Банк повинен забезпечити систематичне здійснення аналізу ризиків, спрямованого на їх виявлення та оцінку їх величини. Метою аналізу має бути поглиблення розуміння суті ризиків, на які наражається банк, та визначення, чи узгоджуються вони з його завданнями, стратегією та політикою. Тому такий аналіз повинен здійснюватися постійно як на рівні установи в цілому, так і на рівні окремих підрозділів, та включати виявлення, вимірювання та оцінку всіх видів ризиків, в тому числі зв'язок між різними категоріями ризику.
Аналіз ризиків повинен охоплювати всі продукти, послуги та процеси банку і передбачати як якісну оцінку відповідних ризиків, так і, де можливо, оцінку їхніх кількісних параметрів. Керівництво банку повинно знати результати аналізу ризиків та враховувати їх в своїй роботі.
Аналіз ризиків - це безперервний процес, який відтак повинен враховувати:
- зміни внутрішніх та зовнішніх умов;
- нові продукти, послуги, процеси;
- плани на майбутнє.
В результаті аналізу ризиків можна дійти висновку, що ризики даного банку не відповідають - або перестали відповідати - обраним параметрам, або що обрані параметри ризиків не відповідають або перестали відповідати завданням та стратегії банку. Може також виявитися, що організаційна структура і механізми контролю банку не узгоджуються зі змінами в параметрах ризиків. Тому оцінка ризиків повинна супроводжуватися можливим переглядом завдань, обраної стратегії та розробленої організаційної структури та механізмів контролю.
Аналіз ризиків може виявити ризики, які не були виявлені раніше та/або які не можна мінімізувати за допомогою відповідних процедур та заходів контролю. В такому разі банк має прийняти рішення щодо прийнятності таких ризиків та доцільності подальшого здійснення того виду діяльності, на якому ці ризики грунтуються.
Аналіз ризиків повинен проводитись або перевірятись фахівцями, не залежними від виконання функцій пов'язаних з комерційною та/або фінансовою діяльністю - тобто прийняттям ризиків.
Для забезпечення належного виявлення, розуміння та управління ризиками у їх взаємодії між собою, вони не повинні розглядатися окремо один від одного. Аналіз, необхідний для виявлення та узагальнення ризиків, має проводитися на рівні, що дозволяє охопити банк у цілому, як на індивідуальній, так і на консолідованій основі.
Банк повинен забезпечити уникнення конфлікту інтересів. Аналіз ризиків повинен здійснюватися, а його результати повідомлятися зацікавленим сторонам без будь-якого впливу з боку керівників банку, відповідальних за той чи інший вид діяльності.
В цьому розділі розглядаються мінімальні вимоги та рекомендації щодо організаційної структури та методичного забезпечення банку в частині управління ризиками, а також мінімальні вимоги та рекомендації щодо основних аспектів функціонування підрозділів банку, задіяних в процесі ризик-менеджменту.