ניהול סיכונים אצל נותן שירותים פיננסים מוסדרים

בתוקף סמכותי לפי סעיף 4(א) לחוק הפיקוח על שירותים פיננסיים (שירותים פיננסיים מוסדרים), התשע"ו-2016, ובתוקף סמכותי לפי סעיפים 35(ב), ו-62(ב) לחוק שירות מידע פיננסי התשפ"ב-2021 (להלן – "חוק שירות מידע פיננסי"), ולאחר התייעצות עם הוועדה המייעצת, להלן הוראותיי:

נותן שירותים פיננסים חשוף לסיכונים מסוגים שונים ובעלי רמות שונות של השפעה על עסקיו. ניהול סיכונים הוא מרכיב מרכזי בניהולו התקין של נותן השירותים הפיננסים. תהליכי ניהול סיכונים משמעותיים ואיכותיים תומכים בניהול זהיר ומושכל של הפעילות הפיננסית והעסקית באופן שיקדם את השגת מטרותיה, ויבטיח את ההגנה והשמירה על עניינם של הלקוחות של נותן השירותים הפיננסים. נוסף על כך, הקישוריות בין גופים שונים במערכת הפיננסית, שבאה לידי ביטוי, למשל, במסגרת חקיקות כמו חוק שירות מידע פיננסי, וחוק נתוני אשראי, תשע"ו-2016, מגבירה את הצורך בהתנהלות של נותני שירותים פיננסים בהתאם לסטנדרטים מקובלים לעניין ניהול סיכונים.

הנחיות לניהול סיכונים של נותן שירותים פיננסים נקבעו במדינות שונות בעולם והן יוצרות נורמות בינלאומיות מקובלות בתחום זה. עיקרן של הנורמות הבינלאומיות הוא ביצוע הליכים סדורים לזיהוי והערכת סיכונים ונקיטת אמצעים לניהולם בהתאם למאפייניהם ולאופים, היקפם מורכבותם ובהתאם למטרותיו העסקיות של נותן השירותים הפיננסים. 

מטרת ההוראות הנכללות בנספח של חוזר זה היא להנחות את נותן השירותים הפיננסיים באימוץ הליכי ניהול סיכונים אשר יסייעו לו להתמודד באפקטיביות עם הסיכונים השונים להם הוא חשוף, או עשוי להיות חשוף. זאת, בין היתר, על-ידי גיבוש מדיניות ותהליכי עבודה לניהול סיכונים, מינוי מנהל סיכונים, הקצאה של משאבים נאותים לניהול הסיכונים וקביעת שגרות דיווח אשר יגבירו את יכולותיו בזיהוי, מדידה, ניטור ניהול ודיווח של הסיכונים אליהם הוא חשוף או עשוי להיות חשוף.

יש להדגיש כי נותני שירותים פיננסים שאינם גופים מוסדיים אינם מפוקחים יציבותית על ידי רשות שוק ההון, ביטוח וחיסכון, למעט במקום בו יש פיקדונות ציבור (כמו אגודות פיקדון ואשראי), והמחוקק אינו דורש להחיל עליהם כללי יציבות פיננסית. לפיכך, חוזר זה לא נועד לשרת מטרות של פיקוח יציבותי.

בחוזר המאוחד לעניין שירותים פיננסיים מוסדרים, בחלק 5 ("ניהול סיכונים והלבנת הון"), בפרק 1 ("ניהול סיכונים") בסימן א' ("ניהול סיכונים בנותן שירותים פיננסים") יבואו סעיפים 1-5, המצורפים כנספח לחוזר זה.

הוראות חוזר זה יחולו על נותן שירותים פיננסיים שהוא אחד מאלה:

בעל רישיון למתן שירותי פיקדון ואשראי;

בעל רישיון להפעלת מערכת לתיווך באשראי;

בעל רישיון למתן שירות בנכס פיננסי אשר נותן שירות שבו נשמר ומנוהל נכס פיננסי בחשבון ייעודי המנוהל עבור לקוח מסוים, ואשר מאפשר העברת נכס פיננסי לחשבון אחר. לעניין זה אין נפקא מינה אם מעביר הנכס ומקבל הנכס הם אותו אדם ;

הוא פועל או מבקש לקבל אישור מהמפקח לפעול כנותן שירות מידע פיננסי כהגדרתו בחוק שירות מידע פיננסי.

כל בעל רישיון למתן שירותים פיננסיים שאינו מנוי לעיל, ואשר מתקיים בו אחד מאלה:

הוא שומר באופן מקוון הן את המידע על לקוחותיו וכן את הנכסים הפיננסיים של לקוחותיו;

הוא משמש מקור מידע או משתמש בנתוני אשראי כהגדרתם בחוק נתוני אשראי, התשע"ו-2016; 

תחילתו של חוזר זה 18 חודשים לאחר פרסומו.

על אף האמור בסעיף א, תחילתו של חוזר זה לעניין גופים המנויים בסעיף ד לתחולה, תהיה מיום פרסומו.

הוראות המפקח על השירותים הפיננסים

חלק 5, פרק 1, סימן(א)

"מנהל כללי" – כל אחד מאלה: 

בבעל רישיון בסיסי – המנכ"ל או מי שמנהל את פעילותו של בעל הרישיון;

בבעל רישיון מורחב - המנכ"ל.

"נותן שירותים פיננסים" – לעניין סימן זה:

בעל רישיון למתן שירותי פיקדון ואשראי;

בעל רישיון להפעלת מערכת לתיווך באשראי;

בעל רישיון למתן שירות בנכס פיננסי אשר נותן שירות שבו נשמר ומנוהל נכס פיננסי בחשבון ייעודי המנוהל עבור לקוח מסוים, ואשר מאפשר העברת נכס פיננסי לחשבון אחר. לעניין זה אין נפקא מינה אם מעביר הנכס ומקבל הנכס הם אותו אדם ;

הוא בעל אישור לפעול כנותן שירות מידע פיננסי כהגדרתו בחוק שירותי מידע התשפ"ב-2021.

כל בעל רישיון למתן שירותים פיננסיים שאינו מנוי לעיל, ואשר מתקיים בו אחד מאלה:

הוא שומר באופן מקוון הן את המידע על לקוחותיו וכן את הנכסים הפיננסיים של לקוחותיו ;

הוא משמש מקור מידע או משתמש בנתוני אשראי כהגדרתם בחוק נתוני אשראי, התשע"ו-2016.

נותן שירותים פיננסים ינהל סיכונים. במסגרת זו, יקבע מדיניות, תהליכי עבודה ושגרות דיווח הנדרשים לשם זיהוי, מדידה, ניטור ניהול ודיווח של הסיכונים אליהם הוא חשוף או עשוי להיות חשוף. 

נותן שירותים פיננסים ינהל סיכונים באופן אשר יקיים את הבאים:

יתאים לאופי, היקף ומורכבות הסיכונים הגלומים בפעילותו של נותן השירותים הפיננסים; 

יהיה שלוב בממשל התאגידי ומשפיע בקבלת ההחלטות של נותן השירותים הפיננסים;

יהיה רציף ומתמשך, ויביא בחשבון השפעות הדדיות בין סיכונים שונים וכן את אופק הזמן התואם את פעילותו;

יתייחס לכל הסיכונים המהותיים, ולפחות אל התחומים הבאים:

סיכון תפעולי לרבות מעילות והונאות;

ניהול התקשרויות במיקור חוץ;

ניהול המשכיות עסקית.

בעל רישיון למתן שירותי פיקדון ואשראי או בעל רישיון להפעלת מערכת לתיווך באשראי יתייחס, בנוסף לאמור בפסקה (4) לעיל, גם אל התחומים הבאים:

סיכון שוק;

סיכון נזילות;

סיכון אשראי וצד נגדי.

נותן שירותים פיננסיים יקבע מדיניות כתובה לניהול סיכונים, ויפעל ליישום מדיניות זו באופן ראוי. מדיניות ניהול הסיכונים תתייחס, לכל הפחות, ליישום הוראות סימן זה.

מדיניות ניהול סיכונים

דירקטוריון של נותן שירותים פיננסים יאשר את מדיניות ניהול הסיכונים של נותן השירותים הפיננסים. הדירקטוריון ידון במדיניות ניהול הסיכונים לכל הפחות אחת לשנה, ויוודא כי היא מותאמת לשינויים מהותיים, אם היו, בסיכונים להם חשוף נותן השירותים הפיננסים.

פיקוח ובקרה

דירקטוריון של נותן שירותים פיננסים יפקח על אופן ניהול הסיכונים, יוודא שמדיניות ניהול הסיכונים מיושמת באופן ראוי, ושניתנים סמכויות ואמצעים נאותים למנהל הסיכונים וליחידת ניהול סיכונים, אם הוקמה.

בבעל רישיון שהוא יחיד, יחולו הוראות סעיף 3(א) ו-3(ב) על מי שמנהל את פעילות בעל הרישיון, והכל בשינויים המחויבים. 

נותן שירותים פיננסיים ימנה מנהל סיכונים בעל מומחיות או ניסיון מוכחים בתחום ניהול הסיכונים. בכפוף לאמור בסעיף 2(ב)(1) יקים נותן שירותים פיננסים יחידת ניהול סיכונים אשר מנהל הסיכונים עומד בראשה. מנהל הסיכונים ויחידת ניהול הסיכונים, אם הוקמה, יקבלו סמכויות ואמצעים נאותים לצורך תמיכה ביישום ניהול הסיכונים של נותן השירותים הפיננסים.  

מנהל הסיכונים יהיה מעורב בתהליכי קבלת החלטות עסקיות משמעותיות ותהא לו גישה ישירה למנהלו הכללי של נותן השירותים הפיננסים וליושב ראש הדירקטוריון.

מנהל הסיכונים לא ימלא כל תפקיד אחר בנותן השירותים הפיננסים הכרוך בנטילת סיכון והעלול לפגוע בעצמאות ניהול הסיכונים. לעניין זה מנהל הסיכונים לא יישא באחריות ניהולית או פיננסית ביחס ליחידות עסקיות מייצרות הכנסה וביחס לתפקידי מטה ובקרה אחרים העלולים לפגוע בתפקידו, ובפרט: ביקורת פנים, ניהול כספים, ניהול טכנולוגיות מידע. 

מנהל הסיכונים ויחידת ניהול סיכונים, אם הוקמה, יהיו בעלי גישה ישירה, לפי שיקול דעתם, לכל הנתונים והמסמכים הדרושים להם לביצוע תפקידם, לרבות באמצעות גישה עצמאית אל מערכות המידע של נותן השירותים הפיננסים. מנהל הסיכונים ויחידת ניהול הסיכונים, אם הוקמה, יהיו רשאים לדרוש ולקבל כל מסמך הדרוש לדעתם לצורך ניהול הסיכונים בנותן השירותים הפיננסים, ואשר נמצא ברשות נותן השירותים הפיננסים, או ברשות אחד מעובדיו, נושא משרה בו או מי שנותן לו שירותים במיקור חוץ.

למנהל הסיכונים וליחידת ניהול סיכונים, אם הוקמה, יוקצו משאבים נאותים לביצוע תפקידיהם ולמימוש סמכויותיהם.

מנהל הסיכונים יגיש דיווח בכתב לדירקטוריון ולמנהל הכללי, אודות הסיכונים המהותיים להם חשוף או עשוי להיות חשוף נותן השירותים הפיננסים, אופן הטיפול בהם, וכן יתייחס להתאמת ניהול הסיכונים בנותן השירותים הפיננסים למדיניות ניהול הסיכונים של נותן השירותים הפיננסים. דיווח זה יוגש לפחות אחת לשנה. 

 

נותן שירותים פיננסים חשוף לסיכונים מסוגים שונים ובעלי רמות שונות של השפעה על עסקיו. ניהול סיכונים הוא מרכיב מרכזי בניהולו התקין של נותן השירותים הפיננסים. תהליכי ניהול סיכונים משמעותיים ואיכותיים תומכים בניהול זהיר ומושכל של הפעילות הפיננסית והעסקית באופן שיקדם את השגת מטרותיה, ויבטיח את ההגנה והשמירה על עניינם של הלקוחות של נותן השירותים הפיננסים. נוסף על כך, הקישוריות בין גופים שונים במערכת הפיננסית, שבאה לידי ביטוי, למשל, במסגרת חקיקות כמו חוק שירות מידע פיננסי, תשפ"ב-2021 (להלן – "חוק שירות מידע פיננסי") וחוק נתוני אשראי, תשע"ו-2016, מגבירה את הצורך בהתנהלות של נותני שירותים פיננסים בהתאם לסטנדרטים מקובלים לעניין ניהול סיכונים.

הנחיות לניהול סיכונים של נותן שירותים פיננסים נקבעו במדינות שונות בעולם והן יוצרות נורמות בינלאומיות מקובלות בתחום זה. עיקרן של הנורמות הבינלאומיות הוא ביצוע הליכים סדורים לזיהוי והערכת סיכונים ונקיטת אמצעים לניהולם בהתאם למאפייניהם ולאופים, היקפם, מורכבותם ובהתאם למטרותיו העסקיות של נותן השירותים הפיננסים. 

יש להדגיש כי נותני שירותים פיננסים שאינם גופים מוסדיים אינם מפוקחים יציבותית על ידי רשות שוק ההון, ביטוח וחיסכון, למעט במקום בו יש פיקדונות ציבור (כמו אגודות פיקדון ואשראי), והמחוקק אינו דורש להחיל עליהם כללי יציבות פיננסית. לפיכך, חוזר זה לא נועד לשרת מטרות של פיקוח יציבותי.

נקבע כי תחילתו של חוזר זה תהיה 18 חודשים מיום פרסומו וזאת כדי לאפשר לנותני שירותים פיננסים להיערך בהתאם.

בנוסף, נקבע כי תחילתו של חוזר זה לעניין נותן שירותים פיננסים אשר פועל או מבקש לקבל אישור לפעול כנותן שירות מידע פיננסי כהגדרתו בחוק שירות מידע פיננסי, תהיה מיום פרסום חוזר זה. עמידה בהוראות החוזר היא תנאי לקבלת אישור לפעול כנותן שירות מידע פיננסי.

חוק הפיקוח על שירותים פיננסים (שירותים פיננסיים מוסדרים), התשע"ו-2016 (להלן – "חוק הפיקוח על שירותים פיננסים") מסדיר את פעילותם של גופים רבים ומגוונים אשר נבדלים זה מזה בסוג השירות שהם מספקים וכפועל יוצא מכך, גם באופי היקף ומורכבות הסיכונים שמעלה פעילותם העסקית. כדי לתת מענה הולם לסוגי הרישיונות השונים בחוק הפיקוח על שירותים פיננסיים ובהתחשב בקישוריות המערכת הפיננסית, הוראות חוזר זה יחולו, בעניין ניהול סיכונים, על הגופים אשר פעילותם היא בעלת רמת החשיפה הגבוהה והמשמעותית ביותר לסיכונים לדוגמא סיכונים הנובעים בפעילות המתבצעת באופן מקוון, בין כחלק מהשירות הניתן ללקוח ובין כחלק מהממשקים עם גופים פיננסיים אחרים וכן סיכונים הנובעים מפעילות שמתאפיינת בניהול ובשמירה של מידע באופן ממוכן.

נקבע כי נותן שירותים פיננסים ינהל סיכונים ובמסגרת זו יקבע מדיניות, תהליכי עבודה ושגרות דיווח הנדרשים לשם זיהוי, מדידה, ניטור ניהול ודיווח של הסיכונים אליהם הוא חשוף או עשוי להיות חשוף. נותן השירותים הפיננסים ינהל את הסיכונים באופן רציף ומתמשך, וכן יביא בחשבון השפעות הדדיות בניהם ואופק זמן התואם את עסקיו. נוסף לכך נקבעו תנאים ותחומים מינימליים לניהול הסיכונים, בהתאם לסוג השירות הפיננסי. כל זאת, על מנת לקדם ניהול תקין ושמירה על עניינם של הלקוחות של נותן שירותים פיננסים. 

דירקטוריון של תאגיד קובע את המדיניות בו ומפקח על ביצועה. נקבעו הוראות לדירקטוריון הנוגעות לתפקידיו בתחום ניהול הסיכונים.

מעמדו ועצמאותו של מנהל הסיכונים חשובים לביצוע תפקידו. נקבעו הוראות הנוגעות לביסוס מעמדו ועצמאותו של מנהל הסיכונים. יובהר, עמידה בהוראות אלו יכולה להתבצע  בדרכים שונות כגון העסקת מנהל סיכונים על-ידי נותן השירותים הפיננסים או על-ידי צד קשור אליו, או קבלת שירותים במיקור חוץ.

דיווח סדיר לדירקטוריון הוא חלק מהותי בניהול הסיכונים תקין. נקבע דיווח סדיר של מנהל הסיכונים לדירקטוריון וכן את נושאי הדיווח.