Profil ryzyka Grupy PZU

Jest to ryzyko straty lub niekorzystnej zmiany sytuacji finansowej, wynikającej bezpośrednio lub pośrednio z wahań poziomu i zmienności rynkowych cen aktywów, spreadu kredytowego, wartości zobowiązań i instrumentów finansowych.

Proces zarządzania ryzykiem spreadu kredytowego i ryzykiem koncentracji ma odmienną specyfikę od procesu zarządzania pozostałymi podkategoriami ryzyka rynkowego i został opisany w kolejnej części (Ryzyko kredytowe i koncentracji) wraz z procesem zarządzania ryzykiem niewypłacalności kontrahenta.

Ryzyko rynkowe w Grupie PZU pochodzi z trzech głównych źródeł:

• działalności związanej z dopasowaniem aktywów do zobowiązań (portfel ALM);
• działalności związanej z aktywną alokacją, tj. wyznaczaniem optymalnej średnioterminowej struktury aktywów (portfele AA);
• działalności bankowej – w jej efekcie Grupa PZU istotnie zwiększyła narażenie na ryzyko stopy procentowej oraz ryzyko kredytowe.

Działalność inwestycyjną w spółkach Grupy PZU reguluje szereg dokumentów zatwierdzonych przez Rady Nadzorcze, Zarządy i dedykowane Komitety.

Identyfikacja ryzyka rynkowego polega na rozpoznaniu rzeczywistych i potencjalnych źródeł tego ryzyka. Proces identyfikacji ryzyka rynkowego związanego z aktywami rozpoczyna się w momencie podjęcia decyzji o rozpoczęciu dokonywania transakcji na danym typie instrumentów finansowych. Jednostki, które podejmują decyzję o rozpoczęciu dokonywania transakcji na danym typie instrumentów finansowych, sporządzają opis instrumentu zawierający, w szczególności, opis czynników ryzyka.

Przekazują go do jednostki ds. ryzyka, która na jego podstawie identyfikuje i ocenia ryzyko rynkowe.

Proces identyfikacji ryzyka rynkowego związanego z zobowiązaniami ubezpieczeniowymi rozpoczyna się wraz z procesem tworzenia produktu ubezpieczeniowego i jest związany z identyfikacją zależności wielkości przepływów finansowych z tego produktu od czynników ryzyka rynkowego. Zidentyfikowane ryzyka rynkowe podlegają ocenie ze względu na kryterium istotności tj. czy z materializacją ryzyka związana jest strata mogąca mieć wpływ na kondycję finansową.

Ryzyko rynkowe jest mierzone przy użyciu poniższych miar ryzyka:

• VaR, wartości narażonej na ryzyko, będącą miarą ryzyka kwantyfikującą potencjalną stratę ekonomiczną, która w horyzoncie jednego roku przy normalnych warunkach rynkowych nie zostanie przekroczona z prawdopodobieństwem 99,5%;
• formuły standardowej;
• miar ekspozycji i wrażliwości;
• skumulowanej miesięcznej straty. 

W przypadku podmiotów bankowych stosuje się adekwatne miary zgodne z przepisami sektorowymi oraz dobrymi praktykami rynkowymi.

Przy pomiarze ryzyka rynkowego wyróżnia się, w szczególności, następujące etapy:

• gromadzenie informacji o aktywach i zobowiązaniach generujących ryzyko rynkowe;
• wyliczenie wartości ryzyka.

Pomiar ryzyka dokonywany jest:

• dla miar ekspozycji i wrażliwości instrumentów;
• przy wykorzystaniu częściowego modelu wewnętrznego.

Monitorowanie i kontrolowanie ryzyka rynkowego polega na analizie poziomu ryzyka i wykorzystania wyznaczonych limitów.

Raportowanie polega na komunikacji o poziomie ryzyka rynkowego, efektach monitorowania i kontrolowania różnym poziomom decyzyjnym. Częstotliwość poszczególnych raportów oraz zakres informacji są dostosowane do potrzeb informacyjnych na poszczególnych poziomach decyzyjnych.

Działania zarządcze w odniesieniu do ryzyka rynkowego polegają w szczególności na:

• dokonywaniu transakcji służących zmniejszeniu ryzyka rynkowego, tj. sprzedaż instrumentu finansowego, zamknięcie pozycji na instrumencie pochodnym, kupno zabezpieczającego instrumentu pochodnego;
• dywersyfikacji portfela aktywów, w szczególności ze względu na kategorię ryzyka rynkowego, terminy zapadalności instrumentów, koncentrację zaangażowania w jednym podmiocie, koncentrację geograficzną;
• stanowieniu ograniczeń i limitów ryzyka rynkowego.

Stanowienie limitów jest głównym narzędziem zarządczym mającym na celu utrzymanie pozycji ryzyka w ramach akceptowalnego poziomu tolerancji na ryzyko. Struktura limitów dla poszczególnych kategorii ryzyka rynkowego jak również dla poszczególnych jednostek organizacyjnych jest ustalana przez dedykowane komitety w taki sposób, aby były one spójne z tolerancją na ryzyko.

Ryzyko kredytowe jest to ryzyko straty lub niekorzystnej zmiany sytuacji finansowej, wynikające z wahań wiarygodności i zdolności kredytowej emitentów papierów wartościowych, kontrahentów i wszelkich dłużników, materializujące się niewykonaniem zobowiązania przez kontrahenta lub wzrostem spreadu kredytowego. W ramach ryzyka kredytowego wyróżnia się następujące kategorie ryzyka:

• ryzyko spreadu kredytowego;
• ryzyko niewykonania zobowiązania przez kontrahenta;
• ryzyko kredytowe w ubezpieczeniach finansowych.

Ryzyko koncentracji jest to możliwość poniesienia straty wynikającej z braku dywersyfikacji portfela aktywów lub z dużej ekspozycji na ryzyko niewykonania zobowiązania przez pojedynczego emitenta papierów wartościowych lub grupę powiązanych emitentów.

Proces zarządzania ryzykiem kredytowym i ryzykiem koncentracji składa się z następujących etapów:

• identyfikacja;
• pomiar i ocena;
• monitorowanie i kontrolowanie;
• raportowanie;
• działania zarządcze.

Identyfikacja ryzyka kredytowego i koncentracji odbywa się na etapie podejmowania decyzji o zainwestowaniu w nowy typ instrumentu finansowego lub zaangażowaniu o charakterze kredytowym w nowy podmiot. Identyfikacja polega na analizie czy z daną inwestycją wiąże się ryzyko kredytowe lub koncentracji, od czego uzależniony jest jego poziom i zmienność w czasie. Identyfikacji podlegają rzeczywiste i potencjalne źródła ryzyka kredytowego i koncentracji.

Ocena ryzyka polega na oszacowaniu prawdopodobieństwa materializacji ryzyka oraz potencjalnego wpływu materializacji ryzyka na kondycję finansową Spółki.

Pomiar ryzyka kredytowego dokonywany jest przy użyciu:

• miar ekspozycji (wartość zaangażowania kredytowego brutto i netto oraz zaangażowanie kredytowe netto ważone okresem zapadalności);
• formuły standardowej.

Ryzyko koncentracji dla pojedynczego podmiotu jest kalkulowane zgodnie z formułą standardową.

W przypadku podmiotów bankowych stosuje się adekwatne miary zgodne z przepisami sektorowymi oraz dobrymi praktykami rynkowymi.

Miarą łącznego ryzyka koncentracji jest suma ryzyk koncentracji pojedynczych podmiotów. W przypadku podmiotów powiązanych wyznacza się ryzyko koncentracji dla wszystkich podmiotów powiązanych łącznie.

Monitorowanie i kontrolowanie ryzyka kredytowego i koncentracji polega na analizie bieżącego poziomu ryzyka, ocenie zdolności kredytowej i określeniu stopnia wykorzystania wyznaczonych limitów. Monitorowanie odbywa się m.in. w cyklach dziennych oraz miesięcznych.

Monitorowanie jest wykonywane dla:

• zaangażowań z tytułu ubezpieczeń finansowych;
• zaangażowań reasekuracyjnych;
• limitów zaangażowania oraz limitów ryzyka VaR.

Raportowanie polega na komunikacji o poziomie ryzyka kredytowego i koncentracji, efektach monitorowania i kontrolowania różnym poziomom decyzyjnym. Częstotliwość poszczególnych raportów oraz zakres informacji są dostosowane do potrzeb informacyjnych na poszczególnych poziomach decyzyjnych.

Działania zarządcze w odniesieniu do ryzyka kredytowego i ryzyka koncentracji polegają w szczególności na:

• stanowieniu limitów ograniczających zaangażowanie wobec pojedynczego podmiotu, grupy podmiotów, sektorów, państw;
• dywersyfikacji portfela aktywów i ubezpieczeń finansowych w szczególności ze względu na państwo, sektor;
• przyjęciu zabezpieczenia;
• dokonywaniu transakcji służących zmniejszeniu ryzyka kredytowego, tj. sprzedaży instrumentu finansowego, zamknięciu instrumentu pochodnego, kupnie zabezpieczającego instrumentu pochodnego, restrukturyzacji udzielonego zadłużenia;
• reasekuracji portfela ubezpieczeń finansowych.

Struktura limitów ryzyka kredytowego i koncentracji dla poszczególnych emitentów jest ustalana przez dedykowany komitet w taki sposób, by były one spójne z tolerancją na ryzyko oraz pozwalały zminimalizować ryzyko „zarażania” pomiędzy skoncentrowanymi ekspozycjami.

W działalności bankowej udzielanie produktów kredytowych realizowane jest zgodnie z metodykami kredytowania właściwymi dla segmentu klienta i rodzaju produktu. Ocena zdolności kredytowej klienta poprzedzająca wydanie decyzji o udzieleniu produktu kredytowego przeprowadzana jest z wykorzystaniem systemu wspierającego proces kredytowy, narzędzi: scoringowego lub ratingowego; zewnętrznych informacji (np. bazy CBD DZ, CBD BR, BIK, BIG) i wewnętrznych baz banków. Udzielanie produktów kredytowych przebiega zgodnie z obowiązującymi procedurami operacyjnymi wskazującymi właściwe czynności wykonywane w procesie kredytowym, odpowiedzialne za nie jednostki oraz wykorzystywane narzędzia.

W celu minimalizacji ryzyka kredytowego ustanawia się zabezpieczenia odpowiednie do ponoszonego ryzyka kredytowego i elastyczne wobec możliwości klienta. Ustanowienie zabezpieczenia nie zwalnia z obowiązku badania zdolności kredytowej klienta.

Natomiast Scoring kredytowy jest narzędziem wspierającym decyzje kredytowe dla klientów indywidualnych i mikroprzedsiębiorstw, a rating kredytowy w segmencie małych, średnich i dużych przedsiębiorstw.

Jest to możliwość poniesienia straty wynikającej z niewłaściwych lub błędnych procesów wewnętrznych, działań ludzi, funkcjonowania systemów lub ze zdarzeń zewnętrznych.

Identyfikacja ryzyka operacyjnego odbywa się, w szczególności, poprzez:

• gromadzenie i analizę informacji o incydentach ryzyka operacyjnego;
• samoocenę ryzyka operacyjnego;
• analizy scenariuszowe.

Ocena i pomiar ryzyka operacyjnego odbywa się poprzez:

• określanie skutków wystąpienia incydentów ryzyka operacyjnego;
• szacowanie skutków wystąpienia potencjalnych incydentów ryzyka operacyjnego, które mogą wystąpić w działalności.

Monitorowanie i kontrolowanie ryzyka operacyjnego realizowane jest głównie poprzez ustanowiony system wskaźników ryzyka operacyjnego umożliwiających ocenę zmian poziomu ryzyka operacyjnego w czasie oraz czynników mających wpływ na jego poziom w działalności.

Raportowanie polega na komunikacji o poziomie ryzyka operacyjnego oraz efektach monitorowania i kontrolowania różnym poziomom decyzyjnym. Częstotliwość poszczególnych raportów oraz zakres informacji są dostosowane do potrzeb informacyjnych na poszczególnych poziomach decyzyjnych.

Działania zarządcze w ramach reakcji na zidentyfikowane i ocenione ryzyko operacyjne polegają, w szczególności, na:

• ograniczaniu ryzyka poprzez podjęcie działań mających na celu minimalizację ryzyka, m.in. poprzez wzmocnienie systemu kontroli wewnętrznej;
• transferze ryzyka – w szczególności za pomocą zawarcia umowy ubezpieczenia;
• unikaniu ryzyka poprzez niepodejmowanie lub wycofanie się z określonej działalności biznesowej, w przypadku stwierdzenia zbyt wysokiego ryzyka operacyjnego, którego koszty ograniczenia są nieopłacalne;
• akceptacji ryzyka – aprobatę konsekwencji wynikających z ewentualnej materializacji ryzyka operacyjnego, jeśli nie zagraża ono przekroczeniu poziomu tolerancji na ryzyko operacyjne.

Aktualność Planów ciągłości działania w spółkach Grupy PZU jest utrzymywana i cyklicznie testowana.

Jest to ryzyko niedostosowania się lub naruszenia przez podmioty Grupy PZU lub osoby powiązane z podmiotami Grupy przepisów prawa, regulacji wewnętrznych oraz przyjętych przez podmioty Grupy PZU standardów postępowania, w tym norm etycznych, które skutkują lub mogą skutkować poniesieniem przez Grupę PZU lub osoby działające w jej imieniu sankcji prawnych, powstania strat finansowych bądź utraty reputacji lub wiarygodności.

Proces zarządzania ryzykiem braku zgodności na poziomie PZU i PZU Życie dotyczy zarówno działań systemowych, realizowanych przez Biuro Compliance, jak również bieżącego zarządzania ryzykiem braku zgodności, za które odpowiadają kierujący jednostkami i komórkami organizacyjnymi w Spółkach. Identyfikowanie i ocena ryzyka braku zgodności realizowane są dla poszczególnych procesów wewnętrznych PZU i PZU Życie, zgodnie z podziałem odpowiedzialności za raportowanie. Dodatkowo Biuro Compliance identyfikuje ryzyko compliance na podstawie informacji wynikających z procesu legislacyjnego, ze zgłoszeń do rejestrów konfliktu interesów, prezentów oraz nieprawidłowości, a także wpływających do Biura zapytań.

Wśród działań systemowych wskazać należy kwestie takie jak:

• opracowywanie i wdrażanie założeń systemowych i spójnych z nimi regulacji wewnętrznych;
• rekomendowanie pozostałym podmiotom Grupy PZU rozwiązań w zakresie sposobu realizacji spójnej funkcji compliance oraz systemowego zarządzania ryzykiem braku zgodności;
• monitorowanie procesu zarządzania ryzykiem braku zgodności obejmującego w szczególności: dokonywanie analiz ryzyka braku zgodności, przegląd stanu realizacji wytycznych podmiotów zewnętrznych w zakresie zarządzania ryzykiem braku zgodności;
• udzielanie konsultacji oraz wydawanie interpretacji i wytycznych w zakresie stosowania przyjętych standardów postępowania oraz zarządzania ryzykiem braku zgodności;
• planowanie i realizacja szkoleń oraz prowadzenie działań komunikacji wewnętrznej w zakresie zapewnienia zgodności;
• sporządzanie raportów i informacji w zakresie ryzyka braku zgodności.

Z kolei działania związane z bieżącym zarządzaniem oznaczają m.in.:

• identyfikację i ocenę ryzyka braku zgodności w nadzorowanym obszarze;
• pomiar ryzyka braku zgodności;
• ustalanie instrumentów zabezpieczających oraz ograniczających liczbę i skalę występujących nieprawidłowości;
• raportowanie do Biura Compliance zagrożeń i zdarzeń z zakresu ryzyka braku zgodności;
• podejmowanie działań mitygujących;
• stałe monitorowanie ryzyka braku zgodności.

Dodatkowo Biuro Compliance na poziomie PZU dba o spójne i jednolite standardy rozwiązań compliance we wszystkich podmiotach Grupy PZU, jak również monitoruje ryzyko braku zgodności w skali Grupy PZU.

W 2017 roku podmioty Grupy PZU posiadały systemy zgodności dostosowane do standardów wyznaczonych przez PZU.

Za przekazywanie pełnej informacji na temat ryzyka braku zgodności w podmiotach Grupy są odpowiedzialne jednostki ds. zgodności. Jednostki te mają za zadanie dokonanie oceny i pomiaru ryzyka braku zgodności oraz podjęcie odpowiednich działań zaradczych, które mitygują materializację tego ryzyka.

Podmioty Grupy PZU przekazują na bieżąco informację na temat ryzyka braku zgodności do Biura Compliance PZU i PZU Życie. Biuro Compliance natomiast dokonuje m.in.:

• analizy raportów miesięcznych i kwartalnych otrzymanych od jednostek ds. zgodności podmiotów Grupy;
• oceny wpływu ryzyka braku zgodności podmiotów na Grupę PZU;
• analizy wykonania zaleceń wydanych spółkom z zakresu realizacji funkcji compliance;
• wsparcia jednostek ds. zgodności podmiotów Grupy PZU przy ocenie ryzyka braku zgodności;
• raportowania Zarządowi i Radzie Nadzorczej PZU.

Ryzyko braku zgodności uwzględnia w szczególności ryzyko niedostosowania działalności podmiotów Grupy PZU do zmieniającego się otoczenia prawnego. Materializacja tego ryzyka może nastąpić w związku z brakiem jasnych i jednoznacznych przepisów lub ich całkowitym brakiem czyli z tzw. luką prawną. Może to powodować nieprawidłowości w działalności Grupy PZU, co w konsekwencji może przyczynić się do wzrostu kosztów (np. z uwagi na kary finansowe), jak i zwiększenia ryzyka utraty reputacji, a więc spadku wiarygodności Grupy na rynku (w efekcie możliwość poniesienia straty finansowej).

Z uwagi na szeroki zakres działalności Grupy PZU, na ryzyko utraty reputacji ma również wpływ ryzyko sporów sądowych o różnej wartości, które dotyczy przede wszystkim spółek ubezpieczeniowych wchodzących w skład Grupy.

Identyfikowanie i ocena ryzyka braku zgodności w podmiotach Grupy realizowana jest dla poszczególnych procesów wewnętrznych tych spółek przez kierujących komórkami organizacyjnymi, zgodnie z podziałem odpowiedzialności za raportowanie. Dodatkowo jednostki ds. compliance w podmiotach Grupy PZU identyfikują ryzyko braku zgodności na podstawie informacji wynikających ze zgłoszeń do rejestrów konfliktu interesów, prezentów oraz nieprawidłowości, a także wpływających zapytań.

Ocena i pomiar ryzyka braku zgodności dokonywane są poprzez określenie skutków materializacji ryzyka:

• finansowych, wynikających m.in. z kar administracyjnych, wyroków sądowych, decyzji UOKiK, kar umownych oraz odszkodowań;
• niematerialnych, dotyczących utraty reputacji, w tym uszczerbku w zakresie wizerunku i marki Grupy PZU.

Monitorowanie ryzyka braku zgodności dokonywane jest w szczególności poprzez:

• analizę raportów otrzymywanych od kierujących jednostkami i komórkami organizacyjnymi;
• monitoring wymogów regulacyjnych i dostosowania działalności do zmieniającego się otoczenia prawnego podmiotów Grupy PZU;
• udział w pracach legislacyjnych w zakresie zmian obowiązujących powszechnie przepisów;
• podejmowanie aktywności w organizacjach branżowych;
• koordynację procesów kontroli zewnętrznej;
• koordynację realizacji obowiązków informacyjnych giełdowych (PZU) i ustawowych;
• popularyzację w Grupie PZU wiedzy z obszaru prawa konkurencji i ochrony konsumentów wśród pracowników z dostosowaniem do obszaru działalności;
• monitoring orzecznictwa antymonopolowego oraz postępowań prowadzonych przez Prezesa UOKiK;
• przegląd realizacji zaleceń jednostki ds. compliance Grupy PZU;
• zapewnienie spójnej realizacji funkcji compliance w Grupie PZU.

Działania zarządcze w zakresie reakcji na ryzyko braku zgodności obejmują w szczególności:

• akceptację ryzyka m.in. wobec zmian prawnych i regulacyjnych;
• ograniczanie ryzyka, w tym: dostosowanie procedur i procesów w kontekście wymogów regulacyjnych, opiniowanie i projektowanie regulacji wewnętrznych pod względem zgodności, uczestnictwo w procesie uzgadniania działań marketingowych;
• unikanie ryzyka poprzez zapobieganie angażowaniu w działania niezgodne z obowiązującymi wymogami regulacyjnymi, dobrymi praktykami rynkowymi lub mogące negatywnie wpłynąć na wizerunek.

W ramach ograniczania ryzyka braku zgodności na poziomie systemowym i bieżącym realizowane są m.in. następujące działania mitygujące:

• bieżąca realizacja efektywnej funkcji zgodności jako jednej z funkcji kluczowych w systemie zarządzania w podmiotach Grupy PZU;
• udział w konsultacjach z organami ustawodawczymi i nadzoru (podmioty nadzorowane Grupy PZU) na etapie tworzenia regulacji (konsultacje społeczne);
• delegowanie przedstawicieli podmiotów nadzorowanych Grupy PZU do udziału w pracach komisji przy organach nadzoru;
• prowadzenie projektów wdrożeniowych dla nowych regulacji;
• szkolenia pracowników podmiotów Grupy w zakresie nowych regulacji, standardów postępowania i rekomendowanych działań zarządczych;
• opiniowanie regulacji wewnętrznych podmiotów Grupy PZU i rekomendowanie ewentualnych zmian pod kątem ich zgodności z przepisami prawa i przyjętymi standardami postępowania;
• weryfikacja procedur i procesów w kontekście ich zgodności z przepisami prawa i przyjętymi standardami postępowania;
• wyprzedzające dostosowywanie dokumentacji do zbliżających się zmian wymogów prawnych;
• systemowy nadzór PZU nad realizacją funkcji zgodności w podmiotach Grupy PZU.

W 2017 roku - m.in. jako odpowiedź na istotny przyrost uregulowań prawnych, w tym rekomendacji nadzorczych w obszarze produktów ubezpieczeniowych - kontynuowano rozwój funkcji compliance produktowego, mającej na celu wsparcie biznesu w efektywnym zarządzaniu ryzykiem braku zgodności w produktach ubezpieczeniowych.