На втором этапе необходимо провести сводный анализ результатов, полученных в ходе первого этапа, в частности:

• выявить основные различия в требованиях законодательства в отношении управления и контроля за рисками;
• определить общие черты и особенности систем управления и контроля за рисками, провести SWOT-анализ каждого дочернего банка/компании;
• определить недостатки, слабые места в системе риск-менеджмента каждого дочернего банка/компании.

В рамках гармонизации системы управления и контроля за операционным риском в группе целесообразно разработать стандарты управления операционным риском, в которых необходимо предусмотреть:

1) единые принципы осуществления текущего мониторинга и управления операционным риском;

2) порядок взаимодействия подразделений, осуществляющих контроль и управление операционным риском;

3) формирование единой системы сбора и учета информации об убытках вследствие операционного риска;

4) порядок информирования руководства группы и дочерних банков/компаний о величине операционного риска и понесенных убытках.

Как показывает практика современных банковских групп, существенный позитивный эффект помогают обеспечить следующие мероприятия:

• выделение в бизнес-подразделениях головного офиса и дочерних структур функционально независимых сотрудников, исполняющих функции менеджеров по операционному риску;
• развитие методик самооценки уровня операционного риска бизнес-менеджерами в структурах, входящих в группу (на основе вопросников), методик количественной и качественной оценки операционных рисков бизнес-процессов менеджерами по операционному риску (на основе оценочных карт).

В качестве мер дальнейшего совершенствования системы внутреннего контроля, в частности в отношении операционных рисков, головной офис должен проводить целевые и комплексные проверки дочерних банков/компаний. Планирование проверок следует основывать на основании зон рисков, выявленных в ходе обзорного аудита, а в дальнейшем на основании результатов уже проведенных контрольных мероприятий, которые дополняются результатами самооценки уровня операционного риска и данными о фактических убытках вследствие реализации операционного риска, и в совокупности формируют постоянно актуализируемую карту операционных рисков, являющуюся основой для планирования аудита, основанного на рисках (risk-based audit) соответствующих подразделений и направлений деятельности.

На основании результатов регулярных проверок системы управления рисками проводятся анализ и оценка эффективности имеющихся контрольных процедур в рамках изменяющейся внутренней и внешней среды, вносятся изменения и дополнения в существующую систему.