Технологический и технический прогресс в сфере банковской деятельности, выражающийся во внедрении разнообразных технологий электронного банкинга, обусловливает тенденцию к их интенсивному развитию вследствие того, что:

удобство и оперативность получения банковских услуг, обеспечиваемые системами электронного банкинга, предполагают очень быстрое расширение клиентской базы ДБО и лавинный рост количества клиентских ордеров (на выполнение операций, получение информации и т. д.);

универсальные кредитные организации стараются охватить ДБО максимально возможное количество предлагаемых ими банковских услуг (с учетом ограничений, налагаемых законодательством и подзаконными актами, регламентирующими банковскую деятельность);

условия конкуренции ориентируют кредитные организации на продолжение развития ДБО, внедрение новых его вариантов (многоканальных), предложение дополнительных видов банковских услуг и внедрение систем электронного банкинга, поддерживающих их предоставление.

Кроме этого, общий курс Правительства России на расширение обеспечения банковскими услугами населения страны, включая отдаленные регионы, будет одновременно способствовать внедрению и развитию все новых вариантов ДБО. Это в свою очередь потребует от высокотехнологичных кредитных организаций углубленного анализа потребностей своих реальных и потенциальных клиентов, меняющихся условий конкуренции, достоинств и недостатков банковских информационных технологий, а также сопутствующих им факторов и источников компонентов банковских рисков, которые подлежат учету во внутрибанковских процессах, начиная с процесса УБР.

Также следует отметить, что в Стратегии развития банковского сектора Российской Федерации на период до 2008 г. в качестве одной из основных задач было указано «развитие содержательных (риск-ориентированных) подходов, включающих оценку деятельности кредитных организаций и применение мер надзорного реагирования исходя прежде всего из содержания и реальной оценки рисков банковской деятельности с позиций их потенциального влияния на устойчивость кредитных организаций…» Решение этой задачи предполагало в том числе «совершенствование банковского надзора за деятельностью кредитных организаций… включая анализ рисков, возникающих у кредитных организаций в рамках взаимоотношений с юридическими и физическими лицами». В свою очередь в последние годы упомянутые взаимоотношения базируются и реализуются преимущественно на технологиях электронного банкинга, вследствие чего применение таких технологий стало требовать адекватного риск-ориентированного анализа.

Современные тенденции в развитии ДБО неизбежно окажут влияние на функционирование подавляющего большинства российских кредитных организаций, причем этот процесс на самом деле уже набирает силу, о чем свидетельствует статистика, получаемая по регламентной банковской отчетности. Вследствие этого можно предположить, что технологии электронного банкинга начнут уже в ближайшем будущем превалировать на отечественном рынке финансовых услуг (подтверждением чему в свою очередь также стало широкое распространение разнообразных платежных систем и систем так называемых «электронных денег»), а значит, руководителям кредитных организаций скорее всего придется перестраивать свои бизнес-процессы с учетом этих перспектив. Впрочем, как будет показано ниже, это все равно практически необходимо для поддержания надежности и устойчивости кредитных организаций, осваивающих ДБО, потому что его спецификой стали виды и способы информационного взаимодействия кредитных организаций с их клиентами в процессе банковского обслуживания наряду с новыми условиями, в которых это взаимодействие реализуется (имеется в виду ИКБД).

Сказанное выше относится к внесению изменений в любые банковские информационные технологии (в связи как с внедрением новых, так и с модификацией действующих). И дело здесь не только в электронном банкинге как таковом, но и, что не менее важно, в тех информационных системах, которые используются органами управления кредитной организации для принятия стратегических и тактических решений относительно предложения новых сервисов и расширения клиентской базы. Что касается именно ДБО, то применение соответствующих технологий предполагает прежде всего учет тех особенностей, которые сопутствуют или же могут сопутствовать их внедрению и применению в плане контроля над уровнями типичных банковских рисков. Для этого требуется понимание сути происходящего во вновь формируемом киберпространстве ИКБД вместе с организацией управления не всегда очевидными виртуальными процессами (а это изменение бизнес-модели как таковой) и обеспечением полноты, своевременности и адекватности контроля над использованием новых банковских информационных технологий и реализующих их автоматизированных систем.

Пересматривать внутрибанковские процессы при использовании технологий электронного банкинга целесообразно для того, чтобы управление и контроль, становящиеся в известной мере специфическими, во-первых, были явно ориентированы на технологии такого рода, во-вторых, оставались адекватны пруденциальным принципам банковской деятельности и, в-третьих, чтобы собственно банковская деятельность оставалась управляемой и подконтрольной. Принципиально важным является то, что, какими бы ни были технологические нововведения в банковской деятельности, они не должны оказывать негативного влияния на выполнение кредитными организациями банковских операций, равно как на надежность, устойчивость и безопасность этих организаций (в двояком смысле: как их самих, так и в отношении интересов их клиентов). То же самое относится и к защите интересов клиентов кредитных организаций, и к выполнению последними взятых на себя конкретных обязательств (доступность дистанционных сервисов, «обещанная» клиентам полнофункциональность, своевременность предоставления услуг, выполнение финансовых обязательств). Наконец, внедрение в банковскую практику тех или иных систем ДБО не должно приводить к нарушениям полноты и целостности, с одной стороны, функций внутреннего контроля в кредитных организациях и аудита (как внутреннего, так и внешнего), с другой стороны, банковского (или в широком смысле — финансового) контроля над банковской деятельностью в киберпространстве.

Уместно отметить также существенные особенности в информационном обеспечении (или поддержке принятия) решений относительно внедрения и применения технологий ДБО. Зачастую представители высшего руководства кредитных организаций имеют достаточно отдаленное представление о том, как конкретно, технически реализуется «электронный банкинг» в каждом из уже достаточно многочисленных своих вариантов и как реализующие его процессы могут сказаться на результатах и эффективности банковской деятельности в целом. В итоге органы управления кредитной организации вынуждены работать в условиях отсутствия необходимой информации как о собственно той или иной технологии ДБО (а такая информация, как правило, вообще сложна для восприятия при отсутствии соответствующей ей специальной квалификации), так и о том, какие условия применения определенной технологии могут считаться пруденциальными. Очевидно, что дефицит информационного обеспечения управления кредитной организацией по этим двум главным вопросам может оказаться критическим для принятия эффективных решений, что особенно негативно может сказаться через далеко не всегда очевидные недостатки в организации и содержании УБР.

Результатом отмеченной неадекватности стало то, что внедрение технологий ДБО приводит к неконтролируемому, вообще говоря, смещению профилей ряда типичных банковских рисков, рассмотренных в предыдущей главе, и реализации их компонентов, связанной с нанесением ущерба кредитной организации и ее клиентам. При этом причины смещения профилей рисков, являясь преимущественно технологическими и организационно-техническими, оказываются далеко не всегда очевидными для специалистов в области банковского дела, а содержание смещений далеко не всегда понятно тем специалистам, которые отвечают за внедрение и развитие ИТ в кредитной организации (собственно за технологическое и техническое обеспечение банковской деятельности). Это первый из принципиально значимых квалификационных разрывов, которые негативно сказываются на технологической надежности кредитной организации при переходе ее к ДБО.

Здесь необходимо подчеркнуть, что в настоящее время без учета конкретных проявлений смещения профиля риска в условиях ДБО эффективное управление банковской деятельностью и контроль над ее осуществлением и результатами вряд ли возможны. Такой учет целесообразен в рамках процессного подхода в корпоративном плане, поскольку многие кредитные организации, как правило, поэтапно внедряют и одновременно (параллельно) используют по несколько достаточно разнородных, хотя и технологически схожих схем ДБО (интернет-банкинга, интернет-трейдинга, мобильного банкинга и т. п.), что предполагает также комплексный анализ влияния потенциально сопутствующих каждой из них негативных факторов (источников компонентов банковских рисков) на банковскую деятельность.

 

3.1. Процессный подход — базовые положения

Акцент на внутрибанковских процессах и на условиях, в которых они реализуются, не случаен: изучение использования кредитными организациями систем электронного банкинга свидетельствует, что результаты и эффективность применения новых, зачастую достаточно сложных технологий ДБО, которые базируются на распределенных компьютерных системах, сети Интернет, мобильных компьютеризованных устройствах, телекоммуникационных сетях и т. п., непосредственно зависят от условий, в которых технологии такого рода применяются. То же самое относится к парированию влияния источников банковских рисков, непосредственно связанных с такими способами обслуживания клиентов. Важно отметить также то, что при этом далеко не все руководители кредитных организаций осознают возможное влияние технологий ДБО на выполнение утверждаемых ими стратегических планов и поддерживаемые в этих организациях бизнес-модели, ибо новые технологии электронного банкинга способны существенно изменить условия их реализации, повышая уровни типичных банковских рисков. Поэтому при внедрении конкретного варианта ДБО целесообразно изначально определить его специфику именно из этих соображений, причем не просто как очередной новой технологии, реализуемой через компьютерные и телекоммуникационные системы нового поколения, но и переводящей банковскую деятельность в «виртуальное пространство» практически без каких бы то ни было ограничений. На этом целесообразно сделать акцент и при пересмотре подходов к модернизации процесса УБР, его описания и содержания, а также к распределению обязанностей и ответственности за его реализацию между исполнительными органами и рядом структурных подразделений кредитной организации, перечисляемых в параграфе 3.2.

Само отсутствие подобного учета может обусловить реализацию банковских рисков — вероятностных по сути событий — и обращение их в реальные финансовые потери, причем именно из-за неосознаваемого повышения этой вероятности (если в кредитной организации относятся к своим компьютерным технологиям без должного внимания). Поэтому руководству кредитной организации логично было бы при принятии решения о переходе к ДБО задумываться не только о ТЭО любого из возможных его вариантов (что само по себе в отечественном банковском секторе встречается нечасто), но и о ресурсной базе процесса УБР с точки зрения оценки ее достаточности. Не исключено, что ее негативная оценка окажется весомым аргументом в пользу либо отказа от такого решения, либо реализации его только после накопления достаточных ресурсов в части административных и организационно-технических решений, персонала подразделений кредитной организации, его совокупной квалификации и т. п. Впрочем, последние годы функционирования российского банковского сектора отмечены тенденцией как к повышению качества корпоративного управления в кредитных организациях, так и к поиску путей его дальнейшего совершенствования, что (как показывает и зарубежная практика) при использовании процессного подхода существенно облегчается.

В последнее время считается, что практически всю «организованную» деятельность людей, включая банковскую, можно представить в виде совокупности бизнес-процессов. По определению, бизнес-процесс — это устойчивая, целенаправленная совокупность взаимосвязанных видов деятельности (последовательность работ), которая по определенной технологии преобразует некие входные ресурсы в выходные, представляющие ценность для потребителя. Тогда управление практически любой организацией, имеющей конкретные цели своей деятельности, стратегические планы их достижения и определенные функции, выполняемые для реализации таких планов, может быть представлено как управление бизнес-процессами (точнее, их совокупностями, поскольку без взаимосвязей между основными процессами в любой сколько-нибудь сложной работе не обойтись). Для этого необходимо в первую очередь составить функциональное описание деятельности той или иной кредитной организации в целом, затем определить функциональные процессы, составляющие эту деятельность, и, далее, следуя иерархическому принципу, определить базовые процедуры, составляющие процессы, и подмножества операций, из которых складываются эти процедуры. В ряде относительно простых случаев процессное описание можно даже не доводить до операций, хотя к банковской деятельности это, конечно, не относится.

В рамках процессного подхода требования предъявляются не столько к качеству банковских продуктов напрямую, сколько к системе организации управления банковским бизнесом (по аналогии с международными стандартами серии ISO 9000). Такой подход можно считать следствием, с одной стороны, назревшей необходимости совершенствования корпоративного управления (особенно в многофилиальных структурах), а с другой стороны, отражением современных мировых тенденций в банковской сфере. В наиболее общем случае считается, что успех любой организации (учреждения, фирмы) в значительной степени прямо связан с ее структурой и конкретными компонентами организационной структуры — это классика. Естественно, вся деятельность начинается с установленных стратегических целей и некоей стратегии их достижения, реализуемой совокупностью деловых процессов. Вот это то, что традиционно уходило на второй план, хотя, впрочем, было оправдано своего рода «примитивностью» бизнеса и условий его осуществления. Теперь полагают также, что в оптимальном варианте осуществления сколько-нибудь сложной деловой активности структура организации должна определяться этими самыми процессами, которые можно описать с помощью так называемых «сбалансированных технологических карт». Эти карты создаются работой системы управления организации, которая сама формируется в соответствии с множеством правил реализации стратегии организации. А они в свою очередь находят свое непосредственное отражение как раз в тех самых бизнес-процессах. Оптимизация состава, содержания и «точек соприкосновения» (взаимного влияния) процессов составляет основу для роста эффективности деятельности того или иного учреждения в целом.

В рамках процессного подхода речь идет в основном о требуемом качестве продукта (услуги), которое трактуется как совокупность свойств, обусловливающих способность удовлетворять определенные потребности клиента в соответствии с его (ее) назначением, и определяется, вообще говоря, клиентом (потребителем результата процесса). В приложении к настоящему рассмотрению эти потребности выражаются теми пятью характеристиками надежности банковской деятельности, о которых было сказано в предыдущей главе. При управлении кредитной организацией, основанном на процессном подходе, наиболее эффективным образом реализуются концепции управления по целям (результатам) и клиент-ориентированного бизнеса, что позволяет рассматривать его как эффективное средство решения стратегических задач, стоящих перед конкретным банком и банковской системой в целом, особенно если оно осуществляется в том числе с позиций минимизации рисков, которым подвергаются клиенты организации.

Главное преимущество процессного подхода по сравнению с традиционным (функциональным) подходом заключается в непрерывности управления, которое обеспечивается им на стыке отдельных процессов в рамках системы, а также при их комбинации и взаимодействии. Последнее актуально как раз в отношении применения технологий электронного банкинга, которые могут использоваться как по централизованной схеме, так и по распределенной. Следует отметить, что последнее положение особенно важно для многофилиальных кредитных организаций, деятельность которых вместе с внедрением новых банковских информационных технологий может оказаться связана с возникновением дополнительных и не всегда просто контролируемых источников компонентов банковских рисков.

Сказанное заставляет задуматься о существе процессов, посредством которых реализуется значительная (и все более возрастающая) часть банковской деятельности. Лозунгом процессного подхода стала фраза: «Хочешь управлять бизнесом — управляй процессами!», и здесь уместно добавить: а для этого «знай все необходимые бизнесу процессы и их содержание», т. е. банковские технологии и реализующие их автоматизированные системы. Фактически полнота, адекватность и качество бизнес-процессов в кредитной организации начинают определяться соответствием их новому, упоминавшемуся выше принципу: «знай свои технологии», поскольку большинство внутрибанковских процессов реализуется в современных условиях не столько персоналом кредитной организации, сколько ее банковскими автоматизированными системами.

По-видимому, внесение изменений в используемые кредитной организацией технологии банковского обслуживания или предоставления банковских услуг требует радикальных инноваций сначала в «осознании» сути происходящего, а затем в содержании и организации внутрибанковских процессов. Безусловно, определяющим фактором при этом должно являться сохранение управляемости и контролируемости банковской деятельности, невзирая на ее переход в виртуальное пространство. Вопрос лишь в том, какие именно управленческие процессы необходимо разработать, внедрить, сопровождать и контролировать в таких условиях. При этом оказывается необходима разработка совершенно новых процессов, которых ранее, т. е. до изменения условий банковской деятельности, просто не существовало. Одним из примеров может служить потребность в организации такого внутрибанковского процесса при внедрении технологии интернет-банкинга: чтобы создавать и сопровождать web-сайты, используемые кредитной организацией в качестве информационных, коммуникационных или операционных представительств в Сети, а также контролировать их функционирование, уже требуется организация «взаимодействия» между целой совокупностью внутрибанковских процессов. Причем их состав и содержание взаимодействия различны при размещении web-сайта в самой организации, на аппаратно-программном комплексе его разработчика, у интернет-провайдера и т. п.

Соответственно полнота и точность описаний внутрибанковских процессов (официально документированных, чем, к сожалению, нередко пренебрегают) в связи с бизнес — процессами являются теми принципиально важными факторами, которые прямо влияют на результаты деятельности кредитной организации. При этом речь должна идти не только об ее основных, «находящихся на слуху», бизнес-процессах, но и о вспомогательных, обеспечивающих необходимые условия для эффективной банковской деятельности. Излишне говорить о том, что в условиях всеобщей компьютеризации банковской деятельности велика опасность образования разрывов в общих процессах управления и контроля в одной и той же кредитной организации, использующей разнообразные варианты ДБО (тем более вместе с филиалами), каждому из которых сопутствуют те или иные специфические подмножества источников компонентов банковских рисков, связанные с новыми их факторами.

Процессный подход может использоваться руководством (исполнительными органами) кредитной организации для осуществления как стратегического, так и оперативного управления. Одним из его достоинств является возможность интеграции в единой административно-организационной схеме интересов клиентов кредитной организации, ее самой, а также связей между ними и теми внутрибанковскими процессами, наличие которых представляется целесообразным в современных условиях банковской деятельности. За счет применения процессного подхода могут заметно увеличиваться экономические выгоды от применения технологий ДБО, что одновременно способствует оптимизации содержания и организации внутрибанковских бизнес-процессов в интересах снижения рисков, сопутствующих современной высокотехнологичной банковской деятельности. Такой подход к управлению кредитной организацией заключается прежде всего в систематической (определяемой этапностью внедрения новых информационных технологий) идентификации взаимосвязанных процессов и в согласованном управлении ими. Поэтому и требуется наряду с принятием решений о внедрении новых продуктов или услуг (видов обслуживания) определять, какие именно компоненты «общебанковских» процессов управления и контроля необходимо модернизировать либо разработать и внедрить, а также сопровождать и контролировать их реализацию уже в новых условиях банковской деятельности.

Здесь уместно отметить также существенные особенности в информационном обеспечении или поддержке принятия решений (ППР) относительно внедрения и применения технологий ДБО, т. е. дистанционного финансового посредничества. Представители высшего руководства кредитных организаций могут иметь достаточно отдаленное представление о том, как конкретно технически реализуется технология электронного банкинга в каждом из его вариантов, что представляет из себя ИКБД (тем более если он ни в каких внутрибанковских документах не описан, а решение о внедрении ТЭБ было принято по просмотру небольшой компьютерной презентации самого общего плана) и как реализующие его процедуры могут сказаться на эффективности и результатах банковской деятельности в целом, так как речь идет о весьма специфической области знаний. Дефицит информационного обеспечения управления кредитной организацией по этим двум вопросам может оказаться критическим с точки зрения ППР и принятия именно эффективных решений. Возможный вариант трактовки адаптации содержания внутрибанковских процессов к внедрению новой технологии ДБО приведен на рис 3.1.

Считается, что процессный подход не может быть эффективно использован, если вместе с описанием процессов не разработана некая шкала оценок, позволяющая определить, насколько адекватны внутрибанковские процессы деловым потребностям кредитной организации. Имеется в виду, что при внедрении процессного подхода необходима уверенность в результатах, которую может обеспечить только полноценный (адекватный) контроль над самим внедрением. Он же в свою очередь подразумевает периодическое сопоставление текущих результатов с предполагаемыми конечными (установленными стратегией, принятой для конкретной кредитной организации). Поэтому, как и во многих других подходах к внедрению решений системного характера, руководству кредитной организации также целесообразно установить такие критерии, которые позволили бы ему обоснованно судить как минимум:

о возможности описания функционирования кредитной организации в целом с помощью выделения внутрибанковских процессов;

степени «организованности» или, иначе, развития (совершенства) собственно внутрибанковских процессов;

содержании процессов в виде совокупностей (последовательностей) упорядоченных процедур (функций).

Поскольку процессный подход изначально предполагался для повсеместного использования без привязки к какой-либо конкретной предметной области человеческой деятельности (особенно допускающей ее автоматизацию), абстрагирование от вида этой деятельности оказалось необходимым условием. В то же время в силу этого возникли, как следствие, во-первых, методологическая обобщенность и, во-вторых, потребность в интерпретации для каждого вида деятельности как такового (в нашем случае в приложении к внедрению технологий электронного банкинга).

Поэтому результатом методических разработок стала шкала уровней (градаций), которую можно было бы определить как совокупность оценок качества организации конкретной деятельности, снабженных некими комментариями, поясняющими условия, которым соответствуют эти оценки. Одновременно считается, что при практической реализации процессного подхода в той или иной области, в учреждении (или на предприятии) становится принципиально важной адекватная трактовка таких комментариев в приложении к определенным направлениям их деятельности. Что касается практической интерпретации таких критериев в приложении к технологиям электронного банкинга (в плане анализа сопутствующих факторов и источников риска), то в каждом конкретном случае требуется своя проработка на основе анализа состава и функционирования ИКБД, поскольку между технологиями такого рода существует ряд принципиальных различий, особенно в части процедур ввода, передачи, доведения и предварительной обработки клиентской информации, как и в других отношениях, например, в части аппаратно-программных комплексов провайдеров.

Основу рассматриваемой здесь системы оценок (использованной также в проекте «Стандарта качества банковской деятельности», разработанном совместно Банком России и Ассоциацией российских банков) составляют положения из стандарта CobiT. В этом стандарте вводятся шесть так называемых «уровней развития процесса»: нулевой, характеризующий отсутствие процессов менеджмента и пять, характеризующих «оценку уровня развития»: начальный, повторяемый, определенный, управляемый, оптимизированный. Можно, к слову, отметить, что предложенная классификация отличается от уже ставших привычными зарубежных рейтинговых систем, включающих пять оценочных уровней (типа таких систем оценивания, как состояние кредитной организации — CAMELS, ее информатизации — URSIT и др.), что может помешать попыткам их совместного использования, однако здесь это не принципиально, поскольку ниже говорится только о собственно подходе к классификации степени совершенства процессов.

В рассматриваемом варианте описана исходная модель процессного подхода, включающая следующие характеристики степени развития (или совершенства) процессов (в данном случае внутрибанковских):

0 (Отсутствие) — Процессы управления не применяются и не описаны. Осознание проблем с управлением рассматриваемой деятельностью в организации (в данном случае в кредитной) отсутствует как таковое.

Эта оценка соответствует такой ситуации, когда решения о применении банковских технологий в кредитной организации принимаются спонтанно, а решение практических вопросов полностью зависит от исполнителей в ее подразделениях, в основном, естественно, подразделения информатизации (автоматизации) в отсутствие контроля. Такая организация подвержена воздействию наибольшего количества источников компонентов банковских рисков, так что внедрение любого варианта ДБО может подвергнуть ее серьезным испытаниям. Об эффективности деятельности говорить, понятно, не приходится, результаты больше зависят от удачи, чем от профессионализма.

1 (Минимум) — Процессы в кредитной организации специализированы, но неорганизованны. Имеются документы, свидетельствующие о понимании в организации проблем управления, однако существующие процессы управления не стандартизованы, применяются эпизодически (при возникновении очевидной необходимости) и бессистемно. Общий подход к управлению рассматриваемой деятельностью и контролю над ней не выработан.

Такая ситуация типична для многих малых и средних российских кредитных организаций, причем даже независимо от наличия или отсутствия технологий электронного банкинга. В современных условиях им свойственны частые случаи реализации компонентов типичных банковских рисков, так что в перспективе этим организациям для выживания необходим радикальный пересмотр организации внутрибанковских процессов, поскольку в текущем состоянии она заведомо не может считаться пруденциальной и корпоративной, обеспечивающей их надежность и устойчивость.

2 (Повторяемость) — Процессы повторяются «на регулярном основании». Они проработаны до такого уровня, что решение одних и тех же задач возможно разными исполнителями. В то же время регулярное обучение и тренинг по стандартным процедурам отсутствуют, а ответственность (практически) возложена на исполнителя. Руководство организации в значительной степени полагается на знания исполнителей, что влечет за собой высокую вероятность возможных ошибок и серьезные затруднения с контролем.

Эта ситуация типична для большинства средних и крупных кредитных организаций российского банковского сектора, применяющих банковские автоматизированные системы и технологии электронного банкинга. Это объясняется тем, что в большинстве таких организаций их руководство практически полностью полагается на знания менеджеров среднего звена и исполнителей, что находит свое отражение во внутрибанковских документах, начиная с порядков использования систем электронного банкинга и заканчивая должностными инструкциями ответственных лиц. Соответственно, частота и значимость возможных ошибок непосредственно связаны с уровнем квалификации этих лиц и осознания зависимости от провайдеров кредитной организации (включая их аппаратно-программное обеспечение). При этом можно говорить о возможности придания управлению кредитной организации корпоративности, но для этого требуется его качественное совершенствование.

3 (Определенность) — Процессы документированы и взаимосвязаны, стандартизованы и доведены до персонала посредством обучения. В то же время применяемые процедуры не оптимальны и не современны, поскольку являются просто отражением использовавшейся в организации практики.

Такая ситуация характера для крупных кредитных организаций, которые располагают значительной ресурсной базой и используют одновременно несколько технологий и систем электронного банкинга, равно как для организаций среднего «размера», приближающихся по качеству корпоративного управления и содержанию внутрибанковских процессов к крупным. Признаки подобного уровня развития внутрибанковских процессов наблюдаются в дочерних кредитных организациях зарубежных коммерческих банков, однако в значительной части это связано с использованием их образцов корпоративных внутрибанковских документов типа «стандартов качества», которые внедрены руководством этих банков: их приходится осваивать и к ним необходимо привыкать персоналу как к «руководствам к действию».

4 (Управляемость) — Процессы наблюдаются и оцениваются — имеет место мониторинг и оценка соответствия. При выявлении низкой эффективности процессов управления рассматриваемой деятельностью обеспечивается их по большей части своевременная оптимизация. Процесс управления постоянно совершенствуется и основан на хорошей практике. Используются средства автоматизации управления, однако в небольшом объеме.

Примеры таких организаций спорадичны и единичны, поскольку недостаток корпоративной культуры и устоявшихся бизнес-моделей, разработанных на предыдущем уровне, пока не позволяют достичь такого уровня.

5 (Оптимальность) — Процессы управления рассматриваемой деятельностью соответствуют «лучшей практике», которая основана на постоянном совершенствовании и сравнении их качества с другими организациями, а также автоматизированы. Такая организация способна к быстрой адаптации процессов при изменениях в бизнесе и условиях его ведения.

Это «идеальная» ситуация, напоминающая полностью автоматизированное производство, так что кредитной организации с такими условиями банковской деятельности «не страшно» браться за любые проекты, на которые хватит ресурсов, поскольку все внутрибанковские процессы «отлажены» и гарантируют плавную и естественную адаптацию к изменяющимся условиям ведения бизнеса. Органам же банковского надзора остается только с удовлетворением наблюдать за ее успешной деятельностью (в условиях полностью хеджированных «остаточных» или «чистых» рисков), которой не угрожает ни техническое «перевооружение» в виде внедрения новых технологий электронного банкинга, ни конкуренция, ни недостатки законодательной и нормативной базы, регламентирующей банковскую деятельность.

Интерпретировать промежуточные ситуации, располагающиеся между худшим и лучшим вариантом, относительно несложно. Оценка качества конкретной банковской деятельности в общем случае устанавливается равной среднему арифметическому уровню зрелости (они варьируются от 0 до 5) по всем составляющим этой деятельности. Преимуществом предложенной модели считается то, что ее относительно несложно использовать и руководству организации в применении к самому себе как своего рода оценочную шкалу. Самооценка такого рода позволяет понять, что именно необходимо изменить, если возникает потребность в совершенствовании функционирования организации (впрочем, и собственно необходимость этого надо еще суметь увидеть и осознать!). Отсчет начинается с нулевой оценки потому, что отсутствие каких-либо процессов вообще вполне реально, а диапазон оценок до 5 позволяет заметить различия в степени совершенства организации процессов, выделяя те характеристики, которые уже имеются (и их можно оценивать), и те, которые явно отсутствуют.

С риск-ориентированной точки зрения в области ДБО здесь можно отметить, что более уместной представлялась бы более сложная система оценивания, включающая хотя бы несколько весовых коэффициентов «значимости» (допустим, трех: высшей, средней и низшей), поскольку кредитные организации могут все-таки значительно различаться по содержанию внутрибанковских процессов в зависимости от их специфики (в том числе степени автоматизации банковской деятельности, составу и потребностям клиентуры, — юридических/физических лиц, доли VIP-клиентов, спектру предлагаемых банковских услуг и способам их предоставления, составу и квалификации персонала и т. д.). Однако, несмотря на такую целесообразность, это не считается очевидным и существенно осложняет решение рассматриваемой задачи на текущем этапе развития российского банковского дела, а поэтому остается пока что хотя и ближайшей, но все-таки перспективой.

Тем не менее можно заметить, что в современных условиях банковской деятельности процесс самооценки по тем или иным ее направлениям стал уже практически типовым для кредитных организаций, на что их ориентируют и документы, разрабатываемые Банком России. При последующем совершенствовании организации банковской деятельности руководство кредитной организации может использовать итоги самооценки для результатов адаптации внутрибанковских процессов и процедур к новым условиям ее функционирования, оценки внешнего аудитора и (или) собственной оценки соответствия тем или иным корпоративным стандартам качества банковской деятельности в качестве одного или нескольких из числа критериев, разработанных в отношении качества управления кредитными организациями, хотя в приложении к применению банковских информационных технологий это еще не считается актуальным (пример подхода органов банковского регулирования и надзора США будет приведен в параграфе 5.3).

Что касается технологий электронного банкинга, то при применении процессного подхода прежде всего следует выделить именно их специфику, которая делает желательным применение именно процессного подхода прежде всего потому, что сама она является причиной появления в содержании банковской деятельности новых процессов, ранее ей не свойственных, о чем крайне полезно иметь представление как лицам, принимающим решения относительно инноваций в банковской практике, так и тем, кто эти решения воплощает в жизнь. Любые же новые процессы, а тем более их отсутствие (если необходимость в них не осознается) могут привести к непредсказуемым результатам, которые способны в итоге обусловить неожиданную реализацию компонентов банковских рисков, что и происходит в тех случаях, когда внедрение новых компьютерных технологий типа электронного банкинга не приводит к модернизации внутрибанковских процессов. Основной причиной этого становится то, что руководство и персонал кредитной организации работают в новых условиях банковской деятельности «по старинке», а контроль над этой деятельностью становится заведомо неэффективным.

По состоянию на сегодняшний день технологии дистанционного информационного взаимодействия между участниками банковской деятельности уже достаточно многочисленны — в их число входят системы электронного банкинга, построенные на разных технологиях и протоколах, разных сетевых архитектурах и разного уровня сложности. Поэтому и «проактивный» анализ ИКБД может охватывать внутрибанковские локальные и/или зональные вычислительные сети (особенно в случае многофилиальных банков), виртуальные частные сети, схемы мобильного и беспроводного доступа к распределенным компьютерным системам, организацию так называемых «демилитаризованных зон» (DMZ) в информационных сечениях между банковскими автоматизированными системами и внешним «киберпространством», комплексы провайдеров кредитных организаций (Интернет, связи, аппаратное и программное обеспечение и др.), средства идентификации, аутентификации и верификации для клиентов и персонала, а также криптозащиты информационного обмена и т. д. Круг подлежащих изучению вопросов, как видно, достаточно обширен, и вопросы эти не из самых простых, тем более что их решение требует в общем случае квалифицированного контроля (как вообще необходимого компонента процесса ППР). При этом такой контроль предполагается, во-первых, полноценным (обеспечивающим информативность, достаточную для принятия оперативных решений), во-вторых, адекватным масштабу и сложности деятельности кредитной организации, в-третьих, своевременным в плане возможного реагирования на предполагаемые негативные события (включая также форс-мажорные ситуации).

Важным аспектом внедрения кредитной организацией, использования и развития процессного подхода в условиях применения ТЭБ является полный и адекватный (потребностям и ее обязательствам перед клиентами) учет состава ИКБД. К сожалению, практика свидетельствует о том, что руководители кредитной организации зачастую не задумываются не только о возможном влиянии его компонентов на их деятельность, но и об указанном контуре как таковом. Ситуация реально выглядит так, как будто за пределами организации, использующей ТЭБ, этого контура не существует. На самом деле виртуальность этого контура может оказать вполне реальное влияние на ее функционирование, особенно в тех случаях, когда требуется гарантировать невозможность так называемого «отказа от операции» (ситуация, кстати, типично проблематичная для таких вариантов электронного банкинга как интернет-банкинг или банкоматное и другое карточное обслуживание), или существует опасность незаметного вовлечения этой организации в противоправную деятельность. В последнем случае ее руководству целесообразно задуматься о том, каким образом ее специалисты могли бы восстановить маршрут прохождения и источник ордеров, т. е. подозрительных клиентов, а соответствующий ИКБД в случае, к примеру, интернет-банкинга как раз и отличается тем, что сделать это без специального технологического и технического оснащения (заранее, конечно, предусмотренного в соответствующей СЭБ) практически невозможно.

Таким образом, первой и наиболее важной процедурой, которую целесообразно организовать при принятии решения о переходе к тому или иному виду ДБО, можно считать изучение формирования будущего ИКБД и специфических особенностей функционирования такого контура. В число этих особенностей входят многие подлежащие рассмотрению и решению вопросы, начиная с надежности разнообразного аппаратно-программного обеспечения, продолжая известной взаимной анонимностью агентов ДБО и заканчивая формированием запасных вариантов (маршрутов) ДБО, включая многочисленные организационно-технические аспекты поддержки его функционирования (с учетом систем различных провайдеров), что усложняет задачу «проактивного» анализа. Отсутствие соответствующих технологических схем не позволит кредитной организации перевести внутрибанковские процессы выше уровня 2, а значит, уровни компонентов банковских рисков фактически останутся неприемлемо высокими, но «скрытыми» от УБР.

Не менее важным аспектом процессного подхода является обеспечение надежности функционирования кредитных организаций в части их отношений с провайдерами. К сожалению, пока еще нельзя сказать, что руководители этих организаций полностью осознают сами факты зависимости их деловой активности от провайдеров и, как следствие, зависимости от них интересов клиентов ДБО. Проблема в основном заключается в том, что специфика аутсорсинга как такового, в чем бы он ни заключался (будь это связь, процессинг, клиринг, хранение резервных массивов банковских данных и т. д.), не осознается полностью ни самими кредитными организациями, ни их клиентами. Вследствие этого кредитная организация зачастую практически не отвечает перед клиентом за проблемы, которые в условиях ДБО могут оказаться обусловленными ее провайдером. В свою очередь клиенты, как правило, не задумываются о том, с какими претензиями они придут в эту организацию в том случае, если из-за неполадок в компьютерных системах провайдеров, предоставляемых ими каналах (линиях) связи и т. п., пропадут или будут искажены либо скомпрометированы их данные (содержание ордеров или результаты операций). В то же время сам факт появления в ИКБД систем провайдеров предполагает наличие особого внимания к содержанию договоров между кредитной организацией и провайдером и между нею и клиентом ДБО с таким распределением ответственности, которое как минимум гарантировало бы отсутствие ущерба интересам клиента в случае, к примеру, возникновения форсмажорных обстоятельств или минимизировало его. Наличие такого внимания предполагает и организацию соответствующего обеспечивающего бизнес-процесса в кредитной организации (в котором участвует и клиентура ДБО со свойственными ей компонентами стратегического, правового и репутационного рисков).

Мало того, в последнее время внимание зарубежных органов банковского регулирования и надзора привлекла проблема так называемого «офшоринга». «Говоря по-русски», офшоринг — это трансграничный аутсорсинг процессинга. Речь идет о ситуации, когда провайдер, осуществляющий, допустим, обработку и хранение банковских данных для кредитной организации (т. е. реализующий соответствующие функции, переданные на аутсорсинг), не является резидентом. БКБН в этой связи считает, что «органы банковского надзора страны резидента должны быть уверены в том, что данный банк в самом деле имеет возможности доступа к критично важным для него данным или информации и контролирует их, что необходимо для адекватного управления деятельностью в области электронного банкинга». Кредитная организация в свою очередь должна предоставить контролирующему органу необходимые гарантии того, что эта ситуация реально имеет место, и их подтверждение (обеспечение).

На самом деле в ситуации трансграничного банковского обслуживания или аутсорсинга процедур (как компонентов процессов) значительно больше: часть из них связана с обеспечением «гарантированного» доверия самой кредитной организации к провайдеру, надежности и защищенности его автоматизированных систем, обеспечению им информационной безопасности, в том числе защищенности от возможных внешних атак на кредитную организацию через распределенную компьютерную систему провайдера и ИКБД, в который он входит. Другая часть связана с доверием со стороны клиента к такой организации, которая использует аутсорсинг процессинга, к тому же трансграничный. Естественно, обеспечение конфиденциальности сведений о банковских данных, принадлежащих на самом деле клиенту, и об операциях с этими данными должно, по идее, гарантироваться обслуживающей его кредитной организацией, которая в свою очередь сама должна иметь необходимые гарантии, к тому же с учетом требований Федерального закона от 27 июля 2006 г. № 152- ФЗ «О персональных данных». А для этого службы ИТ, внутреннего контроля и обеспечения информационной безопасности кредитной организации (как минимум) должны иметь возможности контролировать ситуацию у провайдеров, обеспечивая тем самым защиту интересов кредитной организации и опосредованно ее клиентов. Такие требования характерны для банковского законодательства ряда стран, к примеру Германии, но в российских условиях правовые основания в отсутствие полноценного регулирования деятельности провайдеров кредитных организаций остаются сомнительными.

Приведенный перечень дополнительных процедур может быть продолжен специалистами самих кредитных организаций в зависимости от того, какие именно внутрибанковские процессы имеют отношение к применению ТЭБ. Главное заключается в том, что рассматриваемый подход должен приводить к созданию в кредитной организации такой совокупности внутрибанковских процессов и такого их административного и организационно-технического обеспечения, которые будут работоспособны и эффективны вне зависимости от тех конкретных технологий электронного банкинга, которые уже используются в ней или которые предполагается внедрять. Этот своего рода «шаблон деятельности» в форме одного из глобальных для кредитной организации процессов превращается тем самым в своеобразный корпоративный стандарт, который гарантирует адекватность принятия решений целям организации и получения результатов независимо от особенной отдельных технологий такого рода. Для ее персонала это будет означать, что каждый сотрудник на своем однозначно определенном месте в точно определенные отрезки времени будет выполнять заданные необходимые функции полно, четко и ответственно. В результате в кредитной организации формируется полнофункциональная и «устойчивая к инновациям» система управления внесением изменений в бизнес-процессы и их контроля, отвечающая потребностям организации и ее клиентов, обеспечивающая тем самым соответствующие конкурентные преимущества.

По результатам проведенного анализа далее в кредитной организации разрабатываются распорядительные документы, положения и порядки, которые предназначены для реализации процессного подхода и в которых описываются также организационные и информационные взаимосвязи между процессами. Тем самым обеспечиваются возможности для реализации принципов эффективного корпоративного управления, которое вместе с управленческим наблюдением (контролем) относится к процессам высшего уровня в кредитной организации. С риск-ориентированных позиций ошибки в определении содержания внутрибанковских процессов этого уровня могут стать основными причинами возникновения источников тех компонентов банковских рисков, которым подвергаются кредитные организации даже независимо от степени квалификации и усилий их исполнительского персонала. При этом особенностью формирования этих процессов на текущем этапе становится необходимость учета всех факторов, действующих в ИКБД, в силу их множественности и разнообразия.

С тех же позиций при проведении анализа желательно учитывать все внутрисистемные информационно-финансовые связи, от которых явно зависит эффективность экономического функционирования клиентов кредитной организации, включая гарантии целостности и защищенности клиентской информации. Во многих случаях такие зависимости образуются «в рабочем порядке», как это обычно бывает при внедрении той или иной инновационной технологии, и, скорее всего, они априори неизвестны руководству кредитной организации (во всяком случае полностью). Поэтому и становится важен комплексный анализ ИКБД в интересах как определения новых внутрибанковских процессов, так и адаптации уже существующих. Недостаточное осознание указанной специфики может быстро привести к возникновению проблем у кредитной организации в случаях, например, массового дистанционного обслуживания с применением так называемой «сквозной обработки» (straight-through processing) при необходимости выявления «на лету» операций, подлежащих обязательному контролю («подозрительных» или «сомнительных»), фиксации сопутствующей сеансовой информации и т. п.

 

3.2. Основные внутрибанковские процессы, связанные с электронным банкингом

Вне зависимости от того, какая именно ТЭБ внедряется кредитной организацией, адаптации (модернизации) и взаимному согласованию должны одновременно подвергаться все связанные с ней внутрибанковские процессы и процедуры, начиная с бизнес-моделей и внутренних документов кредитной организации и заканчивая должностными инструкциями конкретных исполнителей и квалификационными требованиями к ним. Принятие соответствующих решений является, естественно, прерогативой высшего руководства кредитной организации, что уместно четко и однозначно определить в ее документах, определяющих ролевые функции совета директоров и высшего менеджмента.

Поэтому тем кредитным организациям, которые «смело смотрят в будущее» и намерены активно поддерживать имидж «Банка XXI века», логично разработать и внедрить специальный новый внутрибанковский процесс, ориентированный на внедрение инноваций.

Об этом, насколько известно автору, «нигде и никогда» не пишут, а на самом деле ситуация далеко не так проста, как может показаться. Вероятно, особенно важно задуматься о желательности такого процесса, если вспомнить о связанных с внедрением новых технологий компонентах стратегического, операционного, правового и репутационного рисков. Основным содержанием этого процесса является упоминавшийся «проактивный» анализ, ориентированный преимущественно на:

1) изучение содержания и особенностей новой технологии банковского обслуживания, включая анализ ресурсной базы кредитной организации;

2) разработку сценария внедрения технологии и необходимых организационных мероприятий (описание «переходного периода»);

3) оценку потенциальной клиентской базы технологии, возможных тарифов (доходности), рентабельности и требований к клиентам;

4) оценку требований к аппаратно-программному, информационному и административно-организационному обеспечению технологии;

5) оценку требований к квалификации специалистов, связанных с обеспечением применения технологии, и возможной их переподготовке;

6) оценку изменений в процессе УБР, возникновении новых процедур и квалификационных требованиях к его персоналу;

7) оценку изменений в политике обеспечения информационной безопасности, реализующих ее в процедурах и работе соответствующего подразделения;

8) оценку изменений в организации и содержании внутреннего контроля, а также во внутрибанковской системе этого контроля в целом;

9) оценку возможных изменений в мероприятиях, относящихся к финансовому мониторингу, и дополнительного обеспечения его поддержки;

10) оценку изменений в правовом обеспечении банковской деятельности и его квалификационной поддержке;

11) оценку изменений в содержании работы сервис-центра и претензионной работы с клиентами и необходимости новых информационных связей;

12) определение содержания договоров с клиентами, обслуживаемыми дистанционно, и снижение уровней рисков, связанных с ними;

13) определение содержания контрактов с провайдерами и обеспечение контроля их функционирования (соглашения об уровне обслуживания);

14) перераспределение функциональных ролей, обязанностей и ответственности в иерархической структуре организации;

15) достижение согласованности взаимосвязанных внутрибанковских процессов на уровне процедур, включая новые (например, для провайдеров);

16) оценку изменений, которые потребуется внести в информационные системы управления (ИСУ) или системы ППР.

Это только основные компоненты нового внутрибанковского процесса, причем в зависимости от специфики деятельности конкретной коммерческой организации они тоже могут варьироваться по содержанию отдельных процедур. Желательно, кстати, учитывать, что в сфере современной банковской деятельности наибольшее значение имеет именно информационное обеспечение, т. е. необходимо быть уверенным в гарантиях полноты, целостности и своевременности предоставления данных, необходимых для реализации эффективного управления и контроля, независимо от специфики той или иной технологии ДБО. Излишне говорить, что с переходом значительного количества процедур, составляющих банковскую деятельность, в виртуальное киберпространство получение таких гарантий может оказаться весьма затруднительным. Поэтому бывают ситуации, когда может быть лучше даже не торопиться с внедрением многообещающих, но «мало понятных» с позиций традиционных процессов управления и контроля технологий ДБО, а сначала подготовить как следует надежную почву для их внедрения и результативного (в том числе безопасного!) использования. Что, собственно, и имеется обычно в виду под «пруденциальной» организацией условий применения таких технологий.

Очевидно, что все перечисленные выше составные элементы нового внутрибанковского бизнес-процесса представляют собой в свою очередь достаточно специфические процедуры, которые сами требуют специальных решений и мероприятий, организация которых и контроль над которыми являются прерогативой органов управления кредитной организации. Очевидно, что самым важным фактором адекватной реализации этих процедур является осознание их необходимости. В качестве примера, взятого из зарубежной практики банковского регулирования и надзора, можно привести основания для этого: считается, что в составе совета директоров высокотехнологичной кредитной организации должны находиться руководители, имеющие подготовку в области, как говорят, «электронных банковских технологий», обеспечения информационной безопасности и других связанных с ними дисциплин. При этом «во главу угла» ставится обеспечение адекватности системы управления и контроля в таких организациях сложности и масштабам их деятельности с учетом используемых технологий банковского обслуживания, в первую очередь технологий ДБО.

Рассматриваемый бизнес-процесс должен, естественно, опираться на реальные внутрибанковские ресурсы, так что если говорить о его практической интерпретации, то органам управления кредитной организации логично организовать его как подобие своего рода научно-исследовательской работы. Для ее выполнения необходимы прежде всего специалисты в области ИТ, причем из состава как минимум пяти служб: информатизации (автоматизации), операционной (включая маркетинг), обеспечения информационной безопасности, внутреннего контроля и юридической. Каждый из них должен получить и выполнить свое «задание»:

первые — решение вопросов ТЭО, первого, второго, четвертого, пятого, седьмого, девятого и тринадцатого направлений;

вторые — решение вопросов по второму, третьему, одиннадцатому и двенадцатому направлениям;

третьи — решение вопросов по первому, четвертому, пятому и тринадцатому направлениям;

четвертые — решение вопросов по первому, четвертому — шестому и восьмому направлениям;

пятые — решение вопросов по первому, шестому, десятому — тринадцатому направлениям.

Направления с 14 по 16 требуют участия руководства кредитной организации (ее исполнительных органов) и всех перечисленных служб. Приведенное перечисление охватывает опять-таки лишь основных специалистов и функции, которые целесообразно было бы включать в обеспечение нового внутрибанковского бизнес-процесса в кредитной организации.

Далее требуются конкретные финансовые средства на внедрение и развитие новой технологии ДБО, причем здесь уместно задуматься и о некотором резервировании, поскольку все возможные затраты изначально предусмотреть невозможно. Считается, что изначально внедрение системы ДБО, такой, как, например, интернет-банкинга, может потребовать существенных инвестиций, однако они быстро себя окупают, и кредитная организация вместе с ростом клиентской базы ДБО начинает получать ощутимую прибыль. Это соответствует действительности (как по данным зарубежных исследований, так и по информации, полученной в ряде российских кредитных организаций). Тем не менее на практике такое внедрение нередко означает реализацию различных как бы «мелких» рисковых компонентов, которые, впрочем, могут оказаться вполне значимыми в смысле стратегического, правового и репутационного рисков, а иногда и операционного, и неплатежеспособности. Ясно, что процессы управления в кредитных организациях, так или иначе связанные с внедрением, эксплуатацией, сопровождением, модернизацией банковских информационных технологий, логично строить с учетом соответствующих прямых и обратных связей в ПСУ или системе ППР. Типичными примерами в этой проблемной области являются:

— «стыковка» действующих и новых банковских автоматизированных систем (они проявляются, как правило, в так называемых «информационных сечениях», и эти сечения должны являться предметом самого пристального внимания специалистов кредитных организаций по информационным технологиям, обеспечению информационной безопасности и внутреннему контролю особенно в случае заказных разработок или приобретения системы ДБО «под ключ», что вполне типично);

— несоответствие функциональных возможностей заказанной или приобретенной «под ключ» системы ДБО реальным деловым потребностям кредитной организации и (или) ее клиентов (следствием чего практически всегда является «заплаточный» способ подгонки уже проданной (приобретенной) системы за счет переписывания и замены программных модулей, «дописывания» (в смысле программирования) дополнительных функций, ошибки в преобразовании (конвертировании) форматов передаваемых файлов и т. п., причем все это чаще всего делается без должного документарного оформления, тестирования и (или) приемо-сдаточных испытаний и т. д.);

— неправильный расчет производительности систем ДБО, что часто связано с недостатками как в маркетинговой политике (реализация стратегического риска), так и в ТЭО (операционный и репутационный риски), а также отсутствие контроля динамики развития данного бизнес-направления (в широком смысле, о котором говорилось в предыдущем разделе) и прогнозирования его дальнейшего развития (или наоборот, что тоже случается);

— наличие недостатков в обеспечении информационной безопасности и защите банковской и клиентской информации (кстати, такие факты нередко являются следствием пренебрежения органами управления кредитной организации реальными ее потребностями в средствах защиты внутрибанковских локальных вычислительных сетей и, возможно, зональных сетей такого рода, а также недостаточного внимания к контролю над распределенными компьютерными системами провайдеров, через которые могут осуществляться разного рода сетевые атаки);

— несовершенство системы внутреннего контроля и функционирования службы внутреннего контроля, выражающееся в том прежде всего, что модернизация ее деятельности отстает от развития и совершенствования банковской деятельности, особенно от изменений, вносимых в ее аппаратно-программное и информационное обеспечение (в настоящее время известно уже много случаев использования систем ДБО для финансовых преступлений и разного рода противоправной деятельности).

Настало время понимания того, что, поскольку каждое внедрение любого из вариантов технологий электронного банкинга способно существенно изменить бизнес-модели кредитной организации, оно неизбежно влияет на ее внутрибанковские процессы, обеспечивающие банковскую деятельность. Поэтому целесообразно на основе понятия «жизненного цикла» (ЖЦ), как отмечалось в параграфе 2.1, адаптировать к новым способам и условиям осуществления банковской деятельности (как минимум) следующие процессы:

— документарного обеспечения банковской деятельности (требуются новые порядки, регламенты, внесение изменений в положения о структурных подразделениях и должностные инструкции и пр.);

— управления банковскими рисками (требуются описания новых компонентов этих рисков);

— информатизации (автоматизации) банковской деятельности (требуется освоение новой технологии и аппаратно-программного обеспечения, создание механизмов администрирования, сопровождения СЭБ и т. д.);

— правового (юридического) обеспечения банковской деятельности (требуется разработка новых вариантов договоров с клиентами, распределения прав и ответственности, комплаенс-контроля и т. д.);

— обеспечения информационной безопасности (требуется обновление политики обеспечения информационной безопасности, разработка моделей угроз безопасности и сценариев их развития, мер по их парированию и т. п.);

— внутреннего контроля — общей системы и соответствующей службы в ее составе (требуется разработка контроля, сопровождаемая дополнением совокупной квалификации);

— финансового мониторинга (требуется разработка новых методик, программ, средств и механизмов мониторинга, моделей угроз);

— обслуживания клиентов (включая сервис-центр) и претензионной работы (требуется освоение нового ИКБД и дополнительное информационное обеспечение, сопровождаемые дополнением совокупной квалификации).

Одновременно необходимо внедрить новый процесс и реализующие его процедуры организации взаимоотношений с провайдерами (требующей решения технических и юридических вопросов, а также дополнения ролевых функций перечислявшихся выше служб кредитной организации).

Понятие ЖЦ стало уже привычным в отношении банковских автоматизированных систем и других информационных систем кредитных организаций, тогда как понятие ЖЦ внутрибанковского процесса таковым пока еще не стало (о чем свидетельствуют многочисленные ошибки, допускаемые в кредитных организациях при внедрении ими новых банковских информационных технологий). Собственно цикл определяется темпом инноваций, поскольку практически любое нововведение такого рода приводит к смещению профиля риска кредитной организации, которое следует учесть в форме модернизации процесса УБР, а затем в адаптации перечисленных выше внутрибанковских процессов. Таким образом, еще одним постулатом обеспечения надежной банковской деятельности является целесообразность понимания и осознания возникновения цикличности этих процессов, чего до внедрения в деятельность кредитных организаций технологий и реализующих их систем электронного банкинга практически не наблюдалось (ввиду отсутствия необходимости в этом при традиционной организации банковского дела).

В качестве примера можно напомнить, что уже одно лишь использование web-сайта в банковской деятельности предполагает понимание, с одной стороны, тех обязательств, которые принимает на себя кредитная организация перед, так сказать, «внешним миром», в первую очередь своими реальными и потенциальными клиентами, с другой стороны, того, какие именно условия необходимо обеспечить для выполнения этих обязательств. Обеспечение того и другого как раз и представляет собой определенный внутрибанковский процесс. Содержание такого web-сайта, естественно, целесообразно поддерживать актуальным (включая обеспечение целостности информации), в противном случае организация может оказаться подвержена действию ряда источников правового, репутационного и стратегического рисков. Следовательно, в оптимальном варианте, реализации которого должен способствовать процессный подход, в ней назначаются ответственные должностные лица за разработку (или ее организацию в случае заказа третьей стороне на выполнение этой работы), ведение, сопровождение, модернизацию web-сайта, наконец, за контроль его функционирования и содержания. Весь этот персонал (крайне нежелательно, чтобы это был только один специалист) целесообразно обеспечить такими документами, как политика кредитной организации в Сети, состав информационного обеспечения web-сайта (контент), должностные инструкции, порядок информационного взаимодействия (в управленческой иерархии), план действий на случай чрезвычайных обстоятельств. Это минимальный в данном случае набор; дополнительные функции и проблемные вопросы, связанные с web-сайтами, будут рассмотрены в главе 6.

Естественно, ответственность за упомянутое осознание лежит на совете директоров и высшем руководстве кредитной организации, от которых зависит принятие решений о переходе к ДБО. В связи с этим можно отметить также, что «недоработки высшего уровня» могут наблюдаться, даже начиная с устава кредитной организации, поскольку описания ролевых функций совета директоров, наблюдательного совета, исполнительных органов зачастую не содержат упоминаний об управлении информационными технологиями и контроле их применения. То же относится к описанию функций аудита (как внутреннего, так и внешнего), включая вопросы аудита информационных технологий и информационной безопасности, как будто банковская деятельность кредитной организации от этих технологий и реализующих их автоматизированных систем никак не зависит. Однако все изложенное в этой книге явно свидетельствует, что это не так.

 

3.3. Принцип адаптации внутрибанковских процессов

Из проведенного выше рассмотрения становится понятно, что технологии электронного банкинга могут существенно изменять бизнес-модели и различные процессы (включая операционные) кредитной организации. Поэтому в число базовых принципов организации банковской деятельности при внедрении технологий электронного банкинга целесообразно включить подход, основанный на том, что «вне зависимости от того, какая именно ТЭБ внедряется, адаптации/модернизации и взаимному согласованию должны одновременно подвергаться все связанные с ней внутрибанковские процессы и процедуры, начиная с бизнес-моделей и внутренних документов кредитной организации».

Весьма желательно закрепление этого подхода во внутренних документах высокотехнологичной кредитной организации, с одновременным определением в них как упоминавшихся выше внутрибанковских процессов, так и порядка их адаптации в рамках ЖЦ. Надо отметить, что в крупных кредитных организациях, функционирование которых регламентируется в совокупности несколькими сотнями внутренних документов и более, для приведения содержания этих документов в соответствие с новыми условиями банковской деятельности (каждый раз вместе с ЖЦ) требуется, по сути, создание специальной службы, которая должна отслеживать изменения в структуре подразделений и внутрибанковских процессах и процедурах, поскольку и то и другое должно находить отражение в плане актуализации содержания документарного обеспечения этой деятельности (без централизованного управления это невозможно).

В этом прежде всего выражается предвидение руководством кредитных организаций качественных изменений в содержании их функционирования и одновременно понимание того, что «неадекватная адаптация внутрибанковских процессов к применению технологий и систем электронного банкинга — системный фактор риска для кредитной организации».

В документах БКБН также предполагается, что высшее руководство кредитной организации должно осознавать все особенности внедряемой ТЭБ, которые могут оказаться связаны с возникновением новых факторов и подмножеств источников компонентов банковских рисков, отсутствие учета которых приведет к чрезмерному повышению их уровней и возможному неконтролируемому смещению профиля риска кредитной организации в целом.

Необходимо отметить также, что адаптация внутрибанковских процессов должна быть согласованной, т. е. изменения в составе и содержании процедур (функций, операций), составляющих тот или иной процесс, целесообразно вносить «в едином ключе», на основе требований к содержанию УБР и, как пишут, удержания уровней банковских рисков в допустимых пределах. На самом деле акцент изначально целесообразно делать на разработке своего рода «модели оптимальной организации банковской деятельности», под которой имеется в виду достижение «безрисковой» ее организации с позиций максимально достижимого исключения возможностей возникновения новых источников компонентов банковских рисков. Естественно, поскольку банковская деятельность безрисковой в буквальном смысле быть не может, такие модели всегда будут идеалистичны, однако в условиях отсутствия регламентации применения банковских информационных технологий (в широком смысле) это, пожалуй, единственный реальный способ совершенствования организации внутрибанковских процессов при внедрении любой ТЭБ. Этот подход отражен на рис. 3.2, где показан с некоторой долей условности ЖЦ некой автоматизированной системы и участие в нем структурных подразделений кредитной организации (основных с точки зрения тематики изложения) во взаимодействии с «внешним миром». Ниже приводится краткое описание ролевых функций (внутрибанковских процессов), которые могли бы выполняться этими подразделениями в своих жизненных циклах; для тех подразделений, которые на схеме не показаны, рассуждения могут быть аналогичными в плане адаптации их работы к внедрению новых технологий.

В материалах зарубежных органов банковского регулирования и надзора, посвященных управлению банковскими рисками, как правило, подчеркивается, что при внедрении технологий и систем электронного банкинга кредитным организациям следует (как минимум):

— интегрировать приложения электронного банкинга с уже действующими банковскими автоматизированными системами;

— обеспечить целостность принимаемых, хранимых, передаваемых и обрабатываемых банковских и клиентских данных;

— гарантировать наличие процедур усовершенствованного контроля над рисками, внутреннего контроля и процессов аудита.

Из этого перечисления следуют описанные ниже функциональные роли (на схеме показан полный ЖЦ БАС, если разработка осуществляется самой кредитной организацией, если же заказные или автоматизированные системы приобретаются «под ключ», то начальные этапы отсутствуют).

Руководство кредитной организации участвует в ЖЦ банковских автоматизированных систем и внутрибанковских процессов с самого начала — с этапа подготовки ТЭО и выбора конкретной технологии. Кроме этого, от него зависит утверждение выбора компании-разработчика (при необходимости) и других провайдеров, которые будут поддерживать ИКБД. Хорошей «практикой» при этом считается проведение тендера, в процессе которого учитываются такие основные характеристики провайдера, как:

— опыт в данной области предоставления услуг;

— техническое обеспечение предоставления услуг;

— квалификация персонала;

— мнение других клиентов (провайдера);

— стоимость и условия предоставления услуг;

— финансовое состояние;

— возможности мониторинга деятельности провайдера;

— возможность заключения договора с учетом SLA;

— возможная зависимость от суб-провайдеров;

— возможности замены провайдера.

Требования кредитных организаций в отношении провайдеров могут быть шире, здесь перечислены характеристики, учитываемые «как правило».

После принятия решения о внедрении ТЭБ руководство кредитной организации инициирует проектирование и разработку соответствующей СЭБ и поддерживающей применение этой технологии инфраструктуры в кредитной организации, основой для которой является, естественно, уже имеющаяся структура ее подразделений. При этом акцент целесообразно делать на минимизации рисков, связанных с нарушениями требуемых порядков проектирования и разработки (в соответствии с упоминавшимися ранее ГОСТами).

Последующее участие руководства кредитной организации или ее исполнительных органов связано с контролем проведения испытаний автоматизированной системы (АС), для чего следует инициировать разработку программ и методик их проведения (общепринятой практикой стало проведение испытаний по трем этапам так называемых альфа-, бета- и гамма-тестов), а также составление протоколов и актов как минимум для приемо-сдаточных испытаний (ПСИ), где отражаются результаты отработки контрольных примеров. В задачи руководства входит при этом осуществление тщательного контроля за ходом и результатами ПСИ, поскольку в дальнейшем от этого во многом будет зависеть эффективность автоматизированной банковской деятельности, неважно идет ли речь о СЭБ или другой АС.

Далее на регулярной основе представителями руководства кредитной организации осуществляется контроль эксплуатации АС и ее сопровождения, в ходе которого могут осуществляться незначительные доработки, например, программного обеспечения. Такие доработки в любом случае должны документально оформляться и проходить дополнительные ПСИ: на практике известно много случаев, когда это правило не выполнялось, из-за чего впоследствии функционирование автоматизированных систем неожиданно начинало отклоняться от штатного, что приводило к реализации компонентов операционного риска (а затем, возможно и других банковских рисков). То же самое относится к выполнению решений о модернизации АС с добавлением новых сервисов в рамках ДБО и функциональных модулей СЭБ или БАС: принятие соответствующих решений должно сопровождаться процедурами проверки сохранения целостности АС (имея в виду отсутствие нарушений в ее функционировании из-за доработки).

Специалисты в области ИТ участвуют во всем ЖЦ любой АС, одновременно на них ложатся задачи (на схеме не показанные, чтобы не перегружать ее обозначениями интуитивно понятных процедур) определения вендоров и провайдеров, при содействии которых будет формироваться ИКБД для внедряемой ТЭБ. От них зависит определение технических параметров ДБО: производительности СЭБ и БАС кредитной организации, пропускной способности каналов связи, инструментальной среды баз данных, использования web-сайтов кредитной организации и т. п., а также средств сетевой и вирусной защиты, администрирования вычислительных систем и сетей, политики информатизации и модернизации и решения связанных с этими процедурами организационно-технических вопросов. Чаще всего ЖЦ процесса информатизации формируется «сам собой» в привычном соответствующим специалистам ключе, и вопросов к выполнению перечисленных здесь функций при внедрении ТЭБ не возникает (в силу их специфики), чего нельзя сказать о других структурных подразделениях кредитной организации.

Участие специалистов в области обеспечения информационной безопасности в жизненных циклах банковских автоматизированных систем и систем электронного банкинга считается обязательным, поскольку от этого зависят результаты и эффективность решения большого числа проблемных вопросов электронного банкинга, начиная с распределения прав и полномочий доступа к информационно-процессинговым ресурсам кредитной организации и заканчивая защитой этих ресурсов от разнообразных сетевых атак. В оптимальном варианте их участие начинается с включения необходимых средств обеспечения информационной безопасности и защиты информации в проекты БАС и (или) СЭБ (при собственной разработке той или иной системы, что, впрочем, встречается нечасто), т. е. требуется определение типа и состава последних, начиная со средств физического и логического доступа. Если разработка собственная или заказная, то в ее процессе желательно отслеживать, по возможности, включение таких средств в состав той или иной АС; если система приобретается «под ключ», то указанные специалисты должны сопоставить свои требования, которые они предъявили бы в случае заказной разработки, с теми, которые были реализованы в приобретаемой системе (посредством изучения технического задания на ее разработку, технического описания АС, а также руководств ее администраторов и пользователей).

На этапах испытаний эти же специалисты должны убедиться в том, что предусмотренные средства обеспечения информационной безопасности действительно имеются в АС и функционируют должным образом. Для этого они должны участвовать в разработке программ и методик проведения ПСИ, разрабатывать контрольные примеры и проводить собственно испытания таких средств совместно со специалистами в области ИТ и внутреннего контроля, фиксируя свои оценки в протоколах и актах по итогам испытаний. По существу такие испытания в части информационной безопасности означают имитацию попыток «взлома» компьютерных систем, НСД к ним (к их программно-информационному обеспечению), отказа обеспечивающих их функционирование систем (например, системы электропитания) и т. п. Необходимо отметить такое усложнение функций этих специалистов при приобретении той или иной АС, как проверка ее на отсутствие так называемых «закладок», т. е. программных модулей, способных в фоновом режиме выполнять, как говорят, «недокументированные функции», ориентированные на хищение финансовых средств или конфиденциальной информации. При модернизации АС вопросы обеспечения информационной безопасности заключаются во внедрении при необходимости новых средств для этого и проверки сохранения функциональности действующих средств защиты информации. В этом также заключается адаптация обеспечения информационной безопасности к новым условиям функционирования кредитной организации.

Специалисты в области внутреннего контроля (в том числе при необходимости и службы финансового мониторинга) выполняют в ЖЦ автоматизированных систем аналогичные функции. Прежде всего они должны на основе анализа потоков клиентских и банковских данных в этих системах определить состав необходимой им контрольной информации, информационные сечения (внутри- и межсистемные) и контрольные точки, в которых будет осуществляться ее считывание в процедурах проверки функционирования программно-информационного комплекса кредитной организации. При этом предполагается, что именно эти специалисты могут сделать указанный выбор и определить состав встраиваемых в АС средств внутреннего контроля исходя из особенностей организации ДБО, ИКБД, СЭБ и БАС кредитной организации. На этапах испытаний они должны убедиться в наличии и работоспособности средств внутреннего контроля, причем для этого требуется детальная проработка контрольных примеров, позволяющая оценить функционирование автоматизированных систем как в штатных режимах, так и в случаях совершения клиентом ошибок (для этого требуются модели ошибочных действий), а также возникновения форс-мажорных обстоятельств (имитируемых в процессе ПСИ с помощью моделей последствий их возникновения).

Для проведения таких испытаний целесообразно организовывать имитационное тестирование, позволяющее отслеживать и контролировать прохождение трафика в соответствии, например, с диаграммами потоков данных, которые используются при проектировании АС. При этом организуется АРМ модельного клиента для имитации его действий (штатных и нештатных) и АРМ системного администратора, используемое для фиксации событий «внутри» АС, контроля прохождения данных через просмотр файлов системных и аудиторских журналов. Кстати, многие функциональные возможности, организуемые при проведении ПСИ, связанные с комбинированием различных функций административного уровня, по завершении испытаний необходимо отключить или блокировать, а также уничтожить все модельные данные, определяющие права и полномочия доступа к информационно-процессинговым ресурсам кредитной организации во избежание их «зависания» в АС и возможного последующего противоправного использования. В завершение ПСИ специалисты внутреннего контроля принимают участие в оформлении их итоговых документов, характеризующих функционирование ИКБД, СЭБ и БАС.

В ходе эксплуатации внутренний контроль реализуется по тем штатным схемам, которые установлены руководством кредитной организации в программах и методиках его осуществления. При выполнении процедур, относящихся к сопровождению и модернизации СЭБ и БАС, специалисты внутреннего контроля должны «отслеживать» проведение соответствующих ПСИ, убеждаясь в сохранении целостности средств контроля, которая может пострадать при внесении изменений в программно-информационное обеспечение указанных систем (что нередко случается из-за его сложности). Тем самым реализуется адаптация внутреннего контроля к новым условиям банковской деятельности, распространяемая в дальнейшем на всю систему внутреннего контроля кредитной организации (элементы в ее подразделениях).

Очевидно, что в случае заказной разработки АС специалисты внутреннего контроля кредитной организации должны участвовать в подготовке исходных требований на разработку и согласовании соответствующего технического задания (которое разрабатывает ее исполнитель). В этом же случае, а также если АС приобретается «под ключ», те же специалисты должны участвовать в разработке и согласовании программ и методик проведения ПСИ, а также в самих испытаниях, включая подписание протокола и акта проведения ПСИ. Проводить эти испытания целесообразно на стендовых средствах самой кредитной организации, хотя, как показывает практика, такими средствами может располагать далеко не каждая кредитная организация, почему и приходится пользоваться для этого средствами организации разработчика. При этом надо иметь в виду, что, например, инсталляция на банковском оборудовании может выявить те или иные особенности и недостатки в функционировании АС просто из-за различий в версиях или релизах операционного программного обеспечения, операционных систем и т. п. Если кредитной организации предлагается система, сделанная «под ключ» без возможности проведения ее ПСИ в этой организации, то ее специалистам следует ознакомиться с документами о предыдущих испытаниях этой системы и убедиться в соответствии их содержания требованиям, установленным в ней самой (предполагается, что руководству этой организации такие требования известны и существуют соответствующие внутренние распорядительные документы, порядки, регламенты и т. п.).

Ролевые функции сервис-центра (иногда называемого «call-center») в соответствующем ЖЦ связаны в основном со сбором информации о функционировании банковских автоматизированных систем, их доработках и модернизации с тем, чтобы у клиента не возникало замешательства при каких-либо изменениях в их работе. Наиболее простым примером из практики является изменение дизайна web-сайта кредитной организации, о котором заранее не сообщается и которое вызывает негативную реакцию, если привычный вид web-страниц изменяется таким образом, что элементы управления (навигации) и информационные компоненты исчезают с привычных мест и их приходится разыскивать, «прыгая» по системе меню такого web-сайта и гиперссылкам. Очевидно, что внедрение новой ТЭБ, реализующей ее СЭБ, и предоставляемых ею сервисов приводит к необходимости изменения содержания работы сервис-центра, адаптируемой к внедрению и модернизации ДБО, в том числе в части переподготовки соответствующего персонала и расширения его служебного информационного обеспечения.

Как уже отмечалось, службы ИТ, обеспечения информационной безопасности, внутреннего контроля и финансового мониторинга, и сервис-центр кредитной организации должны выполнять некоторые функции и в отношении «внешнего мира». Эти функции относятся к взаимодействию кредитной организации с вендорами, в части контроля качества продаваемых ими средств автоматизации банковской деятельности, провайдерами — в части гарантирования уровней обслуживания (SLA) и со своими клиентами — в части принятия максимально «жестких» ограничений на их деятельность. Каждый аспект этой внешней по отношению к кредитной организации деятельности налагает своеобразные требования на содержание отдельных процедур во всех перечисленных процессах или некоторых из них. Основное внимание при определении их содержания и взаимосвязей друг с другом руководству кредитной организации целесообразно уделять различным условиям:

— контрактов и договоров, в которых фиксировалось бы точнее распределение обязанностей и ответственности сторон с учетом специфических особенностей каждой ТЭБ и формируемого ею ИКБД;

— функционирования и использования автоматизированных систем, с помощью которых реализуется ДБО и к которым имеют доступ (или отношение) стороны, выполняющие оговоренные функции;

— восстановления функционирования автоматизированных систем и каналов связи в составе ИКБД и обеспечения их доступности для осуществления ДБО и выполнения сторонами своих обязательств;

— взаимодействия договаривающихся сторон с определением соответствующих порядков, включая обеспечение подтверждения идентичности этих сторон и аутентичности информационного обмена;

— разрешения конфликтных и спорных ситуаций, препятствующих штатному осуществлению ДБО, которые могут возникать в ИКБД, равно как и мерам, принимаемым в обеспечение этих условий.

В целом состав и характеристики (параметры) этих функций всегда зависят от состава и организации ИКБД (для каждой ТЭБ), а следовательно, могут варьироваться с течением времени, причем обязательно при внедрении нового варианта ДБО, так что адаптация будет затрагивать соответствующие процессы и в этом отношении. Главным фактором, обусловливающим очередной «виток» ЖЦ для них, являются отличия в реализации ДБО в каждом из этих вариантов, которые неизбежны даже при использовании однородных технологий электронного банкинга, а поэтому требуют изучения, освоения и учета, т. е. своего рода «точной настройки» внутрибанковских процессов.

Приведенное краткое описание ЖЦ АС и участия в нем разных служб кредитной организации может быть расширено исходя из ее структуры, поскольку в условиях большого разнообразия вариантов организации банковской деятельности, состава подразделений, применяемых автоматизированных систем и их архитектуры дать детальные полные рекомендации невозможно. В этом, кстати, заключается основная методологическая проблема, в решении которой в условиях применения технологий электронного банкинга целесообразно объединять усилия исполнительных органов кредитной организации и специалистов из упомянутых (как минимум) подразделений. Следствием возникновения этой проблемы становится решение вопроса согласованной адаптации совокупности внутрибанковских процессов с каждым «оборотом» ЖЦ банковских автоматизированных систем и технологий электронного банкинга при их последовательном внедрении в постоянно развивающуюся и усложняющуюся банковскую деятельность.

 

3.4. Адаптационный метапроцесс

Суммируя сказанное, можно перечислить основные зоны концентрации источников компонентов банковских рисков в случае внедрения ТЭБ, анализ которых целесообразно проводить:

БАС, с которой потребуется интегрировать программно-информационный комплекс электронного банкинга;

поставщики (вендоры) программно-информационных комплексов и аппаратно-программного обеспечения, подлежащих контролю;

внутрибанковские процессы управления и контроля, включая иерархию ответственности, подконтрольности и подотчетности;

внутрибанковское документарное обеспечение новой технологии от порядков и инструкций до должностных обязанностей персонала;

условия внедрения и применения новой технологии и реализующих ее систем электронного банкинга, которые потребуется создавать;

средства обеспечения информационной безопасности кредитной организации, внутрибанковских процессов и ее клиентов;

система внутреннего контроля, которая должна будет расшириться и адаптироваться к ТЭБ (включая финансовый мониторинг);

персонал кредитной организации, квалификация которого должна будет соответствовать новым требованиям (на разных уровнях иерархии);

клиенты кредитной организации, которым потребуется дополнительная подготовка для пользования новыми сервисами;

провайдеры кредитной организации, через телекоммуникационные и процессинговые системы которых пойдет новый банковский трафик.

Дополнительные вопросы юридического (правового) обеспечения банковской деятельности включают:

— содержание договоров с клиентами и контрагентами кредитной организации;

— оценку соответствия новой деятельности требованиям законодательных и подзаконных актов;

— обеспечение выполнения правил бухгалтерского учета и достоверности регламентной банковской отчетности (в виртуальном пространстве).

В оптимальном варианте в кредитной организации должны быть документированные свидетельства выполнения ее руководством своей функциональной роли при обосновании и принятии решений о внедрении и применении новой банковской технологии и адаптации внутрибанковских процессов и входящих в их состав процедур к условиям банковской деятельности, формируемым новой ТЭБ. Точно так же предполагается наличие распорядительных документов и порядков, регламентирующих согласованную адаптацию внутрибанковских процессов, т. е. модернизироваться должны все процессы, которые затрагивает внедрение ТЭБ, так чтобы не получилось, например, что специалисты внутреннего контроля или обеспечения информационной безопасности оказываются «не в курсе» технологических и технических изменений и продолжают работать «по старинке». Такая ситуация является угрожающей для кредитной организации и ее клиентов, поскольку способствует возникновению неконтролируемых источников компонентов банковских рисков.

Сказанное выше означает по существу, что в кредитной организации, переходящей к использованию технологий электронного банкинга, целесообразно организовать своего рода «процесс управления процессами» или, в современной терминологии, «мета-процесс». Этот процесс в оптимальном варианте организации банковской деятельности при формировании новых условий ее осуществления должен бы «автоматически» запускаться на основе распорядительных документов кредитной организации и ее внутренних регламентов (порядков), приводя к модернизации содержания как минимум перечисленных ранее в этом параграфе внутрибанковских процессов. Следует подчеркнуть, что предложенное здесь представление внутрибанковского мета-процесса не следует рассматривать как надуманное и нереалистичное: практика изучения организации и содержания современной банковской деятельности свидетельствует, что новые, непредвиденные компоненты типичных банковских рисков возникают не только тогда, когда адаптации внутрибанковских процессов к внедрению ДБО не происходит, но и тогда, когда адаптируются не все связанные с ним процессы или адаптируются без должного согласования между собой и в структуре кредитной организации в целом. Упрощенная общая схема такого ЖЦ, мета-процесса, управляющего им, и состава отдельных мероприятий (этапов), которые осуществляются в каждом цикле, приведены, соответственно, на рис. 3.3 и 3.4. В зависимости от состава процедур в общебанковских процессах управления и контроля эта схема может варьироваться в сторону большей детализации, однако это не имеет принципиального значения до тех пор, пока сохраняется ее связь с внедрением новых банковских информационных технологий, таких как технологии электронного банкинга.

В материалах зарубежных органов банковского регулирования и надзора подобный подход пока что отсутствует, по-видимому, потому, что история автоматизации банковской деятельности «на Западе» насчитывает десятилетия, а при ее начале разработка теории банковских рисков даже не планировалась. Достаточно вспомнить, что первое крупное компьютерное мошенничество, в результате которого было похищено около сорока миллионов долларов, произошло в одном из чикагских банков в 1974 г., а разработка первого варианта рейтинговой системы URSIT, используемой американскими органами банковского регулирования и надзора, относится к 1978 г. (ее совершенствование продолжается до настоящего времени вместе с технологическим и техническим прогрессом в банковской сфере). Американские специалисты банковского инспектирования начали применять методы так называемого «компьютерного аудита» еще в начале 70-х годов прошлого века. Как раз в это время (с 1971 г.) там началось интенсивное внедрение банкоматов, систем автоматизированной обработки чеков (впрочем, первую полнофункциональную систему такого рода ввел в эксплуатацию Chase Manhattan Bank еще в 1961 г.) и т. д., причем к этому времени в банковском секторе США работал уже каждый пятый программист в стране. Компьютеризация российского банковского сектора происходила весьма быстрыми темпами, значительно опережающими «осознание» значимости и особенностей этого явления, что до сих пор проявляет себя в уровнях рисков.

Принятие рассмотренного подхода отвечает требованиям времени, так как смещения профилей рисков кредитных организаций вместе с продолжением технического прогресса в обеспечении банковской деятельности и развитием ДБО неизбежны, а значит для поддержания технологической надежности ДБО эти явления должны анализироваться и учитываться руководством как во внутрибанковских процессах

УБР, так и в процессах, связанных с ним. Проявлением оптимизации управленческого подхода в этом плане (равно как и корпоративного управления в целом) можно было бы считать разработку новых видов внутренних документов кредитной организации, например имеющих условное название «Принципы и порядок адаптации внутрибанковских процессов», положения которых учитывались бы затем в «Порядке организации управления банковскими рисками», «Политике информатизации», «Политике обеспечения информационной безопасности», «Положении о системе внутреннего контроля», «Положении о службе внутреннего контроля», «Положении об осуществлении финансового мониторинга», «Положении об организации взаимоотношений с провайдерами», «Порядке ведения претензионной работы» и других внутрибанковских документах (приведенные названия их также ориентировочные).

Высказанные соображения в значительной степени относятся к «общей культуре» банковской деятельности и корпоративному управлению ею в кредитных организациях, о чем руководство многих из этих организаций, причем уже довольно давно внедряющих системы электронного банкинга, стало задумываться лишь в последнее время. Отчасти это связано с тем акцентом, который делается на этой проблематике Банком России, отчасти это можно считать следствием реализации компонентов банковских рисков, возникших ввиду «непредвиденных обстоятельств», которые вполне можно было предвидеть при условии осуществления проактивного анализа факторов возникновения и источников компонентов банковских рисков в ИКБД. В то же время формирование общей культуры невозможно без доведения понимания цикличности внутрибанковских процессов до менеджмента среднего уровня и ответственных исполнителей в кредитной организации, отвечающих за ДБО, поскольку конкретизация их рабочих процедур через функции и операции далеко не всегда может быть точно определена «сверху» исполнительными органами (просто в силу их специфики при работе с системами электронного банкинга и банковскими автоматизированными системами). Актуальность этой темы и ее «ориентированность» на изучение структуры банковских рисков и снижение их уровней в современных условиях банковской деятельности сомнению не подлежит.