11 KiB
11 KiB
11. Положение о системе и порядке управления рисками
Источник: ЗАО «Уайт Бёрд» Утверждено: Протокол общего собрания акционеров № 050525 от 05.05.2025 Размер: 377 КБ, 9 стр. Юр.основание: Декрет № 8 + акты Наблюдательного совета ПВТ
Что это
Внутренний нормативный акт уровня ERM (Enterprise Risk Management). Описывает кто, как и какие риски выявляет, измеряет, контролирует и митигирует в Whitebird.
9 видов рисков (Глава 2)
| № | Риск | Природа |
|---|---|---|
| 2.1 | Кредитный | Невыполнение должником финансовых обязательств перед Компанией |
| 2.2 | Страновой | Иностранные клиенты не могут исполнить из-за политических / экономических изменений или законодательства |
| 2.3 | Рыночный | Волатильность токенов / финансовых рынков |
| 2.4 | Ликвидности | Неспособность Компании исполнить обязательства вовремя |
| 2.5 | Операционный | Ошибки сотрудников, сбои систем, нарушение внутренних процедур |
| 2.6 | Репутационный | Сужение клиентской базы из-за негативного восприятия |
| 2.7 | Концентрации | Чрезмерная концентрация отдельных видов риска |
| 2.8 | Правовой | Изменения законодательства, судебные процессы, правовые ошибки |
| 2.9 | Кибер-риск | Взломы, malware, несанкционированный доступ |
Структура СУР (Глава 3)
| Уровень | Кто | Ответственность |
|---|---|---|
| 1 | Руководитель Компании | Эффективность всей СУР, распределение полномочий, принятие решений на основе risk reports |
| 2 | Risk Officer / Risk Department | Прямое подчинение руководителю; идентификация, оценка, координация, методики, расследование инцидентов, отчётность |
| 3 | Руководители подразделений | Обеспечение compliance в своих отделах, передача данных Risk Officer, оптимизация процессов |
| 4 | Прочие работники | Реализация мер, мониторинг в своей зоне |
Матрица оценки риска (3×3)
Значимость
Высокая Средняя Низкая
Вероятность:
Высокая 5 ★ 4 ★ 2
Средняя 4 ★ 3 1
Низкая 3 2 1
★ = ОПАСНЫЙ уровень (5-4)
= ДОПУСТИМЫЙ уровень (3-1)
Опасный уровень может быть снижен до допустимого через митигирующие меры.
4 способа реагирования (п. 4.3)
- Уклонение (avoidance) — отказ от активности
- Сохранение (retention) — принятие риска до допустимого уровня
- Ограничение (mitigation) — снижение вероятности / ущерба
- Передача (transfer) — разделение / аутсорсинг (страхование, hedge)
3 уровня контроля (п. 4.4)
| Уровень | Содержание |
|---|---|
| Предварительный | Кадры, должностные инструкции (исключающие COI), процедуры, оборудование, тех средства |
| Текущий | Проверка соответствия операций требованиям закона и внутренних актов |
| Последующий | Аудит, сопоставление план vs факт, расследование |
Моё мнение
Это технически грамотный документ уровня ISO 31000 / COSO ERM. Whitebird применил стандартную банковскую риск-методологию к крипто-бизнесу. По-сути это документ, который любой Big-4 аудитор (KPMG/EY/PwC/Deloitte) подписал бы без правок.
Сильные стороны:
- 9 типов риска enumerated — полная картина. Большинство крипто-стартапов ограничиваются 3-4 типами.
- Кибер-риск выделен отдельно — это правильно, в крипто-индустрии 60-80 % крупных потерь = взломы.
- Risk Officer reports direct to CEO — без прослойки middle management. Стандарт зрелого финансового бизнеса.
- Конкретная risk matrix — даёт работникам tool, а не общую философию.
- Ежегодный обязательный пересмотр (п. 5.2) — preserves freshness.
Слабые стороны:
- Нет специфических крипто-рисков:
- Smart-contract risk (для DeFi-интеграций)
- Oracle risk (если используются price feeds)
- Stablecoin de-peg risk (USDT/USDC)
- Validator concentration risk (для proof-of-stake токенов)
- Bridge risk (cross-chain operations)
- Нет risk appetite statement — где границы того, что Whitebird готов принимать?
- Нет KRI (Key Risk Indicators) — конкретных метрик для каждого риска.
- Нет stress testing methodology — что будет при флэш-крэше BTC на 50%?
- Нет связи с capital adequacy — сколько капитала зарезервировано против каждого риска?
- Нет упоминания BCP / DRP (Business Continuity Plan / Disaster Recovery Plan).
Что нужно команде Монтаны для копирования 1:1
- Risk Management Policy документ — расширение Whitebird до 11 типов риска:
- Все 9 типов Whitebird
-
- Smart-contract risk (если у нас будут DeFi-операции / staking / yield)
-
- Oracle risk (если используем Chainlink/Pyth/UMA)
-
- Stablecoin de-peg risk (отдельный фокус на USDT/USDC concentration)
-
- Validator slashing risk (для нашей TimeChain)
-
- Bridge risk (cross-chain operations)
- Назначение Chief Risk Officer (CRO):
- Прямое подчинение CEO
- Veto на любое решение, превышающее risk appetite
- Ежеквартальные reports board of directors
- Минимум CRO с 5+ лет финансового risk management опыта
- Risk Register — живой документ (можно в форме Notion / Confluence / specialized GRC tool):
- Каждый risk: id, описание, источник, текущая оценка (значимость / вероятность / score), митигирующие меры, owner, deadlines, статус
- Обновление еженедельно для opasных рисков, ежемесячно для допустимых
- Risk Matrix 5×5 (не 3×3) — рекомендую более гранулярную:
- Значимость: catastrophic / severe / significant / moderate / minor
- Вероятность: almost certain / likely / possible / unlikely / rare
- Это даст 5 уровней: critical / high / medium / low / very low — вместо двух у Whitebird
- Risk Appetite Statement — публичный документ для regulators:
- Cyber: нулевая толерантность к проникновениям в hot wallets
- Operational: max 0.1 % annual loss от revenue
- Credit: max 1 % unsecured client exposure
- Liquidity: 30 % AUM в highly liquid assets (USDC + cash)
- Market: VaR-limit 5 % equity на proprietary book
- Key Risk Indicators (KRI) Dashboard:
- Real-time индикаторы для каждого риска
- Auto-alerts при пересечении threshold
- Heatmap уровня риска по подразделениям
- Quarterly Risk Reports — формальный документ для совета директоров и регулятора:
- Top-10 рисков с motion (improved/stable/worsened)
- Incident summary
- Mitigation actions completed / pending
- Forward-looking risks
- Stress Testing Framework:
- Сценарии: BTC -50 % за 24h, USDT de-peg к $0.95, банк-партнёр заморожен на 7 дней, DDoS на 72 часа, утечка hot wallet keys, регулятор отозвал лицензию
- Раз в квартал — полный stress test
- BCP / DRP документы — отдельно от Risk Policy, но связано:
- RTO (Recovery Time Objective) для каждого критического сервиса
- RPO (Recovery Point Objective) для данных
- Disaster simulation exercise — раз в полугодие
- Risk Officer training program — мандатный onboarding для всех новых сотрудников.
Что точно скопировать у Whitebird (формулировки)
- «СУР подлежит по крайней мере ежегодному пересмотру» — обязательная цикличность
- Структура Глав 1-5 как skeleton: Общие положения → Виды рисков → Структура управления → Процесс → Прочее
- «Опасный уровень риска может быть снижен до допустимого уровня в результате принятия Компанией мер по минимизации риска» — формулировка переходов между статусами
Ссылки внутри Whitebird-стека
- → #17 (положение о конфликте интересов — связанный документ)
- → #28 (политика обработки персональных данных — связано с кибер-риском)
- → Должность Risk Officer (один из основных compliance ролей)