده می‌شود تا این اطمینان‌ برای هیئت مدیره و مدیریت ارشد فراهم گردد که در چهارچوب اشتهای ریسکِ مصوب عمل می‌شود، از جمله استفاده از اشخاص ثالث برای تکمیل منابع موجود در صورت لزوم.
ر) اطمینان یابد که مدیریت ریسک، توسط فناوری اطلاعات و سیستم اطلاعات مدیریت کافی و قدرتمند پشتیبانی می‌شود تا امکان شناسایی، اندازه‌گیری، ارزیابی و گزارشگری ریسک، به‌موقع و به‌نحو صحیح انجام شود.

۴-۲- مدیرعامل باید:
الف) یک اشتهای ریسک مناسب را برای مؤسسه مالی (با همکاری مدیر ارشد ریسک و مدیر ارشد مالی) که مطابق با راهبردهای کوتاه‌مدت و بلندمدت مؤسسه، طرح‌های کسب‌و‌کار و سرمایه، ظرفیت ریسک و همچنین برنامه‌های جبران خدمت و همسو با انتظارات نظارتی است، ایجاد کند.
ب) همراه با مدیر ارشد ریسک، مدیر ارشد مالی و سایرین در بخش‌های مختلف کسب‌و‌کار، بابت درستی چهارچوب اشتهای ریسک، از جمله شناسایی به‌موقع و توجه به نقض حدود ریسک و آسیب‌پذیری‌های ریسک‌های بااهمیت، پاسخگو باشد.
پ) همراه با مدیر ارشد ریسک و مدیر ارشد مالی، اطمینان یابد که اشتهای ریسک به‌طور مناسب به حدود ریسک برای کسب‌وکار و اشخاص حقوقی تبدیل می‌شود و بخش‌های مختلف کسب‌وکار و اشخاص حقوقی، اشتهای ریسک را در برنامه‌ریزی مالی و راهبردی خود و نیز در فرآیندهای تصمیم‌گیری و تصمیمات جبران خدمت لحاظ می‌کنند.
ت) اطمینان یابد که بیانیه اشتهای ریسک در سطح مؤسسه، توسط مدیریت ارشد از طریق بیانیه‌های اشتهای ریسک نامتناقض یا حدود ریسک خاص برای کسب‌وکار و اشخاص حقوقی اجرا می‌شود.
ث) برقراری ارتباط بین اشتهای ریسک با ذینفعان داخلی و بیرونی را به‌گونه‌ای رهبری کند که به پذیرش و گنجاندن ریسک مناسب در فرهنگ ریسک مؤسسه مالی کمک کند.
ج) با توانمندسازی و حمایت از مدیر ارشد ریسک و مدیر ارشد مالی در مسئولیت‌هایشان و گنجاندن اشتهای ریسک در فرآیند تصمیم‌گیری آنها، الگوی مناسب را تعیین کند.
چ) اطمینان یابد که بخش‌های مختلف کسب‌وکار و اشخاص حقوقی دارای فرآیندهای مناسب برای شناسایی، اندازه‌گیری، نظارت و گزارشگری مؤثر در نمایه ریسک نسبت به حدود ریسک تعیین‌شده بر مبنایی مستمر هستند.
ح) منابع و افراد متخصص کافی به مدیریت ریسک، حسابرسی داخلی و زیرساخت فناوری اطلاعات اختصاص دهد تا به فراهم شدن نظارت مؤثر بر پایبندی به چهارچوب اشتهای ریسک کمک کند.
خ) به‌موقع اقدام کند تا از مدیریت مؤثر و در صورت لزوم، کاهش آسیب‌پذیری‌های ریسک‌های بااهمیت، به‌ویژه آنهایی که نزدیک یا فراتر از بیانیه اشتهای ریسک مصوب و یا حدود ریسک هستند، اطمینان یابد.
د) رویه‌ای را برای هشدار دادن به هیئت مدیره و ناظرین از موارد نقض جدی حدود ریسک و آسیب‌پذیری‌های ریسک‌های بااهمیت غیرمنتظره ایجاد کند.

۴-۳- مدیر ارشد ریسک باید:
الف) اشتهای ریسک مناسبی را برای مؤسسه مالی (با همکاری مدیرعامل و مدیر ارشد مالی) ایجاد کند که نیازهای مؤسسه را برآورده سازد و با انتظارات نظارتی همسو باشد.
ب) مصوبه هیئت مدیره را در مورد اشتهای ریسک توسعه‌یافته دریافت کند و نمایه ریسک مؤسسه مالی نسبت به اشتهای ریسک را به‌طور منظم به هیئت مدیره گزارش دهد.
پ) بر نمایه ریسک مؤسسه مالی نسبت به اشتهای ریسک آن، راهبردها، طرح‌های کسب‌وکار و سرمایه، ظرفیت ریسک و همچنین برنامه‌های جبران خدمت، به‌طور فعال نظارت کند.
ت) فرآیندی را برای گزارشگری ریسک و همسویی (یا عدم همسویی) اشتهای ریسک و نمایه ریسک با فرهنگ ریسک مؤسسه برقرار کند.
ث) از درستی تکنیک‌های اندازه‌گیری ریسک و سیستم اطلاعات مدیریت که برای نظارت بر نمایه ریسک مؤسسه مالی نسبت به اشتهای ریسک آن استفاده می‌شود، اطمینان یابد.
ج) با همکاری مدیرعامل و مدیر ارشد مالی، حدود ریسک مناسبی را برای کسب‌وکار و اشخاص حقوقی تعیین و تصویب کند که محتاطانه و مطابق با بیانیه اشتهای ریسک مؤسسه مالی باشد.
چ) بر حدود ریسک کسب‌وکار و اشخاص حقوقی و نمایه ریسک مؤسسه مالی به‌طور مستقل نظارت کند تا اطمینان یابد که مطابق با اشتهای ریسک مؤسسه است.
چ) به‌موقع‌ اقدام کند تا از مدیریت مؤثر و در صورت لزوم کاهش آسیب‌پذیری‌ها از ریسک‌های بااهمیت، به‌ویژه آنهایی که نزدیک یا فراتر از اشتهای ریسک مصوب و یا حدود ریسک هستند، اطمینان یابد.
ح) هرگونه موارد نقض حدود ریسک بااهمیت را که مؤسسه مالی را در معرض ریسکی فراتر از اشتهای ریسک آن قرار می‌دهد و به‌طور خاص، شرایط مالی مؤسسه مالی را به خطر می‌اندازد، فوراً به هیئت مدیره و مدیرعامل انتقال دهد.

۴-۴- مدیر ارشد مالی باید:
الف) اشتهای ریسک مناسبی را برای مؤسسه مالی (با همکاری مدیرعامل و مدیر ارشد ریسک) ایجاد کند که مطابق با راهبردهای کوتاه‌مدت و بلندمدت مؤسسه، طرح‌های کسب‌وکار و سرمایه، ظرفیت ریسک و همچنین برنامه‌های جبران خدمت باشد.
ب) اشتهای ریسک را در فرآیندهای جبران خدمت و تصمیم‌گیری مؤسسه مالی (با همکاری مدیرعامل و مدیر ارشد ریسک)، از جمله طرح‌ریزی کسب‌وکار، محصولات جدید، ادغام‌ها و تحصیل‌ها، ارزیابی ریسک و فرآیندهای مدیریت سرمایه لحاظ کند.
پ) به‌طور مؤثر با مدیرعامل و مدیر ارشد ریسک برای تعیین، نظارت و گزارش در مورد پایبندی به حدود ریسک قابل‌اجرا همکاری کند.
ت) به‌موقع اقدام کند تا از مدیریت مؤثر و در صورت لزوم کاهش آسیب‌پذیری‌ها از ریسک‌های بااهمیت، به‌ویژه آنهایی که نزدیک یا فراتر از اشتهای ریسک مصوب و یا حدود ریسک وظایف مدیر ارشد مالی هستند، اطمینان یابد.
ث) موارد نقض حدود ریسک و آسیب‌پذیری‌های ریسک‌های بااهمیت که شرایط مالی مؤسسه را به خطر می‌اندازد (در صورت لزوم)، فوراً به مدیرعامل و هیئت مدیره انتقال دهد.

۴-۵- مدیران در سطح خط کسب‌و‌کار و مدیریت در سطح شخصیت حقوقی باید:
الف) در مورد مدیریت مؤثر ریسک در سطح واحد کسب‌وکار خود و شخصیت حقوقی پاسخگو باشند.
ب) از همسویی بین اشتهای ریسک مصوب و فرآیندهای برنامه‌ریزی، جبران خدمت و تصمیم‌گیری واحد کسب‌وکار و شخصیت حقوقی اطمینان یابند. ۱۱
پ) بیانیه اشتهای ریسک و حدود ریسک را در فعالیت‌های خود لحاظ کنند تا پذیریش ریسک محتاطانه در فرهنگ ریسک مؤسسه و مدیریت روزانه ریسک گنجانده شود.
ت) حدود ریسک مصوب را تعیین و به‌طور فعال بر پایبندی به آن نظارت کنند.
ث) با مدیر ارشد ریسک و فعالیت مدیریت ریسک همکاری کرده و در وظایف مستقل آن دخالت نکنند.
ج) کنترل‌ها و فرآیندهایی را اجرا کنند تا بتوانند به‌طور مؤثر حدود ریسک تخصیص‌یافته را شناسایی، نظارت و گزارش کنند.
چ) به‌موقع اقدام کنند تا از مدیریت مؤثر و در صورت لزوم کاهش آسیب‌پذیری‌ها از ریسک‌های بااهمیت، به‌ویژه آنهایی که بر اشتهای ریسک مصوب و یا حدود ریسک فزونی داشته یا پتانسیل فزونی دارند، اطمینان یابند.
ح) موارد نقض‌ حدود ریسک و آسیب‌پذیری‌های ریسک‌های بااهمیت را به مدیریت ارشد و مدیر ارشد ریسک به‌موقع و فوری انتقال دهند.

۴-۶- حسابرسی داخلی (و یا سایر ارزیابی‌های مستقل) باید ۱۲:
الف) به‌طور معمول، ارزیابی‌های چهارچوب اشتهای ریسک در سطح بنگاه و همچنین بخش‌‌های مختلف کسب‌وکار و شخصیت حقوقی را دربرگیرد.
ب) تعیین کند آیا موارد نقض حدود ریسک به‌نحو مناسب شناسایی و گزارش می‌شود و در صورت لزوم، اجرای چهارچوب اشتهای ریسک را به هیئت مدیره و مدیریت ارشد گزارش کند.
پ) به‌صورت دوره‌ای و مستقل، طراحی و اثربخشی چهارچوب اشتهای ریسک و همسویی آن با انتظارات نظارتی را ارزیابی کند.
ت) اثربخشی اجرای چهارچوب اشتهای ریسک، شامل ارتباط با فرهنگ سازمانی، همچنین فرآیندهای برنامه‌ریزی کسب‌وکار و راهبردی، جبران خدمت و تصمیم‌گیری را ارزیابی کند.
ث) طراحی و اثربخشی تکنیک‌های اندازه‌گیری ریسک و سیستم اطلاعات مدیریتِ مورد‌استفاده برای نظارت بر نمایه ریسک مؤسسه در رابطه با اشتهای ریسک آن را ارزیابی کند.
ج) هرگونه ناکارآمدی بااهمیت در چهارچوب اشتهای ریسک و همسویی (یا ناهمسویی) اشتهای ریسک و نمایه ریسک با فرهنگ ریسک را به هیئت مدیره و مدیریت ارشد به‌موقع گزارش دهد.
چ) نیاز به کامل کردن ارزیابی مستقل خود با کارشناسی اشخاص ثالث به‌منظور فراهم شدن دیدگاه مستقل و جامع از اثربخشی چهارچوب اشتهای ریسک را ارزیابی کند.