SREP: риски под контролем, но качество управления вызывает вопросы

АРРФР опубликовало второй публичный отчет SREP — системы надзорной оценки банков. Документ охватывает 21 банк второго уровня.

Как следует из выводов отчета, сектор остается относительно стабильным: большинство банков удержали свои позиции, масштабных ухудшений не произошло. Вместе с тем, качество риск-менеджмента и внутренних процессов во многих случаях все еще заметно отстает от той модели надзора, к которой сейчас переходит рынок.

По итогам SREP 2025: 7 банков получили рейтинг «1» (низкий риск); 7 банков — рейтинг «2»; 5 банков — рейтинг «3»; 2 банка — рейтинг «4» (высокий риск). При этом регулятор впервые полноценно применил надзорные надбавки к капиталу — от 0 до 4,5 %. В сравнении с прошлогодним отчетом, 90 % банков сохранили рейтинги на том же уровне, но при этом доля банков с лучшим рейтингом сократилась с 43 % до 33 %, а доля рейтинга «3» выросла с 19 % до 24 %.

В отчете проведен анализ бизнес-моделей банков (BMA). По итогам 2025 года ни один банк не получил высший рейтинг по бизнес-модели. Доля банков с рейтингом «2» снизилась с 57 % до 38 %, тогда как доля рейтинга «3» выросла до 52 %, а рейтинга «4» — до 10 %. АРРФР прямо указывает, что в ряде банков обсуждение исполнения стратегии и бюджета носит формальный характер, без полноценного анализа, поручений и контроля исполнения решений.

Наиболее позитивно выглядит блок рисков капитала. Здесь банки заметно улучшили позиции: доля рейтинга «2» выросла сразу вдвое, а крайние оценки — «1» и «4» — вообще исчезли. Вместе с тем, регулятор отмечает, что в ряде банков отсутствуют планы финансирования капитала на случай стрессовых ситуаций; не разработаны карты и реестры существенных рисков; внутренний капитал не покрывает все релевантные риски; отсутствуют прозрачные дивидендные политики; стресс-сценарии не соответствуют минимальным требованиям регулятора. При этом АРРФР отдельно обращает внимание на концентрацию части розничных портфелей в сегменте автокредитования.

Акцент в отчете сделан на IRRBB — процентном риске банковского портфеля. Регулятор отмечает, что часть банков по-прежнему использует слишком мягкие стресс-сценарии изменения ставок при расчете ключевых метрик ΔEVE и ΔNII. Данная практика ограничивает выявление уязвимости банка к значительным колебаниям ставок и возможности своевременно реагировать на неблагоприятные изменения. Несмотря на прогресс на уровне функции второй линии защиты, сохраняются недостатки в деятельности третьей линии защиты. В частности, отсутствуют проверки процедур управления IRRBB подразделениями внутреннего аудита за последние три года. Высокие ставки повышают значимость процентного риска, и регулятор требует более консервативных стресс-сценариев.

В блоке рыночного риска регулятор также фиксирует постепенное ухудшение распределения рейтингов. Доля банков с лучшей оценкой сократилась более чем вдвое — с 52 % до 24 %, тогда как основная масса сместилась в рейтинг «2».

Основная претензия АРРФР — использование слишком упрощенных моделей оценки риска. Во многих случаях банки продолжают опираться преимущественно на исторический VaR, не применяя более современные подходы Expected Shortfall (ES), рекомендованные Базелем. Дополнительно регулятор обращает внимание на отсутствие полноценного хеджирования валютных рисков; неактуализированные внутренние документы; отсутствие проверок со стороны внутреннего аудита; слабый контроль концентрации и дюрации портфелей ценных бумаг.

Немало замечаний регулятора касается уже не классических банковских рисков, а качества внутренних процессов и ИТ-контроля. АРРФР указывает, что многие внутренние документы банков не обновлялись годами, что повышает риск применения устаревших практик и регуляторных нарушений. Дополнительно регулятор прямо связывает рост цифровизации и внедрение ИИ с повышением значимости ИТ-аудита. При этом в ряде банков сохраняется дефицит квалифицированных ИТ-аудиторов и недостаточная зрелость внутренних проверок.

Еще один чувствительный блок — governance. Регулятор фиксирует случаи несоблюдения требований законодательства; совмещение должностей членами советов директоров в разных банках; концентрацию полномочий в комитетах; чрезмерную долю заочных заседаний. Все это, по мнению АРРФР, снижает качество обсуждения рисков и вовлеченность органов управления. Дополнительным риском назван недостаточно риск-ориентированный внутренний аудит. В ряде случаев аудиторские подразделения не концентрируются на наиболее критичных зонах риска, что ограничивает способность банков своевременно выявлять проблемы.

В блоке ликвидности регулятор фактически указывает на недостаточную готовность части банков к стрессовым сценариям. АРРФР обращает внимание на отсутствие лимитов концентрации фондирования; слабую диверсификацию источников ликвидности; отсутствие четких алгоритмов действий при стрессах; недостаточную проработку планов экстренного фондирования; отсутствие количественных триггеров и механизмов эскалации. При этом некоторые банки до сих пор не используют обязательные стресс-сценарии, предусмотренные Правилами №188.