Процессный подход позволяет не только вычленить подлежащие модернизации внутрибанковские процессы, но и обеспечить согласование между самими процессами и отдельными составляющими их процедурами (чего в противном случае добиться нередко не удается). На основе понятия «жизненный цикл» к новым способам и условиям осуществления банковской деятельности целесообразно адаптировать как минимум следующие основные внутрибанковские процессы:

— документарного обеспечения;

— управления рисками банковской деятельности;

— применения ИТ (информатизации или автоматизации);

— обеспечения информационной безопасности (ОИБ);

— внутреннего контроля (ВК);

— финансового мониторинга (ФМ);

— юридического (правового) обеспечения

— обслуживания клиентов (включая претензионную работу),

а также внедрить новый процесс и реализующие его процедуры, а именно: взаимоотношения с провайдерами.

В зависимости от специфики структуры, характера, масштаба деятельности кредитной организации этот перечень может быть дополнен. Ответственность за его определение и уточнение с течением времени и внедрением новых банковских информационных технологий лежит на совете директоров и высшем руководстве кредитной организации, переходящей к ДБО клиентов.

В современных условиях банковской деятельности своевременную (упреждающую) и адекватную адаптацию внутрибанковских процессов кредитной организации к изменениям в способах осуществления этой деятельности, вносимым технологиями электронного банкинга, целесообразно рассматривать как главное условие проактивного и эффективного парирования неконтролируемого смещения ее профиля риска. При этом важно подчеркнуть логику осуществления адаптации: после принятия решения о внедрении той или иной ТЭБ процессный подход вначале применяется к УБР, а затем, после определения требуемых для него новых или модифицированных процедур такого управления, — к остальным внутрибанковским процессам. Завершающим этапом следует считать проведение контрольных процедур по завершении адаптационных мероприятий на соответствие требованиям «усовершенствованного» таким образом УБР. Как правило, ЖЦ любого процесса в организации строится по четырехэтапной схеме, определяемой типовой последовательностью вида:

«создание —> внедрение —> контроль —> совершенствование».

На первом этапе определяются стратегические цели, которые предполагается достигнуть с помощью этого процесса, описываются его модель и структура, состав его характеристик и показателей, а также требуемое обеспечение. На втором этапе создаются условия для реализации процесса, информационно-технологическая инфраструктура, банковские автоматизированные системы (возможно, интегрируемые с уже действующими), выбираются провайдеры необходимых услуг и поставщики технического оборудования, распределяются ответственность и обязанности, проводится обучение персонала. На третьем этапе организуется сбор оперативной контрольной информации о выполнении процесса, набор статистики по показателям и характеристикам процесса и комплексный их анализ. На четвертом этапе проводится сопоставление существующего процесса с позиции «как есть» с его первоначальной моделью с тем, «как должно быть», оцениваются результаты анализа характеристик и показателей, после чего может быть принято решение о целесообразности модификации или модернизации процесса либо о его замене. То же самое происходит с формированием поддерживающих процесс условий и обеспечением его реализации, что имеет прямое отношение к применению технологий электронного банкинга.

Необходимо отметить, что, по мнению автора, любая «прогрессирующая» организация, независимо от того, кредитная она или нет, скорее всего придет к выводу о целесообразности рассмотрения процессов «разных уровней». Речь идет о том, что организация любых внутрибанковских процессов также представляет собой процесс, но более высокого уровня, своего рода «мета-процесс». А объясняется это как раз тем, что внедрение новых банковских технологий или технологий банковского обслуживания неизбежно приводит к потребности внесения изменений в уже существующие, налаженные и отлаженные внутрибанковские процессы. Точно так же, как и в рассмотренных выше направлениях деятельности, руководству кредитной организации целесообразно проработать содержание мета-процесса таким образом, чтобы он «срабатывал» одинаково эффективно в любом случае модернизации уже используемой ТЭБ или внедрения новой. Последний вариант является, естественно, более сложным, поскольку требует быстрой мобилизации достаточно больших объемов специальных знаний, наличие которых априори не гарантировано. Как видно из проведенного выше рассмотрения, речь идет о сходных совокупностях и последовательностях действий, выполняемых при любой модернизации — от внедрения в кредитной организации новой ТЭБ до модернизации (или замены) банковского аппаратно-программного обеспечения. Эффективность таких процедур будет гарантирована только в том случае, если персонал этой организации в сходных ситуациях будет выполнять заранее известные и «отработанные» действия.

 

5.1. Адаптация внутрибанковского документарного обеспечения

Приведение содержания внутрибанковских документов в соответствие с новыми условиям функционирования кредитной организации и особенностями ДБО до настоящего времени представляет серьезную проблему обеспечения надежной банковской деятельности высокотехнологичных кредитных организаций прежде всего потому, что руководство многих таких организаций «не чувствует» необходимости в этом, а также из-за нехватки специалистов, способных такую адаптацию осуществить. Эта проблема типична для крупных кредитных организаций, которые имеют развитые ИТ и документарное обеспечение банковской деятельности, которое описывает в том числе как внутрибанковские процессы, так и связи между реализующими их структурными подразделениями. Содержание того и другого подлежит модернизации при внедрении первой же ТЭБ, а затем и других технологий такого рода. В то же время во многих документах БКБН, в которых рассматриваются меры по обеспечению этой надежности, акцент всегда делается на том, что при любых инновациях в первую очередь следует обеспечивать указанное соответствие, поскольку от этого прямо зависят качество работы персонала кредитной организации, использование ее автоматизированных систем и эффективность деятельности в целом: и то, и другое, и третье целесообразно рассматривать с позиций своевременной и адекватной оптимизации (до того, как начнет сказываться влияние неучтенных источников компонентов банковских рисков, наличием которых определяется «степень адекватности» УБР и других внутрибанковских процессов).

Своевременная и отвечающая новым формируемым условиям адаптация документарного обеспечения кредитной организации важна по многим причинам, начиная с разработки и доведения до персонала информации о внедрении новых информационных технологий, продолжая его переподготовкой в связи с использованием новой БАС и (или) СЭБ и заканчивая изменениями структуры самой организации, ротацией персонала и текучкой кадров. Главное здесь — гарантировать соответствие должностных инструкций и руководств пользователя (оператора, операциониста, клиента) порядкам и правилам эксплуатации банковских автоматизированных систем, включая этапы их сопровождения и модернизации.

В этой главе не предлагается радикально новое содержание внутрибанковских документов типа положений о структурных подразделениях кредитной организации, но перечисляются основные новые и содержательно модернизируемые функции, описания и порядок выполнения которых логично включать в такие положения в связи с внедрением кредитной организацией новой ТЭБ. Такие изменения, в общем случае, уместно «увязывать» с каждым фактом внедрения той или иной новой технологии, связанной с банковской деятельностью, равно как и возникновением новых угроз надежности банковской деятельности и компонентов типичных банковских рисков (описываемых в документах по УБР).

Изменения внутрибанковских порядков и условий реализации процессов, как подчеркивает БКБН, должны инициироваться советом директоров и высшим менеджментом кредитной организации. Соответственно внутренние документы, которыми регламентируется функционирование органов управления и (или) исполнительных органов кредитной организации, должны содержать положения об этой их ролевой функции и указание условий, в которых эта функция должна инициироваться и выполняться. Внедрение ТЭБ — тот самый случай, который «запускает» очередной виток ЖЦ документарного обеспечения банковской деятельности. Состав изменяемых внутрибанковских документов определяется приведенным выше перечнем внутрибанковских процессов, который целесообразно точно указывать в описаниях указанных функций, чтобы даже при радикальных изменениях в «высшем эшелоне» руководства с выполнением таких функций не возникало неясностей (в отечественной банковской практике зачастую наблюдается обратное). Все мероприятия (в оптимальном варианте) инициируются, сопровождаются и контролируются высшим менеджментом кредитной организации (этапы <-> результаты) и доводятся до ее совета директоров и наблюдательного совета (рис. 5.1).

Кратко приведенную схему можно прокомментировать следующим образом. На этапе принятия базовых решений относительно внедрения ТЭБ следует (в соответствии с подходом БКБН) обеспечить:

— подготовку ТЭО и сопутствующих исходных данных на проект;

— коллегиальное принятие решений относительно варианта ТЭБ;

— сопоставление ДБО со стратегическими целями кредитной организации;

— определение необходимой ресурсной базы для реализации проекта СЭБ;

— подготовку проектной документации на СЭБ и ее интеграцию с БАС;

— согласование проекта с заинтересованными подразделениями;

— распределение ответственности и обязанностей в отношении проекта;

— привлечение к проекту персонала необходимой квалификации;

— полное документирование принятых решений по проекту;

— ознакомление с проектной документацией всех исполнителей.

Необходимо отметить, что принятые решения должны (опять-таки в оптимальном варианте организации работы) фиксироваться во всех иерархических «линейках» внутрибанковских документов: от распорядительных по характеру до должностных инструкций, предназначенных для ответственных исполнителей в кредитной организации (для этого целесообразно утвердить соответствующий распорядительный документ, который может и не быть акцентирован именно на ТЭБ и СЭБ, но «охватывать» и их применение). Только такой подход может в значительной степени гарантировать эффективность выполнения принятых решений и обеспечить требуемые функциональные характеристики автоматизированных систем (влияние человеческого фактора парируется эффективным «управленческим наблюдением» — в терминологии БКБН). При этом основные руководящие решения целесообразно обсуждать со специалистами, участвующими в перечисленных выше процессах, с точки зрения реализуемости и адекватности выполнения ими своих функций.

При таком подходе очередной виток ЖЦ документарного обеспечения банковской деятельности инициируется в кредитной организации еще до принятия решения о переходе к практической реализации проекта внедрения ТЭБ, поскольку без подготовительной работы не обойтись. При этом необходимо располагать перечнем входящих в его состав документов, первичное составление которого является наиболее трудоемким процессом, который несколько упрощается, если известен перечень подлежащих модернизации внутрибанковских процессов. Однако, какой бы сложной она ни казалась, удержать уровни банковских рисков в допустимых границах без ее решения крайне трудно (если вообще возможно), поскольку тогда негативное влияние человеческого фактора неизбежно.

Главное, что при этом целесообразно осознавать безусловное влияние любой ТЭБ на изменение состава и характера проявления многих источников компонентов банковских рисков, которые необходимо учитывать при организации УБР и для предотвращения которых существуют сами внутрибанковские процессы. Такое понимание в связи с переходом кредитной организации к ДБО на практике встречается редко. В то же время очевидно, что в отсутствие угроз надежности банковской деятельности, в безрисковой ситуации ни ОИБ, ни ФМ, ни ВК, ни другие внутрибанковские процессы не понадобились бы, тем не менее в банковской деятельности неизбежным и непростым связям между ними внимания уделяется незаслуженно мало (видимо потому, что реализующие их структурные подразделения кредитных организаций традиционно относят к так называемым «не зарабатывающим», не думая о том, что «зарабатывать» вообще позволяет именно эффективное парирование ими угроз, ассоциируемых с источниками тех самых компонентов).

Из сказанного можно сделать краткие выводы относительно изменений в характере и содержании упоминавшихся внутрибанковских процессов в кредитной организации, относящихся к осуществлению их регламентной циклической адаптации для приведения в соответствие тем условиям банковской деятельности, которые образуются с внедрением ТЭБ.

1. Для документарного обеспечения требуется составление документов более высокого, «общебанковского» уровня, в которых описывалась бы эта адаптация и указывались те внутрибанковские процессы и структурные подразделения кредитной организации, для которых разрабатывались бы новые редакции действующих документов. При этом на уровне мета-процесса предусматривается потенциальное возникновение необходимости в разработке новых, отсутствовавших до внедрения ТЭБ компонентов этого обеспечения.

2. Процесс УБР необходимо пересматривать ввиду появления большого числа не существовавших ранее источников компонентов банковских рисков, для воздействия на которые требуются новые процедуры, поддерживаемые рядом подразделений кредитной организации. На уровне мета-процесса формируются дополнительные схемы и механизмы взаимодействия между ними и предусматриваются дополнительные процедуры и функции в работе этих подразделений, ориентированные на подавление влияния таких источников.

3. Подразделение ИТ кредитной организации должно осваивать новую информационную технологию и СЭБ, реализующую внедряемую ТЭБ, обеспечивая то и другое в части аппаратно-программных средств (с учетом резервирования и ОИБ) и новой технической документации, включая руководства для клиентов ДБО и персонала подразделений организации. При этом учитывается необходимость повышения квалификации персонала, участие в составлении текстов договоров на ДБО и взаимодействия с провайдерами.

4. Служба ОИБ должна предусмотреть дополнительные меры по защите банковских автоматизированных систем кредитной организации и формированию ее периметра безопасности, включая внесение изменений в документы по ОИБ, внедрение соответствующего АЛО и разработку новых внутрибанковских документов, а также участие в составлении текстов договоров на ДБО и взаимодействии с провайдерами. Совместно со службами ИТ и ВК разрабатываются дополнительные программы и методики проверок ОИБ.

5. Служба ВК должна обеспечить наличие совокупной квалификации, необходимой для контроля использования и функционирования новой АС в кредитной организации, освоить внедряемую ТЭБ, разработать дополнительные программы и методики проверок, включая контроль процесса УБР, и формы отчетов для руководства, а совместно со службами ИТ и ОИБ — программы и методики проверок, контроля над провайдерами и SLA, планами действий на случай чрезвычайных обстоятельств, а также текстов договоров на ДБО.

6. Необходим учет особенностей электронного банкинга в документах кредитной организации, относящихся к ФМ или, как чаще говорят, «противодействию отмыванию денег и финансированию терроризма» (ПОД/ФТ), равно как и модернизация самого этого процесса с участием служб ИТ, ВК, экономической безопасности и юридического обеспечения банковской деятельности. При этом предусматривается разработка новых процедур взаимодействия с клиентами в соответствии с требованиями Банка России.

7. Модернизация юридического обеспечения банковской деятельности кредитной организации должна охватывать приобретение новой квалификации, связанной с особенностями внедряемой ТЭБ, участие в составлении текстов договоров с клиентами ДБО и провайдерами, приведение внутрибанковского документарного обеспечения в соответствие с новыми условиями банковской деятельности, а комплайенс-контроля и претензионной работы — с применением СЭБ (совместно со службами ИТ, ОИБ и ВК/ФМ).

8. Необходимо совершенствование взаимодействия сервис-центра кредитной организации с клиентами ДБО за счет освоения его сотрудниками содержания и условий обеспечения нового направления банковской деятельности и формирования механизмов получения ими от других структурных подразделений информации о функционировании СЭБ в ее связи с БАС, а также дополнительного направления претензионной работы в связи с возможными спорными или конфликтными ситуациями, включая SLA с провайдерами.

9. Планы действий на случай чрезвычайных обстоятельств необходимо дополнить разделом, описывающим новые возможные угрозы надежности банковской деятельности, обусловленные форс-мажорными и другими ситуациями, которые могут привести к прерыванию ДБО, нарушению целостности, доступности или конфиденциальности банковских и клиентских данных, а также порядком восстановления функционирования СЭБ в ее связи с БАС кредитной организации, включая информирование клиентов об инцидентах.

10. Должно быть организовано взаимодействие с провайдерами с определением SIAh анализом в кредитной организации возникающих зависимостей, которые также следует описывать как в части управления сопутствующими компонентами банковских рисков, так и в части принятия мер по предупреждению их реализации и по резервированию аутсорсинга с учетом обеспечения возможностей перехода в чрезвычайных ситуациях на резервные средства и предоставления клиентам ДБО резервных вариантов взаимодействия.

Руководство успешной высокотехнологичной кредитной организации не может не осознавать значимости документарного обеспечения меняющейся, технологически и технически усложняющейся банковской деятельности. По существу, в ходе пересмотра содержания внутрибанковских документов и адаптации их к новым условиям руководством кредитной организации одновременно решаются задачи адаптации общебанковских процессов управления к применению новой банковской информационной технологии и контроля ее использования персоналом данной организации и ее клиентами, пользующимися ДБО. Важно подчеркнуть, кстати, что оценка уровней (качества) обоих этих процессов (менеджмента в целом) представителями контролирующих органов чаще и прежде всего основывается на результатах оценки степени соответствия документарного обеспечения кредитной организации содержанию, характеру и масштабам ее банковской деятельности. В интересах руководства такой организации для получения положительного «мотивированного заключения» относительно качества ее корпоративного управления (по результатам изучения организации ее деятельности) необходимо внимательно относиться к содержанию внутрибанковской документации, своевременно обновляя ее при внедрении очередной ТЭБ для ДБО.

 

5.2. Адаптация управления банковскими рисками

Внедрение ТЭБ оказывается, как показывает практика, весьма нетривиальной задачей, которая хотя и имеет известные решения, но во многом отличается от базовой задачи автоматизации банковской деятельности, давно уже ставшей типовой, и обусловливается это во многом возникновением новых разновидностей компонентов банковских рисков. Основные проблемы при этом связаны не с внедрением каких-либо принципиально новых банковских автоматизированных систем, а с тем, что применение систем ДБО переводит предоставление банковских услуг в виртуальное пространство, скрывающее друг от друга кредитные организации и их клиентов, существующее лишь в отдельные кванты времени в конкретных электронных устройствах и линиях связи ИКБД и открывающее стороны их информационного взаимодействия для угроз, реализуемых через это пространство новыми, неизвестными ранее способами. Специфика этого пространства заключается и в его многообразии: Интернет, «эфир» (радиосвязь), кабельные соединения, компьютерные системы провайдеров кредитных организаций, входящих в ИКБД, и т. п. Несмотря на то что идея ДБО является общей для всех технологий такого рода, пока еще нельзя считать, что кредитные организации и их клиенты полностью осознают специфику разных вариантов реализации ДБО с учетом сопутствующих факторов риска и парирования их влияния.

Внедрение кредитной организацией любой ТЭБ и «выход» ее в мировую Сеть приводят к возникновению факторов риска, связанных с базовыми принципами, лежащими в основе применения открытых систем. Поэтому становятся необходимы анализ и оценка компонентов банковских рисков, принимаемых кредитной организацией в связи с использованием ДБО, адекватные сложности и особенностям каждой из таких технологий. Прежде всего требуется осознание того, что потоки данных, передаваемых, получаемых и хранимых в процессе банковской деятельности, представляют собой сведения о тех или иных информационных активах кредитной организации и об инструкциях, описывающих управление этими активами. Это означает, что виды угроз надежности банковской деятельности и способы их реализации радикально отличаются от своих аналогов в традиционной банковской деятельности (например, способы мошенничеств и хищения денежных средств, являющихся главным информационным активом современной кредитной организации, с помощью способов НСД, разновидностей сетевых атак и т. п.).

Все угрозы, ассоциируемые с ИКБД, должны учитываться при планировании, реализации и обеспечении внутрибанковских процессов и процедур; при этом целесообразно определять, какие из них являются внешними, а какие — внутренними, и приводить их описания в документах, регламентирующих процесс УБР и, возможно, процесс ОИБ (дублирование предпочтительнее, но тогда необходимо контролировать идентичность описаний). В число таких угроз входят мошенничества, вредительство, ошибки, сбои, отказы, аварии, катастрофы, НСД (проникновения и взломы) и т. п.

При оптимальном (с точки зрения автора) подходе к внедрению ТЭБ процесс УБР в кредитной организации необходимо пересматривать первым из всех внутрибанковских процессов, подлежащих адаптации. К сожалению, в российском банковском секторе этому процессу исторически не принято уделять серьезного внимания не только в связи с внедрением новых информационных технологий, но и, как показывает многолетнее практическое изучение организации банковской деятельности, независимо от каких бы то ни было информационных технологий вообще. Это и становится причиной непредвиденной реализации возникающих компонентов типичных банковских рисков, превентивный анализ возможностей возникновения которых не проводился перед вводом СЭБ в эксплуатацию (а лучше еще при выборе ТЭБ).

В то же время, как было показано в главе 2, методологию определения и анализа указанных компонентов до настоящего времени нельзя считать установившейся ни за рубежом, ни в нашей стране, а следовательно, отечественные кредитные организации вынуждены самостоятельно разрабатывать методические материалы для осуществления УБР на основе анализа принятой ими организации и условий банковской деятельности, вида ДБО, формирующегося ИКБД, АПО СЭБ, взаимодействия структурных подразделений и т. п. Результатом такого анализа становится (точнее, должно стать) определение зон концентрации источников компонентов банковских рисков для кредитной организации и ее клиентов и зон ее ответственности, что служит дополнением состава ролевых функций ее вышеперечисленных служб.

Поскольку указанные зоны заведомо не совпадают (руководство и специалисты кредитной организации не могут принимать меры, парирующие все угрозы, ассоциируемые со всеми источниками компонентов банковских рисков), необходимо четко определить, какие конкретно действия следует предпринимать в отношении угроз, источники которых находятся в пределах «досягаемости», а в отношении каких стоит принять меры хеджирования (предполагая возможное «понесение ущерба»). Такую классификацию было бы предпочтительно отразить в документах, относящихся к определению содержания процесса УБР, в сопоставлении с конкретными факторами возникновения источников компонентов банковских рисков. С некоторой долей условности ориентация внутрибанковских процессов управления и контроля показана на рис. 5.2, где для ДБО в варианте интернет-банкинга кружками отмечены основные зоны концентрации этих источников, а стрелками, направленными от «руководства» кредитной организации, — воздействия на эти источники в рамках УБР, применения ИТ, ОИБ, ВК и пр. (приведенная схема не полна: на ней не показаны почтовые сервера, демилитаризованные зоны (DMZ) и другие возможные элементы, но она вполне достаточна для иллюстрации последующего изложения; схема формирования DMZ будет приведена в параграфе 5.4).

Для эффективного управления и достижения стратегической цели кредитной организацией, использующей технологии электронного банкинга, ее руководству необходима оценка уровней принимаемых ею банковских рисков, адекватная сложности и особенностям каждой из таких технологий, а также мониторинг этих уровней, которые должны удерживаться в допустимых для кредитной организации пределах, устанавливаемых ее внутренними документами, за счет процесса УБР, реализуемого посредством своевременных и адекватных действий ее высших исполнительных органов, менеджеров разных уровней и исполнителей по предотвращению возникновения и реализации источников компонентов типичных банковских рисков. Действия эти регламентируются внутрибанковскими документами (на основе того же анализа), которые описывают модифицированный процесс УБР и связанные с ним процедуры в составе других внутрибанковских процессов, адаптируемых к применению ТЭБ (каждой, включая перспективные) для ДБО.

При модернизации процесса УБР и адаптации его содержания необходимо помнить, что любая схема измерения и мониторинга риска хороша лишь настолько, насколько верна, надежна и устойчива заложенная в ней методология выявления, оценивания и анализа рисков, ассоциируемая с составом и вариантами ДБО. Поэтому и возникает весьма серьезная методологическая проблема, обусловленная тем, что разным архитектурам и составу банковских автоматизированных систем свойственны разные наборы факторов и подмножества источников компонентов банковских рисков. Следовательно, руководство кредитной организации сталкивается с необходимостью формирования некоего универсального подхода, позволяющего конкретизировать управление банковскими рисками по отдельным направлениям ее деятельности на основе единой (или обобщенной) риск-ориентированной методологии. Методологией такого рода, вернее, одним из наиболее «удачных» по состоянию на настоящее время ее компонентов (пока) является подход к определению содержания УБР, изложенный в работе БКБН, называемой «Принципы Управления Рисками для Электронного Банкинга».

В этом достаточно обширном материале отмечено прежде всего, что: «Электронный банкинг… ведет к возникновению новых бизнес-моделей, в которых участвуют банки и небанковские организации…», при этом «…профиль риска у каждого банка свой и требует применения такого подхода к снижению влияния рисков, который соответствует масштабу операций в рамках электронного банкинга, реальному влиянию… рисков, а также готовности и способности конкретного учреждения управлять этими рисками».

В связи с этим в рассматриваемом материале определены так называемые «14 базовых принципов» для того, чтобы, как сказано, «помочь банкам распространить существующие в них процедуры наблюдения за рисками на деятельность в области электронного банкинга». Эти базовые принципы разделены на три тематические группы:

A. Наблюдение со стороны совета и руководства (принципы 1–3).

1. Эффективное наблюдение со стороны руководства за деятельностью в рамках электронного банкинга.

2. Организация полноценного процесса контроля безопасности.

3. Полноценный процесс наблюдения за выполнением обязательств и управлением в отношении поставщиков услуг и других третьих сторон, от которых имеется зависимость.

B. Средства обеспечения безопасности (принципы 4—10).

4. Аутентификация клиентов в операциях электронного банкинга.

5. Отсутствие отказов от проведения операций и возможность учета для транзакций, осуществляемых в рамках электронного банкинга.

6. Должные меры по обеспечению разделения обязанностей.

7. Необходимые средства авторизации в системах электронного банкинга, базах данных и прикладных программах.

8. Целостность данных в транзакциях электронного банкинга, записях и информации.

9. Организация формирования точных аудиторских записей для транзакций, осуществляемых в рамках электронного банкинга.

10. Конфиденциальность важнейшей банковской информации.

C. Управление правовым и репутационным рисками (принципы 11–14).

11. Правильное раскрытие информации для обслуживания в рамках электронного банкинга.

12. Конфиденциальность клиентской информации.

13. Планирование производительности, непрерывности операций и на случай непредвиденных обстоятельств для обеспечения доступности систем и обслуживания в рамках электронного банкинга.

14. Планирование реагирования на случайные события.

Надо отметить, что акцент только на два банковских риска не следует считать «хрестоматийным», поскольку он типичен только для стран Западной Европы в силу сложившихся там за более чем три столетия традиций ростовщичества (банковской деятельности); в российских условиях внимание необходимо уделять всем пяти упомянутым ранее банковским рискам.

Далее подробно рассматриваются принципы пруденциального осуществления УБР в условиях применения технологий электронного банкинга. Необходимо заметить, что первая группа принципов по существу устанавливает своего рода «квалификационные требования» к высшему руководству кредитных организаций, применяющих технологии электронного банкинга, или же их исполнительным органам.

Принцип 1. Совету директоров и высшему руководству следует установить эффективное управленческое наблюдение над рисками, связанными с деятельностью в рамках электронного банкинга, включая организацию специального учета, политики и средств контроля для управления этими рисками.

В комментариях к этому принципу подчеркивается, что «совету директоров и высшему руководству следует удостовериться в том, что их банк не включается в новый бизнес в сфере электронного банкинга или не внедряет новые технологии без наличия необходимых знаний для обеспечения компетентного наблюдения за управлением рисками. Знания руководства и персонала должны быть соразмерны технической природе и сложности применяемых данным банком технологий электронного банкинга и соответствующих приложений. Адекватная квалификация является принципиально важной независимо от того, находятся системы электронного банкинга и соответствующие варианты обслуживания под собственным управлением банка или эти функции переданы третьим сторонам. Процессы наблюдения со стороны высшего руководства следует осуществлять на динамической основе, чтобы обеспечивалось эффективное вмешательство и коррекция любых материальных проблем с системами электронного банкинга или недостатков в обеспечении безопасности, которые могут иметь место».

Также совету директоров и высшему руководству кредитной организации «следует убедиться в том, что организованные ими процессы управления рисками для деятельности в рамках электронного банкинга интегрированы в общий подход банка к управлению рисками. Принятая в банке политика и существующие процессы управления рисками должны быть оценены с точки зрения гарантии того, что они достаточно устойчивы, чтобы парировать новые риски, возникающие из-за текущей или планируемой деятельности в области электронного банкинга. Дополнительные меры по наблюдению за управлением рисками, которые следует принять во внимание совету и высшему руководству банка, включают:

четкое определение приемлемого уровня риска для конкретной банковской организации в рамках электронного банкинга;

определение ключевых механизмов распределения полномочий и предоставления отчетности, включая необходимые расширенные процедуры для тех случаев, которые влияют на безопасность, надежность или репутацию банка (к примеру, сетевое проникновение, нарушение правил безопасности со стороны работников и любое серьезное нарушение в использовании компьютерных средств);

обращение внимания на любые специфические факторы риска, ассоциируемые с гарантиями безопасности, целостностью и доступностью услуг и видов обслуживания в части электронного банкинга и требующие принятия адекватных мер со стороны тех контрагентов, которым банк доверил обслуживание ключевых систем или прикладного программного обеспечения;

осуществление необходимого анализа выполнения обязательств и рисков еще до того, как банк начнет осуществление транзакций в рамках электронного банкинга».

При этом отмечается, что в зависимости от масштаба и сложности деятельности в рамках электронного банкинга охват программ управления рисками и их структура будут различными для разных кредитных организаций.

Ресурсы, требуемые для наблюдения за обслуживанием в части электронного банкинга, как сказано, «следует определять в соответствии с транзакционной функциональностью и значимостью систем, уязвимостью сетей связи и важностью передаваемой по ним информации». Типичным недостатком рекомендаций такого рода является отсутствие указания на то, каким конкретно образом следует это делать и как именно оценить предполагаемое «соответствие» (что в условиях применения новой ТЭБ приобретает для кредитной организации особое значение именно из-за отсутствия готовых «рецептов» практического обеспечения пруденциальности банковской деятельности).

Принцип 2. Совету директоров и высшему руководству следует проверять и утверждать ключевые составляющие процессов контроля безопасности банка.

Совету директоров и высшему руководству банка следует наблюдать за разработкой и «продолжением поддержания инфраструктуры контроля над безопасностью, которая обеспечивает должную защиту систем электронного банкинга и данных как от внутренних, так и от внешних угроз. При этом следует установить соответствующие права авторизации, логические и физические средства контроля доступа, а также адекватную инфраструктуру обеспечения безопасности для поддержания должных возможностей и ограничений в отношении действий как внутренних, так и внешних пользователей». Также «целесообразно зафиксировать в распорядительных документах, что защита банковских активов является одной из областей ответственности высшего руководства кредитной организации» (как будто это и так не ясно!).

Чтобы гарантировать наличие должных средств обеспечения безопасности для деятельности в рамках электронного банкинга, «совету и высшему руководству банка требуется удостовериться в существовании в их банке полноценного процесса обеспечения защиты, включая политику и процедуры, которые касаются потенциальных внутренних и внешних угроз безопасности как в части предотвращения инцидентов, так и в части реагирования на такие происшествия. Ключевыми компонентами эффективного процесса обеспечения безопасности электронного банкинга являются:

установление однозначно определенной ответственности руководства и персонала за организацию и соблюдение корпоративной политики безопасности;

наличие достаточно эффективных средств физического контроля для предотвращения несанкционированного физического доступа к компьютерному оборудованию;

наличие достаточных средств логического контроля и процессов мониторинга для предотвращения неавторизованного внутреннего и внешнего доступа к прикладным программам и базам данных электронного банкинга;

регулярный пересмотр и тестирование мер безопасности и средств контроля, включая постоянное отслеживание современных отраслевых разработок в области безопасности и инсталляцию обновленных версий соответствующего программного обеспечения, служебных пакетов и прочие необходимые меры».

Очевидно, что для реализации этого принципа необходимо наличие знаний (подготовки) в области ОИБ, что предполагает включение соответствующих требований в квалификационные характеристики членов совета директоров кредитной организации, а также ее наблюдательного совета.

Принцип 3. Совету директоров и высшему руководству следует внедрять полноценные и непрерывные процессы наблюдения и контроля выполнения обязательств для управления отношениями банка с провайдерами услуг и другими сторонами, которые обеспечивают поддержку операций электронного банкинга.

В комментарии к этому принципу отмечено, что «повышенная зависимость от партнеров и сторонних провайдеров услуг при осуществлении критических функций в рамках электронного банкинга снижает возможности непосредственного контроля над ними со стороны руководства банка». Соответственно, оказывается необходимой организация всеобъемлющей процедуры управления источниками рисков, ассоциируемыми с заказной обработкой данных и зависимостью банковской деятельности от других сторонних организаций. Процесс формирования, поддержания и «контроля отношений с провайдерами должен охватывать стороннюю деятельность партнеров и провайдеров обслуживания, включая субконтракты на заказную обработку, которые могут иметь материальные последствия для банков». Такой подход для отечественных кредитных организаций пока что нетипичен (ввиду недостаточно развитой инфраструктуры в большинстве российских регионов, хотя в московском регионе ситуация уже изменилась, и провайдеры лишены возможности диктовать кредитным организациям свои условия), однако сам факт наличия разнообразных зависимостей этих организаций от функционирования и качества выполнения SLA (от этого зависят также интересы ее клиентов ДБО) предполагает включение соответствующих положений в распорядительные документы, а на их основе — во внутрибанковские документы, регламентирующие работу подразделений, от которых руководству организации потребуется содействие для реализации описанной функции.

Принцип 4. Необходимо принимать должные меры по аутентификации идентичности и авторизации клиентов, с которыми они осуществляют деловые операции через Интернет.

В этом случае указывается, что кредитным организациям «следует применять надежные методы для верификации идентичности и авторизации новых клиентов, также как и аутентификации идентичности и авторизации зарегистрированных клиентов, обращающихся за проведением электронных транзакций. Верификация клиентов при определении происхождения счета важна для снижения риска хищений идентификационных данных, мошеннических действий со счетами и отмывания денег».

Установление и аутентификация идентичности того или иного лица, а также авторизации доступа к банковским системам в условиях полностью электронной открытой сети связи могут оказаться непростой задачей. Отмечается, что «легитимная авторизация» пользователя может быть фальсифицирована с помощью различных методов, обычно определяемых как «мистификация». Хакеры могут также перехватывать содержание сеансов легитимно авторизованных лиц, используя так называемые «снифферы», и выполнять действия вредоносного или криминального характера. Помимо прочего, процессы контроля аутентификации могут быть обойдены посредством воздействия на базы данных, хранящие аутентификационные сведения.

Критично важным является наличие в кредитной организации официально принятой политики и процедур, определяющих методологию (или методики), позволяющую гарантировать, что отдельный банк должным образом осуществляет аутентификацию идентичности и авторизации прав того или иного лица или системы’ с помощью уникальных способов и настолько, насколько это практично, гарантирует исключение участия неавторизованных лиц или систем. Банки могут применять разнообразные методы для осуществления аутентификации, включая PIN-ы, пароли, микропроцессорные карты, биометрику и цифровые сертификаты. Эти методы могут быть одно- или многопараметрическими (имея в виду использование как пароля, так и биометрических технологий для аутентификации пользователя); многопараметрическая аутентификация в общем случае «обеспечивает большую уверенность в идентификации».

При этом подчеркивается (и это становится все более значимым в современном мире), что надежные процессы идентификации и аутентификации клиентов особенно важны в контексте трансграничных операций с применением технологий электронного банкинга, учитывая осложнения, которые могут возникнуть при осуществлении электронных операций с клиентами через национальные границы, «включая повышенный риск обезличивания индивидуальности и значительные затруднения в выполнении эффективных проверок при предоставлении кредита потенциальным клиентам». К этому тесно примыкает проблематика «специфического» использования оффшорных зон.

Поскольку методы аутентификации продолжают совершенствоваться, кредитным организациям рекомендуется «перенимать используемые в отрасли надежные методы работы в данной части», обеспечивающие:

защиту аутентификационных баз данных, которые предназначены для организации доступа к счетам клиентов электронного банкинга или важным системам, от изменения и повреждения. Любое подобное воздействие должно обнаруживаться, при этом должны вестись аудиторские записи для документирования попыток такого рода;

должную авторизацию любых добавлений, удалений или изменений в аутентификационной базе данных для того или иного лица, агента или системы, с помощью какого-либо источника аутентификационных данных;

осуществление должных мер контроля подключений к СЭБ, таких, чтобы никто со стороны не мог подменять известных клиентов;

поддержание безопасности аутентификационного сеанса в рамках электронного банкинга во время всей его длительности или затребование повторной аутентификации в случае возникновения ошибок в защите.

Принцип 5. Необходимо использовать методы аутентификации транзакций, которые способствуют невозможности отказа от операций (доказательного подтверждения операции) и обеспечивают возможность учета транзакций в рамках электронного банкинга.

Невозможность отказа от операции обеспечивается за счет формирования доказательства по ее источнику или предоставлению информации в электронной форме для защиты отправителя от ложного отрицания получателем того, что конкретные данные были получены, или для защиты получателя от ложного отрицания отправителем того, что конкретные данные были отправлены. Риск отрицания совершения операций (еще один вид банковского риска?) стал реальностью в обычных транзакциях, осуществляемых посредством кредитных карточек; в то же время ТЭБ повышает этот риск ввиду сложности положительной аутентификации идентичности и полномочий тех, кто инициирует транзакции (имея в виду прежде всего ПОД/ФТ в широком смысле) «возможностей воздействия на электронные транзакции и их перехват, а также возможностей для пользователей технологий электронного банкинга» заявлять, что имело место мошенническое воздействие на их транзакции. Чтобы парировать новые угрозы такого рода, приходится предпринимать усилия, соразмерные со значимостью и типами транзакций в рамках электронного банкинга, и обеспечивать:

разработку систем электронного банкинга таким образом, чтобы понизить вероятность инициирования авторизованными пользователями «непреднамеренных» транзакций, и полное понимание клиентами тех рисков, которые связаны с любыми инициируемыми ими транзакциями;

точную аутентификацию всех участников конкретной транзакции и поддержание контроля над аутентифицированным каналом взаимодействия;

защиту данных о финансовых транзакциях от воздействия извне и обнаружение любых воздействий такого рода.

Принцип 6. Необходимо гарантировать наличие должных мер по адекватному разделению обязанностей в системах баз данных и прикладных программных комплексах электронного банкинга.

«Разделение обязанностей представляет собой основную меру внутреннего контроля, предназначенную для уменьшения риска мошенничества в операционных системах и процессах, а также обеспечения должной авторизации, фиксации и защищенности транзакций и активов своих компаний. Разделение обязанностей является критичным для гарантирования точности и целостности данных и используется для предотвращения проникновения злоумышленников. Если обязанности разделены правильно, то мошенничество может быть совершено только на основе тайного сговора».

Обслуживание в рамках электронного банкинга может привести к необходимости изменения способов, которыми осуществляется и поддерживается разделение обязанностей, поскольку транзакции выполняются через автоматизированные системы, в которых действующих лиц легче замаскировать или подменить. Поэтому «в типичную практику организации и поддержания разделения обязанностей в системах электронного банкинга входят»:

разработка транзакционных процессов и систем таким образом, чтобы гарантировалась невозможность ввода, авторизации и завершения транзакций для работников банка или провайдера заказных услуг;

соблюдение разделения функций между теми, кто работает со статичными данными (включая содержание web-страниц), и теми, кто отвечает за верификацию и целостность данных;

тестирование систем электронного банкинга на предмет проверки невозможности обхода установленного разделения обязанностей;

соблюдение разделения функций между теми, кто разрабатывает, и теми, кто администрирует системы электронного банкинга.

Принцип 7. Необходимо обеспечивать наличие должных средств авторизации и полномочий доступа для систем, баз данных и приложений электронного банкинга.

Для поддержания разделения обязанностей кредитным организациям необходимо строго контролировать авторизацию и полномочия доступа. Недостатки в обеспечении адекватного контроля авторизации могут дать возможность отдельным лицам расширить свои права авторизации, обойти разделение функций и получить НСД к системам, базам данных и прикладным программам электронного банкинга, к которым они не допущены. В системах электронного банкинга права авторизации и доступа могут устанавливаться как централизованно, так и распределенным образом (причем и в ЛВС, и в ЗВС, а на современном уровне — и в трансграничных вариантах); соответствующие параметры обычно заносятся в базы данных, защита которых от внешнего воздействия или повреждения является принципиально необходимой для эффективного контроля авторизации.

Принцип 8. Необходимо обеспечивать наличие должных мер защиты целостности данных в транзакциях, записях и информации электронного банкинга.

Под целостностью данных понимается гарантия того, что передаваемая или хранимая информация не подвергалась неавторизованному воздействию. Недостатки в обеспечении целостности данных в транзакциях, записях и информации, являясь источниками компонентов банковских рисков, могут подвергнуть кредитные организации финансовым потерям. При сквозной обработке может быть затруднено своевременное обнаружение ошибок программирования или мошеннической деятельности на ранней стадии.

Поскольку данные об операциях электронного банкинга передаются по открытым телекоммуникационным сетям, транзакции подвержены дополнительным опасностям из-за искажения данных, мошенничества и воздействия на записи в базах данных. Поэтому необходимо обеспечивать использование должных мер, позволяющих удостовериться в точности, полноте и надежности транзакций и информации электронного банкинга, которые могут передаваться через Интернет или передаваться/храниться провайдерами по поручению кредитной организации. Типичные меры, применяемые для поддержания целостности данных в комплексах электронного банкинга, включают:

проведение транзакций электронного банкинга таким образом, чтобы гарантировалась их высокая устойчивость к внешним воздействиям на протяжении всего этого процесса;

хранение, предоставление и модификацию записей об операциях электронного банкинга таким образом, который обеспечивает их высокую устойчивость к внешним воздействиям;

разработку процессов обработки транзакций и хранения записей электронного банкинга таким образом, чтобы было фактически невозможно воспрепятствовать обнаружению неавторизованных изменений;

осуществление адекватной политики контроля над изменениями, включая процедуры мониторинга и тестирования, для защиты против любых изменений в СЭБ, которые могут из-за ошибочных или намеренных действий повредить средствам управления или нарушить целостность данных;

обнаружение любого воздействия на транзакции или записи электронного банкинга с помощью функций обработки транзакций, мониторинга и обеспечения сохранности данных.

Принцип 9. Банкам следует убедиться в формировании точных аудиторских записей по всем транзакциям электронного банкинга.

Удаленное предоставление финансовых услуг может затруднить кредитной организации внедрение и применение средств ВК и поддержание точных аудиторских записей, если то и другое не адаптировано к технологии электронного банкинга. Также может быть осложнено осуществление независимого аудита средств контроля, особенно в части критичных для операций электронного банкинга событий и прикладных программ. Это обусловлено тем, что многие, если не все записи о таких операциях и фиксации событий осуществляются только в электронной форме. «При определении ситуаций, в которых следует обеспечивать наличие точных аудиторских записей, учитываются следующие действия:

— открытие, изменение или закрытие счетов клиента,

— все транзакции, влекущие финансовые последствия,

— любая авторизация, модификация или аннулирование прав или полномочий доступа к автоматизированной системе».

Принцип 10. Банкам следует принимать должные меры для сохранения конфиденциальности важнейшей информации в области электронного банкинга, при этом меры для сохранения конфиденциальности должны быть соразмерны значимости информации, передаваемой и (или) хранимой в базах данных.

Конфиденциальность определяется БКБН как «уверенность в том, что важная информация остается частной в банке и не просматривается или не используется никем кроме тех, кто имеет на это право (авторизацию)». Внедрение ТЭБ приводит к появлению новых проблем с ОИБ для кредитной организации и ее клиентов, поскольку увеличивает возможности доступа к информации, передаваемой через открытые сети связи или хранимой в базах данных, со стороны неавторизованных лиц, или же использования ее такими способами, которые не предполагались предоставившим ее клиентом. Кроме того, указывается, что «использование услуг провайдеров может привести к раскрытию важнейших банковских данных посторонним».

Чтобы не возникало проблем с сохранением конфиденциальности важнейшей банковской информации в части электронного банкинга, «необходимо гарантировать, что:

доступ ко всем конфиденциальным банковским данным и информации возможен только для должным образом авторизованных и аутентифицированных лиц, агентов или систем;

для всех конфиденциальных банковских данных в процессе передачи через открытые, частные или внутренние сети связи обеспечивается безопасность и защита от несанкционированного просмотра или изменения;

в случаях использования заказной обработки обеспечивается соответствие стандартам и способам контроля банка над использованием данных и их защитой при получении доступа к этим данным сторонних организаций;

весь доступ к данным ограниченного использования фиксируется и приняты необходимые меры по защите журналов регистрации доступа к этим данным от внешнего воздействия».

Принцип 11. Необходимо убедиться, что на web-сайтах представлена правильная информация, позволяющая потенциальным клиентам банка сделать обоснованные заключения относительно самого банка еще до проведения транзакций через систему электронного банкинга.

Как поясняется в комментариях к этому принципу, руководству кредитной организации необходимо до начала ДБО обеспечить полноту и достоверность информации, представляемой на используемых кредитной организацией web-сайтах. «В число примеров информации, которую банк может представить на своем web-сайте, входят:

название банка и сведения о местоположении его головного офиса (а также региональных офисов, если они существуют);

указание на основной орган (или органы) надзора за банком, ответственный за осуществление надзора за головным офисом банка;

способы контакта клиентов банка с его центром обслуживания клиентов, решающим проблемы с услугами, рассматривающим жалобы, подозрения в неправомочном использовании счетов, и т. п.;

способы контакта клиентов и общения с соответствующим наблюдательным органом или структурами, отвечающими за определение правил обслуживания потребителей;

способы получения клиентами доступа к информации о возможных государственных компенсациях или страховом покрытии депозитов, а также об уровне защиты, который ими обеспечивается (или же указание на web-сайт с такой информацией);

другая информация, которая может быть полезна или затребована в рамках конкретных юрисдикций».

Надо отметить, что эта проблематика изучалась Банком России в связи с большим количеством недостатков в предоставлении кредитными организациями информации на своих представительствах в Сети, что выразилось в разработке Указания оперативного характера от 3 февраля 2004 г. № 16-Т «О Рекомендациях по информационному содержанию и организации web-сайтов кредитных организаций в сети Интернет», где тематика определения содержания и организации web-сайтов, используемых в банковской деятельности, была раскрыта существенно шире, чем предлагалось БКБН в комментариях к этому принципу; в 2009 г. этот документ был заменен письмом с аналогичным названием. Сами факты размещения неполной и недостоверной информации на web-сайтах кредитных организаций свидетельствуют о том, что руководство этих организаций не формировало специального внутрибанковского процесса при выходе их в Сеть (на самом деле в оптимальном варианте организации банковской деятельности в рамках ДБО такой процесс должен был бы формироваться еще до открытия кредитной организацией своего первого web-сайта), вследствие чего возникали компоненты правового и репутационного рисков. Такие компоненты могут негативно повлиять на имидж кредитной организации, результатом чего обычно становится упущенная выгода.

Принцип 12. Необходимо принимать должные меры в обеспечение гарантии конфиденциальности для клиентов, применимые в той юрисдикции, в пределах которой данный банк предоставляет услуги и виды обслуживания, относящиеся к электронному банкингу.

В комментариях к этому принципу БКБН подчеркивает, что «ненадлежащее использование или неавторизованное раскрытие конфиденциальных клиентских данных подвергает банк как правовому, так и репутационному риску». К этому стоит добавить, что если причиной этих негативных явлений оказываются такие недостатки во внедренной кредитной организацией ТЭБ или в реализующей ее СЭБ, которые изначально трудно предвидеть, то к указанным рискам могут добавиться компоненты операционного и стратегического рисков (в их взаимосвязи).

Далее в рассматриваемом документе говорится о том, что «для решения проблем, относящихся к сохранению конфиденциальности клиентской информации, банкам следует прилагать разумные усилия по обеспечению того, чтобы:

в политике и стандартах банка, описывающих соблюдение конфиденциальности для клиента, были учтены и соблюдены требования всех законов и правил, касающихся конфиденциальности и применимых в пределах той юрисдикции, в рамках которой предоставляются услуги и виды обслуживания, относящиеся к электронному банкингу;

клиенты были поставлены в известность о политике соблюдения конфиденциальности банком и соответствующих вопросах соблюдения конфиденциальности, относящихся к использованию услуг и видов обслуживания по электронному банкингу;

клиенты могли отклонять („вычеркивать“) разрешения на предоставление банком третьим сторонам в целях перекрестного маркетинга любой информации о персональных потребностях, интересах, финансовом положении или банковской деятельности клиента;

клиентские данные не использовались для целей, выходящих за пределы того, для чего их разрешено использовать, или вне целей, которые были авторизованы клиентом.

Стандарты банка в отношении использования клиентских данных соблюдались при доступе третьих сторон к клиентским данным на основе отношений в рамках заказной обработки».

Принцип 13. Следует эффективно планировать производительность, непрерывность бизнеса и реакцию на непредвиденные события в обеспечение доступности систем и обслуживания в части электронного банкинга.

В соответствующем комментарии указывается, что «каждый конкретный банк должен обладать возможностями предоставления услуг в рамках электронного банкинга конечным пользователям со стороны как первичного их источника (например, внутренних систем и прикладных программ банка), так и вторичного (например, систем и прикладных программ провайдеров тех или иных услуг). Поддержание требуемой доступности зависит также от способности резервных систем обеспечения непрерывности функционирования парировать атаки типа отказа в обслуживании или другие события, которые потенциально могут вызвать прерывание деловых операций». Примеры, которые были приведены в главе 2, подтверждают положения о том, что «проблема поддержания непрерывной доступности систем и приложений электронного банкинга может оказаться значимой с учетом возможного высокого спроса на проведение транзакций, особенно в периоды пиковой нагрузки. Кроме того, высокие ожидания клиентов относительно короткого цикла обработки транзакций и постоянной доступности „24 × 7“ также повысили важность надежного планирования производительности, непрерывности деловых операций и реакции на непредвиденные ситуации».

В связи с изложенным «для обеспечения такой непрерывности обслуживания клиентов в рамках электронного банкинга, которую они ожидают, банкам необходимо гарантировать, что:

существующая в настоящий момент производительность системы электронного банкинга и ее перспективная масштабируемость анализируются с учетом общей динамики данного рынка электронной коммерции, а также предполагаемого темпа восприимчивости клиентами услуг и видов обслуживания в области электронного банкинга;

оценки производительности обработки транзакций в рамках электронного банкинга сделаны, проверены при максимальной нагрузке и периодически пересматриваются;

имеются в наличии и регулярно проверяются соответствующие планы по поддержанию непрерывности деловых операций и действий при непредвиденных обстоятельствах для критических систем обработки и доведения услуг в рамках электронного банкинга».

Принцип 14. Следует разработать должные планы реагирования на случайные происшествия для выявления, учета и минимизации проблем, обусловленных неожиданными событиями, включая внутренние и внешние атаки, которые могут ухудшить обеспечение систем и видов обслуживания в рамках электронного банкинга.

Эффективные механизмы реагирования, как сказано в тексте, «на случайные происшествия» являются принципиально важными для минимизации уровней как минимум операционного, правового и репутационного рисков (а в связи с ними, возможно, и стратегического риска), обусловливаемых неожиданными, хотя и предсказуемыми событиями, такими как внутренние и внешние сетевые атаки, которые могут оказать влияние на функционирование систем и предоставление услуг электронного банкинга. Поэтому указывается, что «банкам следует разработать соответствующие планы реагирования на случайные происшествия, включая стратегию обеспечения связи, которая гарантирует непрерывность деловых операций, контроль над репутационным риском и ограничивает обязательства, ассоциируемые с прерыванием осуществляемого ими обслуживания в рамках электронного банкинга, включая те, которые связаны с использованием систем и операций в рамках заказной обработки».

В связи с изложенным выше кредитным организациям целесообразно в обеспечение «эффективного реагирования на непредвиденные происшествия сформировать:

планы реагирования на происшествия, описывающие восстановление систем и обслуживания в области электронного банкинга для различных сценариев, деловых операций и географических зон. Анализ сценариев развития событий должен включать рассмотрение вероятности возникновения риска и его влияния на конкретный банк. Системы электронного банкинга, которые переданы сторонним провайдерам услуг, должны учитываться в таких планах, как неотъемлемая часть;

механизмы оперативного выявления происшествий или кризисных ситуаций, оценивания их материального эффекта и контроля над репутационным риском, ассоциируемым с любым прерыванием в обслуживании;

стратегию обеспечения связи для адекватного реагирования на внешние проблемы рыночного или информационного характера, которые могут возникнуть в случае нарушений безопасности, онлайновых атак и (или) отказов систем электронного банкинга;

четкий процесс, организованный для уведомления соответствующих регулятивных органов в случае происшествий, связанных с реальным ущербом безопасности или прерыванием работы;

группу реагирования на происшествия, наделенную полномочиями экстренного реагирования и имеющую достаточную подготовку в части анализа систем выявления/парирования происшествий и оценивания значимости связанных с ними результатов;

четкую последовательность обязательных действий, охватывающую как внутренние, так и заказные операции, чтобы гарантировать, что осуществляются должные действия, соответствующие значимости происшедшего. Кроме того, следует разработать процедуры распространения сведений, а также учесть информирование совета банка в случае необходимости;

процесс, гарантирующий, что все имеющие отношение к делу внешние участники, включая клиентов банка, контрагентов и информационные органы, будут правильно и своевременно информированы о реальных прерываниях в операциях электронного банкинга и о работах по восстановлению данной деятельности;

процесс для сбора и накопления учитываемых в судебных разбирательствах свидетельств, в обеспечение должного последующего анализа любого происшествия в связи с операциями электронного банкинга, а также для содействия судебному преследованию нарушителей».

В приложениях к рассмотренному документу БКБН приводятся рекомендации по внедрению описанных принципов и практические примеры надежной организации:

— в помощь обеспечению безопасности операций электронного банкинга;

— при управлении внешними системами электронного банкинга и другими зависимостями от сторонних организаций;

— управления внешними системами электронного банкинга и другими зависимостями от сторонних организаций;

— обеспечения наличия точных аудиторских записей для транзакций, осуществляемых в рамках электронного банкинга;

— обеспечения конфиденциальности клиентской информации в рамках осуществления электронного банкинга;

— и правильной организации планирования производительности, непрерывности операций и действий в случае чрезвычайных обстоятельств.

Эти примеры, как и содержание самого материала, могут быть использованы руководством и персоналом высокотехнологичных кредитных организаций для усовершенствования УБР и снижения их уровней, а следовательно, для повышения технологической надежности банковской деятельности.

Аналогичный, но более детализированный подход использован в упоминавшемся в начале книги Письме 36-Т, где в разделе 1 определены семь основных целей разработки рекомендаций Банка России (п. 1.2), непосредственно относящихся к гарантиям надежности банковской деятельности и касающиеся базовых характеристик банковской деятельности, а именно, обеспечения:

«надежного дистанционного банковского обслуживания с применением систем интернет-банкинга, отвечающего требованиям клиентов кредитной организации в части доступности, функциональности и защищенности операций и данных интернет-банкинга;

соответствия дистанционного банковского обслуживания с применением систем интернет-банкинга требованиям законодательства Российской Федерации, в том числе нормативных актов Банка России, по вопросам банковской деятельности и управления банковскими рисками;

информационной безопасности систем интернет-банкинга, в том числе защиты информационных ресурсов кредитной организации от неправомерного доступа с применением интернет-технологий;

контроля за банковскими операциями, осуществляемыми клиентами с применением систем интернет-банкинга, в рамках системы внутреннего контроля кредитной организации;

противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, а также исключению вовлечения кредитной организации в противоправную деятельность при использовании дистанционного банковского обслуживания с применением систем интернет-банкинга;

достоверности, полноты и своевременности учета данных об осуществлении банковских операций с применением систем интернет-банкинга;

поддержания уровней банковских рисков, связанных с дистанционным банковским обслуживанием с применением систем интернет-банкинга, в пределах, установленных кредитной организацией».

Там же, в разделе 4, определяется минимально необходимый состав внутрибанковских документов, в которых целесообразно постулировать основные принципы УБР, непосредственно связанные с применением ДБО. Прежде всего внимание специалистов кредитных организаций обращается на то, что целесообразно определить (описать) все технологические участки информационного контура интернет-банкинга, подлежащие учету при адаптации управления рисками банковской деятельности в новых условиях (п. 4.1). Также желательно проанализировать содержание организационного и информационного взаимодействия с клиентами и провайдерами кредитной организации, с позиций учета потенциальных источников этих рисков в случае наличия недостатков в этом содержании. Наконец, уместно оценить зависимость состава факторов и источников риска для кредитной организации от функционирования комплекса АПО ДБО. Считается, что подобный анализ позволит выделить как минимум основные потенциальные уязвимости кредитной организации, которые могут потребовать введения дополнительного управленческого контроля в обеспечение надежной банковской деятельности.

Принципиально важными в этом плане являются следующие три основных положения, которые, впрочем, могут учитываться и безотносительно организации УБР в условиях ДБО:

1) организация каждого внутрибанковского процесса должна предваряться и по мере его развития сопровождаться разработкой документов, описывающих содержание и регламентирующих данный процесс;

2) каждый внутрибанковский документ должен иметь официальный статус, определяющий место и роль конкретного документа в кредитной организации и в отношении точно определенного процесса;

3) каждый внутрибанковский документ должен быть доведен до всех участников процесса, который данный документ регламентирует и (или) описывает, при этом знание содержания каждого документа должно подтверждаться.

Что касается содержания внутрибанковских документов, в той или иной степени имеющих отношение к организации управления рисками банковской деятельности, то оно конкретизировано (не имея в виду некий «диктат» названий, но именно смысловое содержание) в части ряда основных внутрибанковских процессов, имеющих прямое отношение к проблематике ДБО (кстати, впервые в российской истории банковского регулирования).

В заключение рассмотрения Письма 36-Т важно заметить, что в его раздел 5 сведено описание состава информационных компонентов, которые руководству кредитной организации, переходящей к ДБО, целесообразно было бы включить в состав своей ПСУ, с тем чтобы гарантировать высокое качество решений, принимаемых в отношении применения ТЭБ и контроля функционирования соответствующей СЭБ. Естественно, списки информационных компонентов, приведенные в каждом из подразделов, кредитная организация должна «примерить на себя», чтобы обеспечивалась необходимая ей ППР. На таких принципах, кстати сказать, строятся как системы ППР, так и так называемые «экспертные системы», используемые в банковской деятельности и в банковском контроле за рубежом.

Для оценки состояния УБР и качества реализующего его внутрибанковского процесса (или степени развития, как это определено в главе 3 этой книги) может быть использована простая рейтинговая система, популярная в Западной Европе, в соответствии с которой установлены следующие градации (оценки степени развития от 1 до 5, сверху вниз):

1-й, низший уровень устанавливается в том случае, если официально принятого в кредитной организации подхода к УБР не существует, т. е. соответствующий процесс как таковой отсутствует. Такая ситуация свойственна практически всем малым кредитным организациям и многим средним. На 2-м уровне представление об исках и их основных видах существует, однако систематический подход к УБР отсутствует и, как это часто бывает, проблемы не предвидятся, а «решаются» по мере их возникновения. При этом нет и устоявшихся подходов к поиску подобных решений, так что ситуация с процессом УБР такая же, как в первом случае. Уровень 3 означает, что в организации имеются документы, содержащие определения банковских рисков, и они доведены до ее персонала, при этом могут делаться попытки установить границы или уровни допустимых рисков. В то же время систематический подход отсутствует в том плане, что результаты УБР зависят от ответственных за процесс сотрудников, а руководящая роль высшего менеджмента «не ощущается». На уровне 4 подход к УБР разработан и реализуется в форме типовых схем предупреждения появления источников компонентов банковских рисков, их выявления и компенсации негативного влияния. Тем не менее этот подход внедрен не во все внутрибанковские процессы, из-за чего отдельные инциденты время от времени происходят, но после их ликвидации принимаются корректирующие меры в отношении тех или иных внутрибанковских процессов. Наконец, 5-й уровень характеризуется наличием развитой системы УБР, которая внедрена на базе процесса ВК во все внутрибанковские процессы через службу внутреннего контроля (СВК). При этом реализована модель пруденциальной организации УБР с использованием превентивного анализа и упреждающей адаптации внутрибанковских процессов при внедрении новых банковских информационных технологий, а также оценкой эффективности этого процесса.

Для российских кредитных организаций типичным пока что является уровень 3, хотя некоторые крупные, работающие в течение длительного времени, организации приближаются к 4-му уровню. То же самое можно сказать о дочерних кредитных организациях зарубежных коммерческих банков, хотя в них ситуация двоякая: обычно внедрены документы головной организации, но реализация их пока отстает. По аналогии с градациями процессного подхода можно было бы предложить и 6-й уровень, имея в виду внедрение автоматизированных процедур для УБР и соответственно постоянного совершенствования этого процесса, однако, такое описание явно преждевременно.

В рекомендациях органов банковского регулирования и надзора США (в частности ОСС) описана система оценивания рисков, которая предназначена для использования инспекторами, проверяющими коммерческие банки, и которая может быть использована в тех же целях службами внутреннего контроля и аудита самих банков’. Считается, что она позволяет единообразно оценивать девять основных банковских рисков (о которых шла речь в главе 2), а также определять, в каких случаях типовые процедуры оценивания уровней рисков следует расширить. Для большинства из этих рисков (за исключением репутационного и стратегического) рекомендуется оценивать так называемое «количество риска» (quantity of risk), качество управления риском (quality of risk management), уровень агрегированного риска (aggregate risk) и тенденцию изменения риска (direction of risk). Эта система была разработана для содействия инспекторам в определении степени рискованности банковской деятельности и принятии решений относительно степени и вида перспективного «надзорного внимания» к коммерческим банкам. В рамках этой системы профиль риска банка формируется по следующим «четырем измерениям», каждое из которых влияет на стратегию надзора (в данном случае ВК).

Количество риска — это уровень или масштаб того риска, который банк принимает на себя, и характеризуется как низкий (low), средний (moderate) или высокий (high) [129]Перевод наименований уровней унифицирован в соответствии с таблицей агрегированного риска на рис. 5.
.

Качество управления риском — это оценка того, насколько хорошо риски идентифицируются, измеряются, управляются и контролируются, она характеризуется такими понятиями, как высокое (strong), среднее (satisfactory) и низкое (weak).

Агрегированный риск — это итоговая оценка относительно степени надзорного (контрольного) внимания. В нее входят суждения относительно количества риска и качества управления риском (инспектора присваивают весовые оценки каждому из них). Такой риск оценивается как низкий (low), средний (moderate) или высокий (high).

Тенденция изменения риска — это возможное изменение агрегированного уровня риска в течение следующих 12 месяцев, она характеризуется как снижение, стабильность или возрастание. Если уровень риска оценивается как снижающийся, то инспектор (читай — ВК) предполагает снижение уровня агрегированного риска в течение следующих 12 месяцев. Если уровень риска стабильный, то инспектор предполагает, что агрегированный риск останется неизменным. Если уровень риска возрастает, то инспектор предполагает повышение агрегированного риска в течение следующих 12 месяцев.

В качестве примера итогового оценивания уровней банковских рисков инспекторами, проверяющими коммерческие банки, можно привести таблицу из Community Bank Supervision. Comptroller's Handbook. ЕР-CBS, в которой объединены экспертные заключения относительно ситуации с операционным риском (табл. 5.1; в заголовках столбцов показаны оценки уровня риска, под ними — выводы, лежащие в их основе; стилистика формулировок и терминология сохранены).

Таблица 5.1

Индикаторы количества операционного риска

Аналогичные оценки и инспекционные заключения для качества управления операционным риском в кредитной организации сведены в следующую табл. 5.2.

Таблица 5.2

Аналогичные таблицы составлены для всех остальных банковских рисков. Для получения каждого из итоговых экспертных заключений используется заданный набор предварительных выводов по каждому оцениваемому показателю (индикатору), эти наборы здесь не рассматриваются ввиду объемности цитированного материала. В целом банковская организация надзора на основе рисков в США строится циклически, в соответствии с принятой системой оценивания рисков, и представлена на рис. 5.3 (где показана также матрица рисков, приведенная в виде табл. 2.1). Этот подход к оцениванию рисков банковской деятельности прошел длительную проверку временем, автоматизирован и считается эффективным.

Суждение о том, может ли «количество риска» считаться удовлетворительным или нет, зависит от того, насколько системы управления рисками в банке способны обеспечивать выявление, измерение, мониторинг принимаемого риска и управление им. При этом подчеркивается, что «уровни риска и качество управления риском должны оцениваться независимо», т. е. при присвоении конкретных отдельных рейтинговых оценок по системе оценивания рисков оценка уровня банковского риска не должна зависеть от оценки качества управления им независимо от того, считается оно высоким или низким. Кроме того, «высокие показатели по обеспечению капиталом не должны маскировать неадекватную систему управления рисками», поэтому не следует считать, что «высокие» уровни риска плохи сами по себе, а «низкие» хороши: «оценка уровня риска просто отражает то, какой риск банк принимает в ходе своей банковской деятельности. Оценка уровня считается хорошей или плохой в зависимости от того, насколько система управления рисками банка способна идентифицировать, контролировать риск такого уровня и управлять им». Приведенная цитата имеет прямое отношение к применению электронного банкинга ввиду того, что применение любой ТЭБ может рассматриваться как рискованное для банковской деятельности, хотя такая точка зрения, по-видимому, является упрощенной, поскольку зависит от «степени пруденциальности» условий этого применения.

В качестве примера — в связи с применением технологии интернет-банкинга — достаточно совершить короткий экскурс в историю возникновения и развития Интернета и сопоставить основные выводы из нее с реалиями ДБО через соответствующую сетевую среду. По версии, излагаемой во многих публикациях, история эта началась в 1962 г. во время интенсивной «холодной войны», которая велась так называемыми «западным миром» и «советским блоком». Тогда военные специалисты Пентагона, разрабатывавшие сценарии обмена атомными ударами между участниками уже не «холодного», а «горячего» конфликта, пришли к выводу, что в случае реализации «Советами» некоторых удачных сценариев ведения боевых действий управление войсками «Запада» может быть потеряно. Тогда было выработано простое предложение — воспользоваться в военных целях гражданскими сетями связи, которых к тому времени в США было уже довольно много: правительственные учреждения, финансовые и медицинские корпорации, университеты и другие организации сформировали развитую сетевую инфраструктуру, основанную на проводных, оптоволоконных, радиорелейных и даже спутниковых каналах связи. Очень быстро выяснилось, что эта идея нереализуема, поскольку все сети связи были созданы разными компаниями, базировались на разных аппаратно-программных платформах и работали под управлением несовместимых протоколов.

Вследствие этого к 1964 г. сформировались и были практически воплощены (в виде армейской сети связи ARPANET) две базовые идеи «Открытой информационной системы» и «Универсального протокола взаимодействия». Первая идея предполагала обеспечение возможностей для прохождения потоков данных в условиях изменения конфигурации вычислительной сети: даже если какие-то сегменты сетевой структуры выходили из строя или, наоборот, подсоединялись к некоей базовой сетевой структуре, то данные все равно попадали бы «из пункта А в пункт Б» за счет использования маршрутизации без какого-либо ущерба их целостности. Вторая идея предполагала возможность передачи потоков данных между любыми вычислительными сетями за счет использования универсального набора правил передачи из одной сети в другую через шлюзовые элементы. Соответственно перестало иметь значение, на каких средствах и как именно реализована архитектура вычислительной сети, поскольку потоки данных этой специфики «не замечали» и взаимодействие между сетями (Inter-Net) обеспечивалось.

Таким образом достигались необходимые связность и доступность в киберпространстве (которое реализацией описанных идей и было сформировано), что привело к бурному развитию интернет-технологий, вследствие чего до настоящего времени зависимость вычислительных сетей от интернет-технологий растет. Однако довольно быстро стало очевидным, что в условиях «связности и доступности» практически любой современный бизнес оказывается под угрозой, если в его организации не учтены ключевые аспекты информационной безопасности и защиты информации, особенно при вхождении Интернета в бизнес-инфраструктуру. К сожалению, это явилось прямым следствием противоречия между техническим прогрессом и пресловутым человеческим фактором, о чем удачно было сказано в одной из статей, напечатанных в североамериканском журнале «Atlantis Rising»: «Если вы работаете в системе, основанной на честности, целостности, открытости и ясности, а в ней имеются люди, которые действуют вразрез с этими принципами, то их нельзя уличить. Все они вне подозрений». Имеется в виду, что в банковском бизнесе далеко не каждый из участников сетевого взаимодействия может иметь доступ и не ко всем информационным ресурсам (активам). Поэтому при внедрении такой СЭБ, как система интернет-банкинга, необходимо осознавать неизбежно присущие этой ТЭБ факторы риска, заложенные в ее идеологии, почему вопросы ОИБ и защиты информационных активов и стали весьма актуальными на фоне всеобщей эйфории применения в банковском деле интернет-технологий (способов межсетевого информационного взаимодействия), о чем говорилось в главе 1.

На самом деле ничего особенного в применении специальных защитных мер в описанных условиях нет; было бы странно, если бы удалось обойтись без них, и не только в банковском деле, но и в военном. Важно в любом варианте реализации ТЭБ кредитными организациями анализировать их особенности, прямо связанные с организационно-техническими решениями. В качестве примера можно привести варианты реализации интернет-банкинга.

Информационный — в этом варианте кредитная организация использует свой или сторонний web-сайт просто для того, чтобы «привлечь к себе внимание», разместив на нем информацию, включающую ее реквизиты, описания услуг, указание тарифов, рекламу и т. п. Принято считать (конечно, необоснованно), что такой вариант выхода в Сеть является безрисковым, поскольку в большинстве случаев физические связи между web-сайтом и вычислительной сетью кредитной организации отсутствуют. В тоже время, очевидно, что любой web-сайт представляет собой объект для хакерской атаки, вследствие которой он может быть блокирован, его функционирование может оказаться нарушено, его контент изменен и т. п. В книге /. Crume Inside Internet Security приведен пример результативной атаки хакеров на web-сайт Центрального разведывательного управления США, которые на его стартовой странице разместили надпись «Центральное управление идиотов». В случае российских кредитных организаций проявляется эффект так называемой «недобросовестной конкуренции», которая приводит к размещению на атакуемых web-сайтах антирекламы, порочащих гиперссылок, баннеров порносайтов или казино и т. п. Поэтому даже в таком простейшем «информационном варианте» возможно возникновение компонентов репутационного и правового рисков, о чем руководство кредитной организации должно бы задуматься и организовать для сопровождения и контроля функционирования своих web-сайтов специальный внутрибанковский процесс (затрагивающий несколько подразделений и требующий документарного обеспечения).

Коммутационный — в этом варианте кредитная организация помимо предоставления информации о себе обеспечивает обмен информацией с клиентами, которые могут направлять ей сведения о себе, например об изменении адресных данных или реквизитов, передавать запросы, получать файлы форм или бланков и т. п. В таких случаях могут иметься физические связи между ее web-сайтом и ЛВС, вследствие чего руководству этой организации целесообразно обратить дополнительное внимание на противодействие реализации НСД, усиление антивирусной защиты и т. п., что требует организации дополнительных внутрибанковских процедур.

Операционный (транзакционный) — в этом варианте кредитная организация реализует ДБО с возможностью управления клиентом своими счетами (даже в масштабе времени, близком к реальному, из-за чего и возникло упоминавшееся ранее понятие «сквозной обработки»), Очевидно, что при таком варианте руководство кредитной организации должно уделять наиболее серьезное внимание вопросам ОИБ, поскольку могут возникать сетевые связи между «фронт-офисом» (перемещающимся в клиентскую зону концентрации источников риска) и ее «бэк-офисом», а значит, и последствия реализации компонентов банковских рисков могут оказаться также самыми серьезными.

В двух последних вариантах интернет-банкинга возможна реализация компонентов всех пяти типичных банковских рисков, о которых шла речь в главе 2, естественно, в тех случаях, когда содержанию процесса УБР, составу его процедур и связанных с ним внутрибанковских процессов руководством кредитной организации должного внимания не уделяется.

Обычно предполагается — и в этом выражается позиция как БКБН, так и североамериканских органов банковского регулирования и надзора, — что инициатива в образовании, реализации и контроле процедур такого рода (в свою очередь складывающихся во внутрибанковские бизнес-процессы) идет от органов управления кредитной организации. В то же время само проявление такой инициативы непосредственно связано со специфическими знаниями и квалификационными требованиями: их наличие как раз и выражается в осознании описанной проблематики. В части ДБО это относится как минимум к вопросам архитектуры и «физического» построения распределенных компьютерных систем и вычислительных сетей, контроля их функционирования, ОИБ, ВКи ФМ в кредитной организации. Тем самым предполагается наличие в составе органов управления кредитной организации, как подчеркивалось, специалистов с соответствующей квалификацией или, как отмечает БКБН, наличие в ней комитета, сформированного из специалистов, способных решать задачи по направлению ДБО.

Основной же проблемный фактор для кредитных организаций, осуществляющих процесс УБР в условиях применения ТЭБ и контроля над ним, заключается в том, что из-за различий в ее практической реализации возникает необходимость в точном учете конкретного состава реально действующих факторов и источников рисков в каждом отдельном случае. Из-за этого методика осуществления УБР оказывается заведомо индивидуальной для каждой кредитной организации, переходящей к ДБО. Следствием же этого становится необходимость тесного взаимодействия со службой УБР как минимум следующих подразделений кредитной организации: ИТ, ОИБ, ВК и ФМ, а также ее юридического обеспечения, сервис-центра и, возможно, операционных подразделений (в зависимости от установленного в кредитной организации распределения функций, обязанностей и ответственности). Работе этих подразделений и специфике, привносимой в ее организацию и содержание технологиями электронного банкинга, посвящены все следующие параграфы.

 

5.3. Адаптация информатизации банковской деятельности

Основное, что требуется для получения гарантий надежного и безопасного использования любой новой ИТ, — это обеспечение необходимой профессиональной квалификации и технической документации на реализующую ее АС. В условиях применения электронного банкинга, впрочем, к этому требованию добавляется понимание причин возникновения и особенностей реализации новых факторов и источников компонентов банковских рисков (включая ликвидацию «квалификационного разрыва», о котором говорилось ранее). Адаптация схемотехнического описания распределенных компьютерных систем и вычислительных сетей кредитной организации, включая ее филиалы и дополнительные офисы, задействованные в ИКБД, также имеет циклический характер. Это понимание целесообразно отразить во внутренних документах кредитной организации, например в таком, как «Политика внедрения и развития информационных технологий и автоматизированных систем», которая утверждается высшим руководством организации.

В соответствии с положениями такого документа при каждом внедрении новой ТЭБ логично предположить «запуск» очередного витка ЖЦ информатизации банковской деятельности с ее документарного обеспечения. Чрезвычайно полезно начинать его обновление с составления для каждого вновь формируемого канала доступа извне к информационно-процессинговым ресурсам кредитной организации схемы (диаграммы) потоков данных и их описания (включая узлы приема/передачи, обработки, хранения массивов данных, обозначения сетевых адресов и портов и т. п. — всего, что входит в топологию вычислительной сети). Зачастую эти элементарные (хотя и достаточно трудоемкие) мероприятия игнорируются, вследствие чего вся информация о размещении сетевых ресурсов и их функционировании хранится только в головах ответственных исполнителей. Такие ситуации представляют собой один из основных факторов риска для надежной работы БАС и СЭБ кредитной организации, особенно при наличии текучки кадров или образовании чрезмерной концентрации полномочий у каких-либо исполнителей в подразделении ИТ или ОИБ.

При принятии решения о переходе к ДБО клиентов руководителям и специалистам кредитной организации целесообразно проектировать и заранее закладывать в систему ДБО возможности ее масштабирования и повышения производительности, поскольку, как показывает практика, удачный с потребительской точки зрения вариант ДБО быстро приводит к резкому увеличению численности клиентуры, которая переходит к его использованию, а также объемов запрашиваемых ею банковских операций и сопутствующей информации. Одновременно возрастают финансовые потоки, управляемые дистанционно, — в то же время практика свидетельствует и о том, что немало кредитных организаций при развитии своего бизнеса в направлениях ДБО реально сталкиваются именно с нехваткой производительности СЭБ и БАС. В ряде случаев проблемы такого рода оказывается трудно решить не только без непредвиденных и заметных вложений в новое аппаратно-программное обеспечение, но также и без изменений в организационной структуре кредитной организации. Следствием этого, как правило, являются своего рода «наведенные» проблемы, возникающие одновременно с интеграцией новых систем ДБО с уже действующими операционными банковскими автоматизированными системами и системами информационного обеспечения руководства кредитной организации.

Степень зависимости результатов бизнеса от надежности компьютерных систем организации должна полностью осознаваться ее руководством и адекватно учитываться при распределении ресурсов. Важно отметить, что простое следование «требованиям времени», имея в виду наращивание кредитными организациями «технологических мышц», равно как и имиджевым соображениям, которые не обусловлены непосредственно стратегическим и бизнес-планами и т. п., скорее всего, приведет к реализации как компонентов операционного и стратегического риска (по минимуму), а если контроль над системами электронного банкинга окажется недостаточным, так и всех остальных из рассматриваемых здесь типичных банковских рисков. Такая ситуация хорошо иллюстрируется приведенной на рис. 5.4 карикатурой (с web-сайта ).

Типичными проблемными вопросами, долгое время не решаемыми во многих отечественных кредитных организациях, остаются:

отсутствие планирования информатизации (политики информатизации);

неадекватное распределение ресурсов (остаточный принцип);

нехватка квалифицированного персонала (слабое знание новых систем);

недопустимое совмещение обязанностей (концентрация полномочий);

недостатки сетевых архитектур (доступность, уязвимость и т. п.);

незнание технологий провайдеров (источников компонентов банковских рисков);

недостаточный внутренний контроль (нехватка совокупной квалификации).

Наличие недостатков такого рода в части применения кредитной организацией ИТ для автоматизации банковской деятельности свидетельствует о существовании для нее серьезных и неучтенных факторов возникновения источников компонентов банковских рисков.

В организации и обеспечении процесса использования ИТ в кредитной организации (в том числе его документарного обеспечения) многое зависит от того варианта, который был изначально принят для автоматизации банковской деятельности в качестве основного. Вариантов создания программно-информационных комплексов ДБО всего три, это:

1) оригинальный собственный комплекс кредитной организации;

2) заказная разработка специализированной компанией-вендором;

3) приобретение комплекса СЭБ, изготовленного «под ключ».

Различия в организации внутрибанковских процедур в связи с каждым из подходов приводят к вариациям в составах факторов возникновения и источников компонентов банковских рисков, что полезно учитывать при уточнении содержания связанных с применением ИТ внутрибанковских процессов, порядков и документарного обеспечения банковской деятельности прежде всего в плане обеспечения эффективного УБР. Здесь также возможны различия в решении вопросов контролируемости ИТ и компенсации зависимостей кредитной организации от сторонних компаний (если обобщенно рассматривать вендоров как разновидность провайдеров).

Естественно, в случае самостоятельной разработки БАС и СЭБ кредитная организация легче всего решает вопросы проектирования, основываясь на знании локальных условий персоналом, сопровождения, модернизации и во многом с ОИБ и контролем функционирования автоматизированных систем, а также их ПСИ. В то же время традиционные подходы к этим процессам часто связаны с тем, что происходит крайне нежелательное совмещение функций разработки и эксплуатации, управления и контроля, а также системного администрирования. С другой стороны, главной платой за этот подход являются расходы на содержание остаточно обширного штата специалистов высокой квалификации в области ИТ, что могут позволить себе далеко не все кредитные организации.

В случаях использования заказной разработки кредитная организация экономит на расходах на персонал, но попадает в известную зависимость от компании-разработчика, с которой ей приходится «выстраивать отношения», а значит, заботиться о подготовке исходных данных на разработку и согласование соответствующего технического задания, участвовать в обеспечении и организации ПСИ, а также в подготовке документации по их обеспечению и проведению (что является наиболее сложным после подготовки технического задания), равно как и решать вопросы модернизации автоматизированных систем или их замены по мере развития и усложнения бизнеса. К перечисленному добавляются организация и сопровождение договорных отношений, а также прогнозирование надежности вендора, поскольку в случае его ухода с рынка банковской автоматизации разработанная «под пожелания» заказчика АС останется без поддержки, а значит, и без развития и возможностей решения неотложных вопросов (например, разрешения чрезвычайных происшествий техногенного характера). Кстати сказать, все перечисленные функции требуют от персонала кредитной организации наличия и проявления достаточно высокой квалификации, хотя, конечно, далеко не в тех масштабах, что в предыдущем варианте.

Наконец, если АС приобретается кредитной организацией в готовом, «товарном» виде, то специалисты кредитной организации должны убедиться в том, что СЭБ точно соответствует потребностям банковской деятельности в варианте ДБО. Для этого необходимо не только наличие описания таких потребностей (что сродни подготовке исходных данных на разработку), но также изучение того, как были организованы и проводились ПСИ специалистами компании-разработчика, включая их программы и методики, протоколы и акты, контрольные примеры и тесты. Как и в предыдущем варианте, решать требуется и вопросы последующего сопровождения и модернизации СЭБ в процессе ее эксплуатации. Для того чтобы грамотно разобраться в этих вопросах, также требуется специальная квалификация. Кстати, для двух последних вариантов актуальной и очень сложной может оказаться задача подтверждения отсутствия в АС уже упоминавшихся ранее «недокументированных функций» («закладок»), хотя в отношении известной, зарекомендовавшей себя на рынке банковского АПО компании высказывание таких подозрений, скорее всего, окажется необоснованным.

Аналогичные вариации имеют место для размещения и сопровождения (ведения) web-сайтов, используемых в банковской деятельности (в широком смысле). Основные варианты включают:

подразделение информатизации кредитной организации;

аппаратный комплекс фирмы-разработчика web-сайта;

аппаратный комплекс компании-провайдера.

Имеются и другие варианты ДБО через компании-интеграторы, причем следует отметить, что отношения кредитной организации со сторонней компанией в каждом из них строится, как правило, индивидуальным образом, и специалисты ее подразделений — от ИТ, ОИБ, ВК до правового обеспечения — должны быть к этому готовы. Опять-таки размещение web-сайтов на средствах самой кредитной организации требует наличия квалифицированного персонала, владеющего web-технологиями, размещение на сторонних мощностях — детальной проработки текстов соответствующих контрактов.

В техническом плане надежность ДБО определяется прежде всего архитектурой и организацией резервирования компьютерных систем и каналов связи, входящих в ИКБД, в том числе находящихся вне кредитной организации. Не меньшее значение имеет применение средств сетевой и антивирусной защиты, а также так называемых систем «предотвращения вторжений» и систем «обнаружения вторжений», которые обозначаются преимущественно англоязычными аббревиатурами, соответственно, IPS и IDS, которые могут использоваться как порознь, так и в комбинации. Последние являются больше прерогативой подразделения ОИБ, хотя во многих российских кредитных организациях значительное количество функций ОИБ «исторически» выполняется их подразделениями ИТ, что в подавляющем большинстве случаев чревато повышением уровней компонентов банковских рисков, поскольку даже если специалисты ИТ имеют основательную подготовку в части ОИБ (а это все-таки не всегда так), то происходит чрезмерная концентрация полномочий высокого уровня в одном подразделении кредитной организации.

Руководству высокотехнологичной кредитной организации целесообразно уделять внимание ряду основных аспектов применения в ней информационных технологий, а именно: проектированию, созданию, обеспечению надежности, внедрению, эксплуатации, модернизации, замене банковских автоматизированных систем и систем электронного банкинга, управлению и контролю в области ИТ, а также квалификации персонала, решающего задачи применения ИТ для автоматизации банковской деятельности. Решение всех этих вопросов предпочтительно осуществлять в рамках ИСУ кредитной организации, которая одновременно служит целям контроля эффективности использования ИТ и автоматизированных систем. В отношении электронного банкинга для этого можно воспользоваться обобщенным подходом, к примеру, упомянутой в разделе 3 универсальной рейтинговой системой для информационных технологий (УРСИТ), которая была разработана органами банковского регулирования и надзора США в 1978 г. и модернизировалась до 1999 г., после чего используется, как считается, в «законченном» виде.

Создавалась УРСИТ Федеральным советом по проверкам финансовых учреждений, который является общим методическим органом для учреждений США, выполняющих регулятивно-надзорные функции в банковской системе, — основные из них: Федеральная резервная система (FRS), Управление контролера денежного обращения (ОСС) и Федеральная корпорация страхования депозитов (FDIC). В описании УРСИТ, официально зарегистрированной в США’, указано, что она «является… внутренней рейтинговой системой для проверок в рамках надзора… используемой для обеспечения однотипной оценки рисков, принимаемых финансовыми учреждениями и провайдерами услуг при использовании информационных технологий и выявления тех учреждений и провайдеров услуг, в отношении которых необходимо особое внимание со стороны надзора». В то же время такими разработками пользуются и коммерческие банки, и другие финансовые учреждения США.

Основная цель применения УРСИТ заключается в выявлении таких организаций, чьи состояние или работа в части выполнения функций, реализуемых информационными технологиями, требуют специального контроля со стороны надзора. Эта рейтинговая система помогает проверяющим в оценке риска и описании установленных в ходе проверки фактов, поэтому система включает описания так называемых «компонентных» и «суммарных» (композитных) рейтингов, а также идентификацию рисков и оцениваемых факторов, которые учитываются при присвоении компонентных рейтингов. В рамках УРСИТ любое из контролируемых (проверяемых) финансовых учреждений или провайдеров услуг получает композитную рейтинговую оценку, которая основана на оценивании и присваивании рейтингов четырем компонентам, характеризующим деятельность организаций в части ИТ. Этими компонентами являются, по сути, четыре внутренних процедуры в самой организации, а именно:

1) проведение аудита ИТ;

2) управленческая деятельность в части ИТ;

3) организация системных разработок и приобретений;

4) организация поддержки и сопровождения ИТ.

Как для суммарного, так и для компонентных рейтингов используются цифровые оценки в диапазоне от 1 до 5 (соответственно от наилучшего случая к наихудшему). Итоговый рейтинг ассоциирован со следующими экспертными оценками (формулировками):

1 — безупречное функционирование;

2 — надежное и устойчивое функционирование;

3 — требуется незначительное надзорное внимание;

4 — ненадежные и неустойчивые условия работы;

5 — критическая операционная ситуация.

Основным назначением суммарного рейтинга является идентификация тех финансовых учреждений и провайдеров услуг, которые обнаруживают слишком большую уязвимость к рискам, ассоциируемым с информационными технологиями. Поэтому отдельной подверженности риску, которая явно влияет на жизнеспособность данной организации и (или) ее клиентов, должен присваиваться более высокий весовой коэффициент в суммарном рейтинге.

Суммарный рейтинг получается посредством суммирования качественных оценок всех четырех компонентов. Между суммарным рейтингом и компонентными рейтингами функционирования существует связь, в то же время суммарный рейтинг не является арифметическим средним его компонентов. При использовании риск-ориентированного подхода простой арифметический расчет не отражает реального состояния ИТ. Любой низкий рейтинг одного компонента может сильно повлиять на общий суммарный рейтинг для того или иного учреждения. К примеру, если функция аудита реализуется неадекватно, то целостность автоматизированных систем как таковую нельзя с уверенностью подтвердить. Подходящим обычно оказывается значение суммарного рейтинга, не дотягивающее до удовлетворительного («3» — «5»), Таким образом, система УРСИТ имеет пирамидальную структуру, которая представлена на рис. 5.5. В его нижней части показана «плоскость рейтинговых компонентов», т. е. некая воображаемая область группирования первичных выводов, в которой овалы имеют условный радиус, равный 5, а радиальные линии представляют собой оси оценок. Пунктирами показаны своего рода конусы, сводящие компонентные рейтинги в значения суммарных рейтингов (собственно частные оценки не показаны, чтобы не загромождать рисунок, — предполагается, что это метки на радиусах, от которых отходят вверх линии «логических выводов»).

Можно обратить внимание на сходство представленной иллюстрации с конструкцией, изображенной на рис. 2.1, что свидетельствует о возможности объединения рассмотренных подходов.

Четыре основных компонента УРСИТ, определяемых так же, как основные составные части деятельности организаций в области ИТ — «Аудит», «Менеджмент», «Разработка и приобретения», «Поддержка и сопровождение», — используются для оценки так называемых «общих характеристик» функционирования организаций в части ИТ. Композитные рейтинги ИТ и каждый компонентный рейтинг определяются по шкале от 1 до 5 в нисходящем порядке по степени надзорного внимания:

1 представляет наивысший рейтинг и интерпретируется как наилучшее функционирование проверенной организации и управление в ней при достаточности наименьшего внимания со стороны надзора, тогда как 5 представляет самый низкий рейтинг и интерпретируется как наихудшее функционирование организации и управление в ней, требующее наибольшего внимания со стороны банковского надзора.

1. В части аудита рассматриваются:

— независимость;

— адекватность применяемой методики анализа риска;

— масштаб охвата;

— участие в разработках, закупках аппаратно-программных средств и т. п.;

— планирование аудиторских мероприятий;

— квалификация и компетентность специалистов;

— периодичность проведения и последующий контроль.

2. Оценка деятельности руководства кредитной организации осуществляется по следующим показателям:

— степень и качество наблюдения со стороны совета директоров и высшего руководства банка за информационными технологиями;

— планирование новых видов деятельности;

— реакция на изменяющиеся условия;

— организация внутренней отчетности и информирование руководства;

— адекватность внутренней политики банка и средств контроля;

— эффективность системы мониторинга рисков;

— содержание и качество договоров с провайдерами и клиентами.

3. Оценка процессов разработки и приобретения учитывает:

— организационную структуру кредитной организации;

— контроль над системными разработками и процессами приобретения;

— адекватность организации ЖЦ разрабатываемых систем и принятых стандартов программирования;

— обеспечение качества разработок и контроль над внесением изменений;

— документарное обеспечение банковских автоматизированных систем;

— обеспечение целостности и безопасности вычислительных сетей, а также системного и прикладного программного обеспечения.

Кстати, можно заметить, что первоначально в рассматриваемой рейтинговой системе вместо «Процессы разработки и приобретения» и «Процессы поддержки и сопровождения» фигурировали «Системные разработки и программирование» и «Операции».

4. Поддержка и сопровождение в кредитной организации рассматриваются со следующих позиций:

— возможности предоставления банковских услуг и удовлетворение требований бизнеса;

— планирование в целях обеспечения непрерывности работы функциональных систем и ее контроль;

— планирование и контроль производительности и функциональных возможностей банковских автоматизированных систем;

— политика, процедуры и практика ОИБ;

— содержание и качество контрактов с провайдерами;

— обеспечение конфиденциальности банковской информации.

Суммарные рейтинги при этом описываются приведенными ниже совокупностями экспертных заключений, аналогичных по стилю и применению экспертным заключениям, использовавшимся в параграфе 5.2 для описания ситуации в кредитной организации с операционным риском (его уровнем и управлением им). Здесь необходимо подчеркнуть, что, поскольку в соответствии с законодательством США кредитные организации обязаны контролировать финансовое состояние своих провайдеров и выполнение ими SLA, а органы банковского регулирования и надзора имеют право проверять провайдеров так же, как и сами эти организации, УРСИТ применяется инспекторами к тем и другим, а те в свою очередь также используют данную систему в целях обеспечения надежности аутсорсинга. Тем самым гарантируется единство подходов к оценке уровней компонентов банковских рисков.

Суммарный рейтинг 1

Финансовые учреждения или провайдеры, которым присвоен рейтинг «1», демонстрируют во всех отношениях надежное функционирование и обычно их компоненты оцениваются «1» или «2». Недостатки в организации ИТ незначительны и легко устраняются в ходе обычной работы. Процессы риск-менеджмента реализованы в форме полноценной программы выявления и мониторинга риска в соответствии с размерами, сложностью деятельности и профилем риска учреждения. Стратегические планы тщательно разработаны и полностью внедрены в учреждении. Это позволяет руководству быстро адаптироваться к изменяющимся рыночным условиям, деловым и технологическим потребностям данного учреждения. Руководство четко идентифицирует недостатки и принимает соответствующие корректирующие меры для их устранения с учетом требований аудита и органов регулирования. Финансовое состояние провайдера устойчивое, и общие характеристики функционирования свидетельствуют об отсутствии проблем.

Суммарный рейтинг 2

Финансовые учреждения или провайдеры, которым присвоен рейтинг «2», демонстрируют безопасное и надежное функционирование, но при этом могут иметь место умеренные недостатки в операционных характеристиках, мониторинге, управленческих процессах или разработке систем. Как правило, высшее руководство исправляет недостатки в ходе обычной работы. Процессы риск-менеджмента позволяют адекватно выявлять и контролировать риск в соответствии с размером, сложностью деятельности и профилем риска данного учреждения. Стратегические планы разработаны, но могут требовать уточнения, улучшения координации или совершенствования информирования в организации. В результате руководство предвидит изменения в рыночных условиях, деловых и технологических потребностях учреждения и реагирует на них, но менее оперативно. Руководство, как правило, идентифицирует недостатки и принимает соответствующие корректирующие меры. В то же время устранение проблем в большей степени зависит от аудита и вмешательства регулирующих органов. Финансовое состояние провайдера услуг приемлемое, и хотя могут иметься некоторые недостатки во внутреннем контроле, существенных причин для усиления надзора нет.

Суммарный рейтинг 3

Финансовые учреждения или провайдеры, которым присвоен рейтинг «3», требуют определенного внимания со стороны надзора из-за сочетания недостатков, которые могут варьироваться от умеренных до серьезных. Если эти недостатки сохранятся, то в дальнейшем возможно ухудшение состояния и функционирования данного учреждения или провайдера услуг. Процессы рис к-менеджмента могут недостаточно эффективно идентифицировать риски и не соответствовать размеру, сложности деятельности и профилю риска данного учреждения. Стратегические планы недостаточно четкие, и в них может неадекватно описываться направление развития ИТ. В результате руководство часто испытывает трудности с реагированием на изменения в рыночных условиях, деловых и технологических потребностях учреждения. Практика самооценки не развита и обычно представляет собой реакцию на результаты аудита и отклонения от установленных правил. Проблемы могут повторяться, свидетельствуя о нехватке у руководства возможностей или желания решать проблемы. Финансовое состояние провайдера может быть проблемным или могут наблюдаться негативные тенденции в нем. Несмотря на то что серьезные финансовые или функциональные проблемы вряд ли возникнут, требуется повышенное внимание надзора. Может оказаться необходимо содействие в обеспечении проведения корректирующих мероприятий.

Суммарный рейтинг 4

Финансовые учреждения или провайдеры, которым присвоен рейтинг «4», работают в небезопасных и ненадежных условиях, что может негативно сказаться в дальнейшем на их «жизнеспособности». Функциональные недостатки свидетельствуют о серьезных проблемах с руководством. В процессах рис к-менеджмента неадекватно учтены размер, сложность деятельности и профиль риска данного учреждения, риски плохо идентифицируются и контролируются. Стратегические планы плохо составлены и не скоординированы или не доводятся до персонала организации. В результате руководство и совет директоров не хотят или не способны обеспечивать удовлетворение технологических потребностей учреждения. Руководство не применяет самооценку и демонстрирует неспособность или нежелание исправлять проблемы, выявленные аудитом, и отклонения от установленных правил. Финансовое состояние провайдера неудовлетворительное и (или) заметно ухудшается. Банкротство данного финансового учреждения или провайдера может быть вполне вероятно, если не принять срочных мер по устранению проблем с ИТ. Необходимо серьезное внимание со стороны надзора, и в большинстве случаев требуется применение установленных мер воздействия.

Суммарный рейтинг 5

Финансовые учреждения или провайдеры, которым присвоен рейтинг «5», характеризуются наличием критических недостатков в функционировании, которые требуют немедленного устранения. Операционные проблемы и серьезные недостатки могут иметься во всей организации и свидетельствуют о серьезных проблемах с руководством. Процессы риск-менеджмента явно плохо организованы и не позволяют руководству осознавать риск или осознавать его в незначительной степени в сопоставлении с размером, сложностью деятельности и профилем риска конкретного учреждения. Стратегические планы отсутствуют или неэффективны, а руководство и совет директоров уделяют мало внимания или вообще не обращают внимания на управление деятельностью в области ИТ. В результате руководство не имеет представления о технологических потребностях учреждения или не обращает на них внимания. Руководство не способно исправлять проблемы, выявленные аудитом, и отклонения от установленных правил. Финансовое состояние провайдера плохое, и банкротство весьма вероятно из-за финансовой нестабильности. Необходимо постоянное внимание со стороны надзора.

Компонентные рейтинги далее не рассматриваются в силу объемности материала — его можно найти в публикациях по ссылкам, приведенным в этой книге.

FFIEC отмечает, что практика управления, особенно в отношении риск-менеджмента, значительно различается в разных финансовых учреждениях и у провайдеров в зависимости от их размера, специализации, характера и сложности их деловой активности, а также свойственных им профилей риска. Отмечается также, что в условиях, не требующих применения сложных информационных систем, наличие детализированных или строго формализованных описаний систем и средств контроля, которые приводят к более высоким значениям суммарного и компонентных рейтингов, не обязательно. Описанная УРСИТ считается эффективной, подтвердившей практичность ее применения органами банковского надзора для определения и оценки условий функционирования кредитных организаций в области применения ими ИТ.

Что касается возможного использования УРСИТ, то специалистами кредитных организаций рассмотренные материалы могут быть использованы в интересах собственных методических разработок индивидуального характера, которые целесообразно акцентировать на специфике применяемых этими организациями банковских автоматизированных систем в их связи с системами электронного банкинга, или применении ИТ в целом. При этом следует дополнить такие разработки учетом особенностей проектирования, внедрения и эксплуатации систем электронного банкинга.

 

5.4. Адаптация обеспечения информационной безопасности

Базовая причина усугубления проблемы ОИБ в условиях перехода к ДБО заключается в принципиальном изменении состава угроз надежности банковской деятельности в связи с формированием ИКБД, т. е. возникновении их новых видов, нетипичных для традиционной ее организации. Конечно, кредитные организации всегда подвергались и подвергаются рискам, связанным с ошибками или мошенничеством, но с внедрением компьютерных технологий уровень таких рисков и масштаб их влияния существенно изменились, поскольку возможности и последствия реализации рисков такого рода значительно расширились. Тем не менее, как это ни странно, но нередко приходится сталкиваться с такими ситуациями в кредитных организациях, которые свидетельствуют о «как бы» непонимании радикального изменения состава требований к ОИБ в связи с внедрением ТЭБ. Буквально остаются справедливыми слова, произнесенные более двух тысяч лет назад: «Нет памяти о прежнем, да и о том, что будет, не останется памяти у тех, которые будут после».

Задача ОИБ при использовании систем электронного банкинга является, возможно, наиболее сложной для решения. Как подчеркивает БКБН, «чтобы парировать проблемы с сохранением конфиденциальности важнейшей банковской информации в части электронного банкинга, необходимо гарантировать, что доступ ко всем конфиденциальным банковским данным и информации возможен только для должным образом авторизованных и аутентифицированных лиц, агентов или систем». Большинство задач в рамках решения указанной проблемы, которые возникают при образовании ИКБД, являются новыми и непосредственно связанными с ним, что отмечалось в главе 1. В общем случае требуется контроль адекватности ОИБ применяемым в кредитной организации ИТ, для чего необходим анализ и практический учет новых реальных и потенциальных угроз, связанных с технологиями электронного банкинга, а также сценариев их возможной реализации с оценкой последствий для кредитной организации и ее клиентов. Они определяются исходя из результатов анализа источников компонентов банковских рисков, связанных с недостатками в ОИБ, вследствие чего их целесообразно точно указывать в «Положении об управлении банковскими рисками» и согласовывать содержание такого документа с «Политикой обеспечения информационной безопасности» кредитной организации.

Рассматриваемая проблематика, как видно из изложенного выше, многоаспектна. Поэтому, в частности, службе безопасности (СБ) кредитной организации, которая состоит, как правило, из подразделений информационной, экономической и физической безопасности, целесообразно было бы регулярно проводить скрупулезный анализ не только информационных ресурсов самой организации, ядром которых являются ее БАС и базы банковских и клиентских данных, но также и всей информации, угрозы безопасности которой могут негативно повлиять на финансовое состояние, статус, имидж и другие характеристики организации и на интересы ее клиентов. Состав ресурсов такого рода определяется их значимостью в перечисленных отношениях, включая сохранение банковской тайны и защиту персональных данных. При этом целесообразно учитывать, что критичными для клиентов могут оказаться различные варианты НСД к банковской информации: от массивов данных бухгалтерского учета до сведений о фактах осуществления тех или иных банковских операций и сделок. Поэтому, как часто пишут, «специальное внимание» целесообразно уделять, как минимум, тем информационным сечениям в БАС, между БАС и системой ДБО и во внешнем сегменте ИКБД, в которых такой НСД потенциально может иметь место (как, впрочем, и другие атакующие воздействия). Регулярность детального анализа определяется, во-первых, теми интервалами времени, которые связаны с модернизациями банковских автоматизированных систем или нововведениями в банковских информационных технологиях — их темпом, а во-вторых, появлением информации о компрометации средств защиты компьютерных систем.

Что касается организации информационных сечений, то менеджерам различных уровней целесообразно обращать внимание на наличие и содержание ролевых функций персонала кредитной организации при передаче (и, возможно, преобразовании) потоков данных из одной АС в другую. От этого зависит в первую очередь эффективность реализации в кредитной организации процессов управления, обеспечения информационной безопасности и внутреннего контроля, включая финансовый мониторинг. Как правило, без какого-либо хотя бы косвенного участия персонала в процедурах обработки (преобразования) данных при ДБО не обходится даже в случае упоминавшейся ранее автоматизированной сквозной обработки. В таких случаях целесообразно рассматривать, как минимум, следующие вопросы:

— предусмотрено ли наличие функций, выполняемых операторами БАС (или в ряде случаев систем ДБО) либо системными администраторами, обладающими полномочиями доступа к данным из поступающих ордеров клиентов, и если предусмотрено, то с какими правами, и существуют ли возможности несанкционированного считывания (хищения, утечки) информации, ее подмены или уничтожения, имитации проводимых операций как бы от лица легитимных клиентов и т. п.?

— могут ли функции, выполняемые уполномоченными сотрудниками кредитной организации, давать возможности осуществления каких-либо мошенничеств разного рода: хищения финансовых средств (например, за счет подмены реквизитов ордеров), сокрытия сомнительных операций, подлежащих обязательному контролю, несанкционированного использования конфиденциальной информации (ключи или пароли доступа, кодовые фразы, персональные данные клиентов или сведения о проводимых ими операциях и т. д.)?

— внедрены ли в кредитной организации процедуры контроля над функциями, выполняемыми сотрудниками, имеющими доступ к информационным сечениям, и чем гарантируется эффективность этих процедур (используемые методы, внутрибанковские документы, примененные средства, способы и программы проверок, ответственность за проведение проверок и отчетность о проверках, гарантии невозможности реализации сговора или нелегитимных действий, приводящих к нарушению целостности данных и т. п.)?

Эти вопросы тесно связаны, хотя и не пересекаются полностью с проблематикой ОИБ в кредитной организации, включая защиту информационных и процессинговых ресурсов этой организации от неправомерного доступа с применением технологий ДБО.

Упомянутое выше «специальное внимание» может реализовываться в разных формах. Прежде всего логично разработать и внедрить процедуры контроля доступа к файлам данных, проходящим через значимые информационные сечения, например, между системами ДБО и БАС кредитной организации. В таких сечениях могут располагаться операторы какой-либо АС, системные или сетевые администраторы или операторы, специально выделенные для выполнения каких-либо функций. Ни один из таких сотрудников кредитной организации не должен обладать делегированными ему неконтролируемыми полномочиями (особенно при совмещении обязанностей, к примеру, системного администратора и администратора информационной безопасности, что нередко получается «само собой»). Особенно целесообразно ограничивать и контролировать возможные действия, следствием которых может стать нарушение целостности банковских данных или их утечка. В то же время для осознания образования такой «неконтролируемости» в виртуальном пространстве требуется знание о наличии возможностей для этого. Поэтому в материалах зарубежных органов банковского регулирования и надзора часто подчеркивается важность обеспечения следования так называемому принципу «четырех глаз» (двойного независимого параллельного контроля — особенно при принятии ответственных решений), что может быть отнесено ко многим направлениям банковской деятельности (необязательно связанным с информационными технологиями).

Важное значение имеет определение и описание защищаемых ресурсов с указанием их значимости для кредитной организации и ее клиентов. Таким документам лучше придавать статус «для служебного пользования» и разделять права доступа к ним между специалистами разных подразделений (естественно, на разумных основаниях — без ущерба функционированию кредитной организации, ее БАС и СЭБ, а также осуществлению ОИБ, ВК, ФМ и УБР). Анализ уязвимостей в распределенных компьютерных системах кредитной организации необходимо проводить сначала превентивно, а затем как на регулярной, так и на оперативной основе. При внедрении новой ТЭБ его в любом случае следует проводить превентивно в рамках предварительного анализа состава новых компонентов банковских рисков, впоследствии сопоставляя развитие реальной ситуации с прогнозировавшейся. Эта процедура завершается выбором, приобретением и установкой конкретных средств сетевой защиты от угроз, ассоциируемых с ИКБД. Поскольку количество таких угроз постоянно растет, в первую очередь ввиду «успехов» хакерского сообщества, для СБ логично отслеживать «достижения», связанные с «пробоем» средств защиты, к числу которых относятся в первую очередь брандмауэры и прокси-сервера (что было показано на рис. 5.2). Поэтому хорошей практикой считается изучение материалов, представляемых хакерским сообществом на многочисленных web-сайтах, используя их в том числе и для оперативной замены скомпрометированных средств защиты.

Вместе с тем известно, что «идеальных» способов и средств ОИБ в сетевых структурах до настоящего времени не существует. По существу, в современных условиях это обеспечение стало постоянным итеративным процессом: возникновение новых угроз надежности банковской деятельности — в это понятие входит и обеспечение гарантий конфиденциальности информации, обрабатываемой и хранящейся в кредитной организации — приводит к необходимости внедрения и совершенствования средств защиты информационно-процессинговых ресурсов кредитной организации. Каждое из возможных средств защиты характеризуется индивидуальными специфическими недостатками, причем, поскольку «то, что один человек сделал, другой всегда может сломать», со средствами сетевой защиты это происходит почти постоянно, из-за чего становится необходимой разработка специальной «политики управления обновлениями» (или в буквальном смысле — «заплатками»).

Реализующая эту «политику» процедура (Patch Management) определяется как ОИБ компьютерных систем с целью противодействия атакам на компьютерные системы организации и обеспечения целостности ее АПО. По сути это компонент управления его модернизацией, включающий функции оценки текущей ситуации в отношении устойчивости АПО АС к атакам, приобретения средств, необходимых для коррекции выявленных недостатков, тестирования и включения «заплаток» в состав АПО. В обеспечение надежности описанной процедуры обычно разрабатывается специальное документарное обеспечение, хотя и не столь значительное по объему, как документы, регламентирующие реализацию внутрибанковских процессов (объем зависит от «насыщенности» кредитной организации автоматизированными системами), но предназначенное для охвата всех компонентов вычислительной сети, которые могут потребовать модернизации.

В первую очередь это относится к компьютерным операционным системам и программному обеспечению сетевых экранов (брандмауэров), прокси-серверов, маршрутизаторов и т. п. В зарубежной литературе решению этой задачи уделяется серьезное внимание, поскольку продолжение использования скомпрометированного программного обеспечения, его устаревших версий или несвоевременная инициация указанной процедуры могут образовать «дыры» в периметре безопасности кредитной организации и привести к реализации многих компонентов банковских рисков. Таким образом, эту процедуру логично утвердить официально, документально оформить, сделать, так сказать, «сторожевой» и довести до должностных инструкций ответственных исполнителей и их менеджеров.

Для удобства анализа построения и потенциальной уязвимости вычислительных сетей используется разработанная Международной организацией по стандартам’ так называемая модель «Взаимосвязи открытых систем». Эту модель, назначение которой заключается преимущественно в облегчении понимания содержания и организации сетевого взаимодействия, можно представить в виде семиуровневого описания следующим образом (табл. 5.3).

Таблица 5.3

Приведенная классификация удобна помимо прочего и для выбора средств сетевой защиты, достаточно сравнить ее с выдержкой из рекомендательного материала Национального института стандартов и технологий США: «Сетевые брандмауэры представляют собой устройства или системы, которые контролируют прохождение сетевого трафика между вычислительными сетями с разными состояниями информационной безопасности. В большинстве современных приложений брандмауэры и условия их функционирования рассматриваются в контексте „интернет-связности“ и применения протоколов TCP/IP.

В то же время брандмауэры применяются и в сетевых архитектурах, которые не связаны с интернет-приложениями. К примеру, в вычислительных сетях многих компаний брандмауэры используются для ограничения связности с внутренними сетями (в обоих направлениях), в которых циркулирует „чувствительная“ к НСД информация: данные бухгалтерского учета или персональные данные. Эти устройства образуют дополнительные уровни информационной безопасности, которые иначе отсутствовали бы».

В настоящее время доступны несколько типов платформ брандмауэров, предлагаемых разными компаниями. Одним из способов сравнения возможностей этих платформ является их анализ с позиций модели OSI и функционирования брандмауэра, использующего возможности разных ее уровней (абстрагирующие описание взаимодействия между компьютерными системами и сетевым оборудованием). Следует отметить, что данные адресации, по которым определяется конкретный компьютер, относятся к Уровню 2, они присваиваются сетевым интерфейсам и обозначаются аббревиатурой MAC: примером может служить адрес сети Ethernet, присвоенный конкретной сетевой плате. Уровень 3, на котором осуществляется доведение сетевого трафика в ЗВС, — в Ethernet соответствует адресации по IP; такой адрес уникален, если отсутствует так называемая «трансляция сетевых адресов», с помощью которой под одним адресом данного уровня могут работать многие устройства (о значимости этих параметров еще будет сказано в параграфе 5.6 в связи с тем, что сведения о сетевом трафике — ценнейшая информационная основа для проведения расследований противоправной деятельности). Уровень 4 определяет сетевые приложения и сеансы связи. В отличие от адресации любая компьютерная система может иметь произвольное количество сеансов этого уровня с другими устройствами в той же вычислительной сети, в приложении к протоколу TCP/IP здесь используется также понятие «порт», которое интерпретируется как указатель на сеансы взаимодействующих приложений (прикладных программ). Остальные уровни в этом рассмотрении не имеют принципиального значения, поскольку относятся к описанию таких программ и компьютерных систем пользователя.

Наиболее общий вариант предусматривает формирование DMZ (рис. 5.6) в вычислительных сетях с двумя брандмауэрами, разделяющими сетевые сегменты с возможностями внешнего доступа и доступа исключительно «изнутри». Граничный маршрутизатор фильтрует пакеты данных и обеспечивает защиту серверов во внешней зоне, тогда как первый брандмауэр предназначается для контроля доступа и защиты на случай, если эти сервера будут атакованы. Те сервера, которые требуется защищать от НСД и из внешней среды и из внутренней вычислительной сети, логично располагать между двумя брандмауэрами. Обычно DMZ реализуется с помощью сетевых коммутаторов, помещаемых между брандмауэрами или между брандмауэром и граничным маршрутизатором, при этом считается, что сервера удаленного доступа и точки входа в VPN лучше размещать в сетях с DMZ. Это позволяет уменьшить вероятность того, что внешние атаки смогут достичь внутренних сегментов, а с помощью брандмауэров будет усилен контроль доступа пользователей сети. В то же время управление конфигурациями такого рода и настройкой сетевых компонентов желательно документировать и контролировать «четырьмя глазами» в силу их значимости для кредитной организации как упоминавшихся ранее «виртуальных ворот» к ее СЭБ, БАС и информационным активам.

В базовой конфигурации брандмауэры работают с малым числом сетевых уровней, усовершенствованные брандмауэры охватывают большее их число. В терминах функциональности последние более эффективны и предпочтительны. «Охват дополнительного уровня повышает „гранулярность“ конфигурации брандмауэра, т. е. он может осуществлять более детальный контроль и работать с большим числом прикладных программ и сетевых протоколов, а также стать клиент-ориентированным, выполняя проверку аутентичности». Брандмауэры, работающие только на уровнях 2 и 3, обычно для этого не пригодны, но более совершенные брандмауэры — прокси-шлюзы — могут обеспечивать опознавание и реагировать на шаблоны событий, ассоциируемых с клиентом. В кредитной организации целесообразно документально обосновать и установить уровни контроля сетевого трафика, распределив ответственность за настройку сетевых средств контроля и защиты и зафиксировав внутрибанковские документы, регламентирующие такие настройки и порядок их использования. К слову сказать, настройка брандмауэров является достаточно «тонкой» задачей, схожей с программированием, и для этого используются специалисты, обладающие необходимыми знаниями; их работу следует контролировать, поскольку неточности в такой настройке (допущенные случайно или намеренно) образуют «дыры» в сетевой защите кредитной организации, из-за чего ей и ее клиентам может быть нанесен значительный ущерб.

В современных условиях использования сетевых технологий в обеспечение банковской деятельности необходимой процедурой стало тестирование возможностей проникновения в БАС и СЭБ кредитной организации (о чем упоминалось в главе 3 в связи с анализом жизненных циклов внутрибанковских процессов и автоматизированных систем). Такие процедуры целесообразно организовывать на основе официально принятых и документированных решений в кредитной организации, после чего для них специалистами службы ИТ и СБ при участии представителей ВК разрабатываются собственно тесты, контрольные примеры, программы и методики проведения тестирования, а также составляются итоговые документы (протоколы и акты). Для проведения таких тестов целесообразно использовать стендовые средства, аналогичные операционным в кредитной организации, с тем чтобы можно было отлаживать прикладные программы и проводить дополнительные испытания без вмешательства в текущую банковскую деятельность и ее приостановки для проведения очередных функциональных проверок.

Также следует отметить, что определение содержания, этапов, методик, средств тестирования и содержания итоговой отчетности по ним не должно оставаться неизменным на протяжении ЖЦ банковских автоматизированных систем и внутрибанковских процессов. Изменения в них обусловлены рядом причин: устареванием и компрометацией АЛО, внедрением новых технологий и систем электронного банкинга, возникновением нетипичных угроз надежности компьютеризованной банковской деятельности и т. д. Ввиду того что такие угрозы могут при неудачном стечении обстоятельств реализоваться в крупномасштабные инциденты информационной безопасности, сопоставимые по ущербу с форс-мажорными обстоятельствами, всей информации, которая имеет отношение к тестированию (особенно к его результатам), целесообразно официально придать статус сведений ограниченного распространения.

В плане контроля условий возникновения источников угроз кредитной организации и ее клиентам при использовании СЭБ необходимо обеспечить внедрение, функционирование и совершенствование внутрибанковского механизма обнаружения и фиксации свидетельств атакующих воздействий, а также сохранения «следов» и «образов» или, иначе, «шаблонов» атак для их последующего анализа (в том числе комплексного). Этот механизм должен работать согласованно с процедурами доведения информации до руководства кредитной организации (например, в форме унифицированного отчета) и принятия защитных мер. Он должен учитывать и реакции на вторжения, это один из механизмов снижения уровней компонентов банковских рисков, связанных с недостатками в ОИБ кредитной организации. Поэтому актуальными становятся управление, ведение и анализ системных логов.

Изложенный подход целесообразно расширить в направлении имитации инцидентов информационной безопасности в части моделирования угроз кредитной организации со стороны клиента и криминальных сообществ — в интересах поддержания, совершенствования и адаптации периметра информационной безопасности кредитной организации. Этому способствует статистический анализ ситуаций такого рода, при этом статистика набирается с помощью ее сервис-центра и в порядке ведения претензионной работы. Далее результаты этой работы следует использовать для улучшения ОИБ, совершенствования отношений с клиентами ДБО (включая уточнение текстов соответствующих договоров), модернизации моделей угроз надежности банковской деятельности и сценариев их развития (фиксируемых во внутренних документах кредитной организации по ОИБ) и т. п.

Следует заметить, что отмечавшаяся в комментарии к 4-му принципу управления рисками, приведенному в параграфе 5.2, возможность использования злоумышленниками специальных средств контроля сетевого трафика предполагает организацию противодействия со стороны кредитной организации. Такой контроль может вестись как пассивными («прослушка»), так и активными способами. Соответственно С Б такой организации целесообразно применять средства обнаружения «вторжения» в ее вычислительную сеть и контролировать сетевое пространство на предмет попыток перехвата конфиденциальной информации, НСД к банковским базам данных и программному обеспечению и других противоправных действий.

Наряду с рассмотренными мероприятиями в обеспечение надежности банковской деятельности необходимо строить многоуровневую, так сказать, «эшелонированную» систему защиты, в которой различные барьеры в виде политик, методов, процедур, средств разного уровня «работают» совместно. Надежность разнородных уровней защиты в первую очередь обусловлена тем, что, даже если каждому средству присущ какой-либо недостаток, эти недостатки не совпадают в эшелонированном периметре безопасности кредитной организации в целом; кроме того, появляется возможность «приобретения» совокупной квалификации, которая свойственна разным компаниям — разработчикам оборудования. Такой подход целесообразно четко отражать в «Политике обеспечения информационной безопасности» кредитной организации, распространяя его и на связанные с ней внутрибанковские документы и порядки, а при использовании нескольких систем ДБО, возможно, и в частных «политиках» такого рода.

Важно, чтобы руководство кредитной организации обеспечило условия совершенствования ОИБ по мере развития ДБО, при которых обеспечиваемая безопасность ее информационно-процессинговых ресурсов (в оптимальном варианте) соответствовала ее бизнес-моделям, критично важные файлы данных и программы были точно известны и особенно тщательно и контролируемо защищены от НСД и неавторизованного воздействия так, чтобы обеспечивалась действительно эффективная защита, учитывающая все возможные атаки. Необходимо наличие осознания и у исполнительных органов кредитной организации, и у ее специалистов по ОИБ того, что состояние «самоуспокоенности» — это серьезный дополнительный фактор риска, потому что, как отмечено в работе Crume /. Inside Internet Security: «Невозможность взломать компьютерную систему или проникнуть в вычислительную сеть не означает, что она безопасна, — это означает только то, что она неуязвима в данный момент для конкретного набора атак, а может быть и только то, что ее недостаточно испытывали на неуязвимость». Во всяком случае, должны быть разделены функции управления и контроля, разработки/модернизации и эксплуатации банковских автоматизированных систем, как и их администрирование, равно как и вычислительных сетей, баз данных и информационной безопасности. Все это должно быть описано в «Политике информационной безопасности» и контролироваться независимой службой — ВК.

Здесь уместно привести две цитаты из так называемых официально установленных в США «Стандартов Безопасности и Надежности» банковской деятельности, а именно: «Каждый банк обязан осуществлять мониторинг, оценку и, при необходимости, корректировку Программы информационной безопасности в зависимости от затрагивающих соответствующие вопросы изменений в технологиях, значимости клиентской информации, внутренних или внешних угроз для информации, а также внесения банком изменений в свои деловые соглашения, таких как слияния и приобретения, совместная и партнерская деятельность, использование аутсорсинга и внесение изменений в клиентские информационные системы» и «каждый банк обязан как минимум ежегодно составлять для своего совета директоров или соответствующего комитета такого совета отчет с описанием общего состояния программы информационной безопасности и соответствия деятельности банка настоящим рекомендациям; в этом отчете следует рассмотреть значимые для этой программы вопросы, касающиеся: оценки риска, управления риском и соответствующих решений, отношений с провайдерами, результатов тестирования, нарушений безопасности и реакции на них, а также рекомендаций по внесению изменений в программу».

Эти законодательно закрепленные в США положения, возможно, было бы полезно использовать и отечественным кредитным организациям.

Наконец, целесообразно привести еще ряд соображений, высказанных в работе /. Сгите’а относительно учета в процедурах ОИБ, устанавливаемых в высокотехнологичной кредитной организации, некоторых специфических факторов возникновения дополнительных источников компонентов банковских рисков, о которых часто забывают, считая их незначительными:

1) брандмауэры — это только начало защиты. При организации сетевой защиты внимание уделяется преимущественно брандмауэрам. Это действительно критично важные компоненты защиты, но они защищают не от всех атак и не все атаки могут обнаружить;

2) не все «плохие парни» находятся вне организации. Предположение о том, что в организации все работники честные, а все мошенники действуют извне, далеко не всегда справедливо, примерно половина атак замышляются сотрудниками, хорошо знающими объекты атак и способными нанести гораздо больший ущерб, чем хакеры;

3) человек — самое слабое звено в компьютерной системе. Прочность цепи определяется ее слабейшим звеном; в компьютерном мире этим звеном может оказаться человек, которому «свойственно ошибаться», особенно при недостаточной квалификации, чем часто пользуются хакеры;

4) пароли могут оказаться незащищенными. Пароли используются для идентификации личностей чаще всего, но это одно из наиболее слабых мест в защищаемых компьютерных системах, вследствие чего защита должна быть комплексной и контролируемой;

5) хакеры могут незаметно наблюдать за деятельностью. Прослушивание сетевого трафика или перехват передаваемой по вычислительной сети информации может раскрыть более чем достаточно сведений для хакера, стремящегося к получению прав и полномочий наиболее высокого уровня. Такие атаки являются пассивными, вследствие чего их трудно обнаружить, поэтому целесообразно применять средства обнаружения «прослушки» в вычислительных сетях;

6) устаревшее программное обеспечение уязвимо. Давно используемое программное обеспечение хорошо изучено хакерами, и его недостатки, обычно известные хакерскому сообществу, легко могут быть использованы в хорошо известных атаках. Необходимо постоянно следить за обновлением версий программного обеспечения технических средств, защищающих сетевые ресурсы, и разработать соответствующий порядок обновления;

7) установки по умолчанию могут быть опасны. Многие программно-технические средства часто поставляются с системными предустановками, которые хорошо известны хакерам (логины, пароли и т. д.). Следует отключить функции и сменить внутрисистемные установки;

8) лучше всего жуликов ловят другие жулики. Защита должна быть не «реактивной», а «проактивной». Необходимо представлять себе возможные действия хакеров и создавать модели нарушителей и возможных атак, а также сценарии их развития и последствий. На основе этого строится система обеспечения информационной безопасности, определяются методы и средства защиты данных и операций;

9) средства защиты от вирусов обычно неадекватны. Средствами антивирусной защиты или регулярностью их обновления часто пренебрегают. В то же время достаточно одной «удачной» атаки, чтобы нарушить или разрушить бизнес. Необходимо определить порядок и регламент работ с антивирусными средствами, назначить ответственных и контролирующих, обучить и контролировать пользователей;

10) «активное содержимое» может быть активнее, чем кажется. Такие средства формирования «активного контента», т. е. динамического и интерактивного содержания web-страниц, как Java, JavaScript, ActiveX могут использоваться и для скрытого вредоносного воздействия на компьютерные системы, краж данных и т. д. Часто полезно отключать их;

11) надежная вчера криптозащита ненадежна сегодня. Само по себе шифрование сообщений не гарантирует от их несанкционированного прочтения. По мере роста вычислительной мощности компьютеров и с применением распределенного подхода вероятность взлома повышается. Необходимо следить за устареванием средств криптозащиты;

12) «дверь черного хода» может оказаться открытой. Брандмауэры по периметру вычислительной сети защищают от сетевых проникновений, но не от атак через модемы, особенно несанкционированные. Необходимо следить за действиями пользователей и попытками такого проникновения через «дыры» в защите, проводя аудит линий связи;

13) не может быть «безвредных» атак. Даже если хакеру не удается нанести ущерб, скопировать какие-то данные или украсть деньги, сам факт проникновения может стать известен и негативно сказаться на «бренде» организации, вызвав в конце концов и одинаковые потери;

14) у хакеров прекрасное светлое будущее. Хакеров становится все больше, средства взлома всегда доступны на их web-сайтах и совершенствуются. Необходимо периодически пересматривать политику безопасности.

Мало того, «выиграть у хакеров невозможно, потому что у нормальных людей есть нормальные человеческие потребности: они работают, едят, пьют, спят, гуляют с девушками и т. д., а хакера все это не интересует — он живет только ради несанкционированного доступа и занимается только и исключительно этим круглосуточно».

В целом ЖЦ ОИБ должен поддерживать набор типовых внутрибанковских процедур, в состав которых целесообразно включать (как минимум):

разработку мер по ОИБ при принятии решения о внедрении новой банковской информационной технологии (в первую очередь ТЭБ), т. е. документально оформленное требование участия в проектировании, разработке, ПСИ, эксплуатации, модернизации и замене банковских автоматизированных систем;

контроль над реализацией этих мер при практическом внедрении программно-технических решений, в которые закладываются новые средства ОИБ и (или) модернизируются уже существующие, т. е. участие в ПСИ любого уровня, начиная со стадии подготовки программ и методик этих испытаний для банковских автоматизированных систем;

регулярную проверку функциональности и надежности средств ОИБ, т. е. участие в проверках функционирования этих средств и тестировании банковских автоматизированных систем, систем электронного банкинга, а также компьютерных систем и телекоммуникационных сетей;

то же — в отношении изучения состояния дел с ОИБ у провайдеров кредитной организации, с позиций оценки значимости инцидентов информационной безопасности (совместно с другими службами этой организации);

обеспечение адаптации мер по ОИБ при модификации действующих банковских автоматизированных систем и систем электронного банкинга и (или) выводе их из эксплуатации и замене, т. е. участие в их модернизации с проведением имитационного тестирования;

проведение проверок выполнения требований по ОИБ, изложенных в «Политике обеспечения информационной безопасности» кредитной организации и связанных с ней внутрибанковских документах.

Эти процедуры целесообразно специально разрабатывать и адаптировать для каждой из технологий электронного банкинга, используемой или предполагаемой для внедрения кредитной организацией, не забывая, что каждая из них после внедрения создает своего рода «виртуальные ворота» для доступа к ее информационно-процессинговым ресурсам. Очевидно, что доступ к этим ресурсам должен иметь только и исключительно легитимный пользователь, располагающий точно определенными правами и строго ограниченными полномочиями доступа. Необходимо подчеркнуть, что работа по обеспечению соблюдения таких ограничений и регулярному подтверждению их реального наличия независимо от конкретных банковских информационных технологий (в первую очередь — технологий ДБО) является одной из важнейших внутрибанковских процедур в части ОИБ и защиты банковских и клиентских данных.

 

5.5. Адаптация внутреннего контроля

Такой вид деятельности, как внутренний контроль, исторически складывался в качестве механизма выявления и предотвращения случаев мошенничества или хищений, а также ошибок. Однако к настоящему времени сфера его применения существенно расширилась, охватывая разнообразные риски, связанные с банковской деятельностью кредитных организаций, а все перечисленное выше постепенно становится прерогативой формирующегося процесса ФМ (пока еще считающегося специализированной процедурой — компонентом процесса ВК). Изменение характера банковской деятельности, выражающееся в интенсивном использовании ДБО, разных вариантов ИКБД и обширных зональных сетей банкоматов и платежных терминалов, неизбежно приводит к необходимости включения в состав процесса ВК новых процедур, предназначенных для учета в процессе УБР возникновения новых угроз надежности банковской деятельности. Тем не менее многие отечественные кредитные организации, стремящиеся расширять спектр услуг ДБО, не успевают адаптировать к ним свой ВК ни как работу специальной службы, ни как функционирование СВК, что препятствует эффективному парированию таких угроз и поддержанию контроля со стороны руководства кредитной организации над смещениями ее профиля риска.

Во многих материалах зарубежных органов банковского регулирования и надзора отмечается, что новации в сфере ИТ, трансграничная банковская деятельность и глобализация финансовых рынков способствуют существенному повышению вероятности реализации системных рисков, т. е. проявлению их на уровне банковского сектора. Особенно озабоченность качеством ВК в различных организациях характерна для США, где для обеспечения адекватности контрольных функций такого рода были даже приняты специальные федеральные законы, известные по фамилиям их создателей как акты Грэма-Лич-Блайли и Сарбанеса-Оксли. В первом из них акцент сделан на контроле обеспечения конфиденциальности и целостности клиентской информации, во втором — на корпоративной ответственности, контроле достоверности финансовой информации и аудите систем ВК. В обоих законодательных актах серьезное внимание обращалось на адекватность и эффективность систем и средств ВК в части применения ИТ и корпоративных систем управления рисками.

В этих актах нашло отражение осознание значимости ИТ для современных учреждений разного рода и того, что сами эти технологии формируют условия и для внедрения новых способов управления рисками, и для ВК, отвечающего за мониторинг процедур выявления, анализа банковских рисков и управления ими. Технологии ВК вместе с реализующими ее методами и средствами устаревают по мере внедрения новых видов банковских услуг и банковских информационных технологий, что означает потребность в их модернизации. Вследствие этого процесс ВК, акцентированный на применении ИТ, становится неотъемлемой частью всей инфраструктуры кредитной организации (при этом считается, кстати, что расходы на его обеспечение целесообразно определять исходя из возможностей парирования финансовых потерь, обусловленных реализацией банковских рисков, особенно это справедливо в усложнившихся условиях использования ДБО). Важно подчеркнуть, что ролевые функции в составе процесса ВК, во-первых, стали распределяться между подразделениями современных кредитных организаций, во-вторых, существенно усложнились ввиду перемещения процедур бухгалтерского учета и подготовки банковской отчетности в виртуальное пространство, значительного расширения тематику ОИБ с возникновением ранее отсутствовавших проблем, ростом значимости адекватного решения вопросов ФМ и т. д.

Однако даже это принципиальное усложнение состава задач службы ВК их состав не исчерпывает. Дело в том, что в современных технологиях ДБО велика роль провайдеров кредитных организаций, от которых, как уже отмечалось, во многом зависит надежность банковской деятельности — в восприятии удаленных клиентов; да и для самих этих организаций надежность провайдеров с точки зрения обеспечения гарантий уровня обслуживания часто бывает критично важной. В то же время вопросы контроля надежности провайдеров, определения требований к взаимоотношениям кредитных организаций с провайдерами, управления этими отношениями со стороны первых, оценки уровня обслуживания и ряд других остаются неурегулированными в законодательном плане. Необходимо осознание руководством кредитной организации того, что внедрение технологий электронного банкинга радикально изменяет (расширяет) содержание внутреннего контроля, так что если он не подвергнется модернизации, то кредитные организации вряд ли смогут аргументированно доказать его адекватность изменившимся условиям осуществления ВК.

Что касается российского банковского сектора, то до настоящего времени деятельность ВК в кредитных организациях определяется Положением Банка России от 16 декабря 2003 г. № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» (далее — Положение 242-П). В этом документе вопросам контроля над информационными активами и технологиями кредитных организаций уделено немало внимания, включая, как сказано, «контроль за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности» (п. 3.1) и «внутренний контроль за автоматизированными информационными системами и техническими средствами…» (п. 3.5). Вместе с тем, как свидетельствует практика, интенсивное развитие кредитными организациями ДБО и внедрение новых систем электронного банкинга приводит к серьезным затруднениям в обеспечении адекватности ВК новым способам и условиям банковской деятельности, тем более в виртуальном пространстве.

В складывающейся в области ДБО ситуации требуется осознание того, что следствием расширения компьютеризации банковской деятельности становится не только повышение ее эффективности и рентабельности, но и то, что технологические нововведения для этой деятельности могут привести к серьезному ослаблению ВК в кредитных организациях. Их высшему менеджменту требуется уверенность в том, что банковские автоматизированные системы и системы электронного банкинга правильно спроектированы, разработаны и функционируют должным образом, обеспечивая выполнение банковских операций и подготовку регламентной банковской отчетности. Собственно содержание, методология, программы и технология ВК, равно как и реализующие ее методы и средства устаревают по мере внедрения новых видов банковских услуг и банковских информационных технологий, вследствие чего требуется их модернизация. В противном случае функционирование новых банковских автоматизированных систем, систем электронного банкинга и хранилищ данных может оказаться неконтролируемым. В то же время и контролирующим органам требуется от кредитных организаций предоставление гарантий соответствия организации и содержания процесса внутреннего контроля способам и условиям осуществления ими своей банковской деятельности. Для получения таких гарантий в службах ВК формируются специальные подразделения аудита ИТ, состоящие из высококвалифицированных специалистов, обеспечивающих немалую часть необходимой ВК совокупной квалификации.

Главная проблема внутреннего контроля в высокотехнологичных кредитных организациях заключается в необходимости контроля функционирования реальных объектов и целостности внутрибанковских процессов фактически через виртуальное пространство. Для решения этого принципиального проблемного вопроса требуется серьезный пересмотр идеологии осуществления ВК с обеспечением его специалистов такими технологиями и средствами, которые по сложности и разнообразию не уступают собственно банковским информационным технологиям. Можно укрупненно выделить три основные категории ВК, требующие детализации при внедрении ТЭБ:

выполнение банковских операций и сделок;

подготовка регламентной банковской отчетности;

оценка соответствия установленным требованиям.

Однако в ситуации ДБО отслеживать приходится не только выполнение даже, допустим, типичных банковских операций, но всех процедур, составляющих банковскую деятельность кредитной организации как дистанционного финансового посредника. Это означает, что ВК следует распространить на весь ИКБД, начиная с клиента ДБО (вместе с условиями, в которые он поставлен договорными отношениями и средствами доступа к информационно-процессинговым ресурсам кредитной организации), продолжая провайдерами (с определением содержания SLA с каждым из них), а также подлежащими контролю информационными сечениями в ИКБД (прежде всего между СЭБ и БАС) и заканчивая учетом ордеров, приходящих из киберпространства, процедур их ФМ, обработки в кредитной организации и последующего сохранения банковской и клиентской информации в условиях, гарантирующих ее целостность, доступность и конфиденциальность. Эта проблема усугубляется отсутствием готовых методологических подходов к решению задач, поставленных в том же Положении 242-П, причем даже изучение зарубежного опыта не гарантирует получение готовых решений, так как единая и полная методология УБР отсутствует (ввиду отсутствия законченной теории банковских рисков), а значит, каждая кредитная организация вынуждена разрабатывать программы и методики ВК для ТЭБ самостоятельно.

Таким образом, для адаптации процесса ВК, как неотъемлемой составляющей банковской деятельности, целесообразно известное переосмысление, в отношении конкретных процедур, составляющих этот процесс и определяемых требованиями оптимизации ППР в части УБР электронного банкинга. Тем более что ни БКБН, ни другие зарубежные органы банковского регулирования и надзора не предлагают новых материалов, которые устанавливали бы прямые связи между особенностями ВК при использовании современных банковских информационных технологий. В анализировавшемся выше материале БКБН, посвященном принципам управления рисками при электронном банкинге, упоминалось, что для обеспечения эффективного ВК над ТЭБ нужен постоянный адекватный контроль со стороны руководства кредитной организации и что один из важнейших принципов ВК — это разделение обязанностей. Во введении к не рассматриваемому здесь и более раннему, а потому уже не во всем актуальному руководству по этой же теме было сказано, что «…эффективные средства внутреннего контроля являются критичным компонентом банковского менеджмента и основой безопасного и надежного функционирования банковских организаций». При этом, впрочем, не было определено понятие эффективности и не обосновывалась значимость ВК как такового для безопасной и надежной банковской деятельности кредитных организаций. Несмотря на важность перечисленных в упомянутой работе положений, их все-таки недостаточно для имеющего прикладное значение анализа изменений в ВК, связанных с ТЭБ.

Тем не менее основания для методических разработок, адаптирующих ВК к переходу к ДБО, можно найти, если попытаться интерпретировать разработки зарубежных органов банковского регулирования и надзора в области ВК, в частности материалы БКБН, с позиций учета состава и влияния факторов возникновения дополнительных компонентов банковских рисков, ассоциируемых с ДБО, а также специфики возникновения и проявления источников этих компонентов. В последний раз БКБН в своих публикациях уделял внимание принципам организации и осуществления ВК в кредитных организациях в 1998 г. С тех пор каких-либо новых рекомендаций по этой тематике в адрес кредитных организаций не поступало, несмотря на то что за прошедшие годы в банковской сфере произошли значительные изменения, особенно в части сервисных технологий банковской деятельности, основывающихся на разнообразном АПО ДБО. Как бы то ни было, упомянутый материал, обрисовывающий общую схему ВК в кредитной организации, вполне пригоден для интерпретации в отношении электронного банкинга.

Рассматриваемая работа (далее — Рекомендации) была ориентирована, как заявлялось, на «совершенствование банковского надзора с помощью рекомендаций, способствующих надежному управлению рисками». В ней была определена общая схема оценивания органом банковского надзора СВК кредитной организации, а фактически — модель СВК, признаваемая этим органом, которая базировалась на 13 принципах, предназначенных для использования как при совершенствовании банковского надзора, так и при оценивании системы ВК кредитной организации. Как было сказано во введении к этому материалу, «эти принципы имеют общий характер, и органам надзора следует использовать их при оценке своих собственных методов и процедур надзора для мониторинга организации банками своих систем внутреннего контроля». Одновременно однозначно указывалось на то, что «данные принципы предоставят полезную схему для эффективного надзора за системами внутреннего контроля». Таким образом, очевидно, что назначение принципов изначально полагалось двояким.

Постулировалось также, что в этом материале «описаны безусловно необходимые компоненты надежной системы внутреннего контроля», хотя в явной форме эти компоненты не предлагались банкам как обязательные для реализации. Следует, кстати, отметить, что однозначных предложений такого рода в документах БКБН вообще не встречается, и разговор обычно ведется с позиций пруденциальной организации внутрибанковских процессов, систем и процедур, реализуемых такими системами, и так называемой «лучшей практики» (без ее определения, естественно). Учитывая «надзорный» характер работы службы ВК в кредитной организации, легко прийти к заключению о пригодности рассматриваемых рекомендаций и их интерпретации для определения содержания процесса ВК в высокотехнологичной кредитной организации.

Можно заметить, что БКБН изначально строит свои Рекомендации так, как будто организация и содержание деятельности СВК в кредитных организациях совершенно не зависят от того, какие именно банковские информационные технологии ими применяются. С этим вполне можно было бы согласиться, но только в случае рассмотрения проблематики ВК с самых общих позиций. В то же время, находясь на таких позициях, в условиях ДБО невозможно определить не только четкие требования к внутрибанковским процессам и процедурам, так или иначе связанным с ВК, но даже пути и подходы к их организации, не говоря уже о такой «конкретике», как, например, квалификационные требования к персоналу СВК, его профессиональной подготовке и к сопровождению ДБО. В рассматриваемом материале прямо сказано, что «данное руководство не акцентируется на специфических областях или деятельности банковской организации», поскольку конкретная реализация ВК «зависит от характера, сложности и рисков, связанных с деятельностью определенного банка». В то же время в основаниях для излагаемого БКБН подхода отмечается, что «…системы контроля, хорошо работающие в случаях предоставления традиционных или простых услуг, могут оказаться непригодными при предоставлении более сложных или комплексных услуг». Тем не менее содержание ВК концентрируется именно на деятельности кредитной организации (а не только на выполняемых ею операциях) и служит управлению ею (хотя и опосредованно, но явно — в плане ИСУ и ППР), а поэтому возникает закономерный вопрос: как все-таки учитывать в его проведении характер, сложность и риски, связанные с электронным банкингом?

Ниже проводится рассмотрение предлагаемых БКБН принципов, описывающих организацию ВК, которые каждая кредитная организация может использовать для формирования собственной действенной методики осуществления ВК (изложив ее во внутренних документах, представляемых службе банковского надзора) и дополнения ее такой методикой выявления, оценки, анализа, мониторинга банковских рисков и управления ими, которая будет максимально учитывать особенности построения банковских автоматизированных систем, архитектур их вычислительных сетей, систем электронного банкинга и АЛО, на котором эти системы базируются. Сказанное относится и к реинжинирингу СВК кредитной организации в целом в связи с внедрением ТЭБ, что определяется решениями ее высшего руководства в соответствии с внутрибанковским мета-процессом, связанным с переходом к ДБО.

Принцип 1. Совет директоров должен нести ответственность за утверждение и периодическую проверку общей бизнес-стратегии и наиболее важных политических решений для банка, понимание главных рисков, с которыми имеет дело банк, определение приемлемых уровней для этих рисков и гарантирование того, что высшее руководство принимает необходимые меры для идентификации, измерения, мониторинга и контроля этих рисков, утверждение организационной структуры, а также обеспечение мониторинга со стороны высшего руководства эффективности системы внутреннего контроля. Совет директоров является в конечном счете ответственным за гарантированную организацию и поддержание адекватной и эффективной системы средств внутреннего контроля.

Анализируя содержание этого принципа, можно предположить, что система ВК может считаться эффективной, если в результате ее работы агрегированный риск, принимаемый кредитной организацией, окажется равным так называемому «чистому риску», который определялся ранее. Отсюда следует вывод, что в руководящие органы этой организации должны входить специалисты, разбирающиеся и в банковских рисках, и в их источниках, и в измерении рисков, и в мероприятиях по воздействию на источники рисков с целью исключения или снижения их влияния на результаты принятия решений (в рамках ПСУ). В органах банковского регулирования и надзора США считается, что такие руководители в административной иерархии кредитной организации соответствуют по уровню вице-президенту и менеджеру отдельного бизнес-направления (который определяется как «Chief Executive Officer»).

В комментариях к этому принципу отмечается, что «совету директоров банка рекомендуется включить в свою деятельность в части ВК:

1) регулярное обсуждение с руководством эффективности системы ВК;

2) своевременные запросы оценок средств ВК со стороны руководства, внутренних и внешних аудиторов;

3) периодический контроль выполнения руководством рекомендаций аудиторов и надзорных органов по устранению недостатков В К;

4) периодическую проверку следования стратегии банка и ограничению уровней банковских рисков»

Здесь же упоминается возможность формирования в помощь совету директоров кредитной организации дополнительного контрольного органа — «аудиторского комитета», который «должен состоять из независимых директоров, имеющих представление о финансовой отчетности и средствах ВК». В обязанности этого комитета входят контроль финансовой отчетности и наблюдение за функционированием СВК. По-видимому, в дальнейшем (в формулировке принципа 11) именно эта функция обозначается как «мониторинг внутреннего контроля». Однако одновременно говорится, что «аудиторский комитет, как правило, наблюдает за деятельностью департамента внутреннего аудита банка, непосредственно взаимодействует с ним, а также осуществляет основное взаимодействие с внешними аудиторами». Про СВК не сказано ничего, вследствие чего ситуация с множащимися контрольными органами представляется несколько запутанной.

Как бы то ни было, относительно электронных банковских технологий сказанное выше означает, что и в совете директоров кредитной организации, и в ее высшем руководстве (да, пожалуй, и в аудиторском комитете) крайне желательно присутствие таких специалистов, которые имеют представление о распределенных компьютерных системах в целом, о построении информационных контуров банковской деятельности и о тех угрозах безопасности, целостности операций и данных, как факторах риска, которые типичны для таких контуров (что позволяет провести параллели с материалом в Risk Management Principles for Electronic Banking). На практике такая компетентность проявляется по-разному: в принятии обоснованных стратегических решений относительно внедрения технологий ДБО как таковых и их отдельных вариантов (в общем случае, с исключением повышения уровней банковских рисков, рассматривавшихся в главе 2), проведения соответствующей маркетинговой компании, определения тарифных планов, содержания договоров с клиентами, контрагентами и другими провайдерами (с позиций удержания уровней типичных банковских рисков в допустимых пределах), реализации функций ОИБ, ВК и ФМ и т. п. При этом само понятие адекватности ВК предполагает, что все перечисленное будет относиться и ко всем видам банковских операций, выполняемых кредитной организацией, и к предоставляемым ею видам обслуживания клиентов, причем с помощью всех используемых средств автоматизации этого обслуживания (ИКБД). Наконец, предполагается, что конкретные представители высшего руководства кредитной организации способны предъявить требования как к составу и организации СВК, так и к составу используемого АПО, а также убедиться в том, что эти требования реально выполняются (сказанное относится к так называемому «мониторингу системы ВК», о чем идет речь в Положении 242-П).

Принцип 2. Высшее руководство должно нести ответственность за реализацию стратегии и политики, утвержденных советом директоров, разработку процессов идентификации, измерения, мониторинга и контроля рисков, принимаемых на себя банком, поддержание организационной структуры, обеспечивающей четкое распределение ответственности, полномочий и подотчетности, гарантирование эффективного выполнения делегированных полномочий, внедрения надлежащей политики внутреннего контроля, а также мониторинг адекватности и эффективности системы внутреннего контроля.

В комментариях к этому принципу постулируется, что высшее руководство кредитной организации несет ответственность за выполнение директив совета директоров, включая реализацию стратегии и политики, а также за организацию эффективной СВК. Вместе с тем указывается, что «члены высшего руководства обычно делегируют ответственность за внедрение специальной политики и процедур ВК, связанных со специфической деятельности тех или иных подразделений банка, на руководителей этих подразделений, при сохранении наблюдения над ними». Здесь заложено (и далее просматривается практически во всех остальных принципах) коренное отличие от подхода к организации ВК в отечественных кредитных организациях, а именно «распределение» функций ВК практически по всему персоналу кредитной организации вместо формирования в ней специализированного подразделения В К, подчиняющегося непосредственно высшему руководству и являющегося ядром СВК.

В то же время, поскольку применение ТЭБ затрагивает работу нескольких структурных подразделений кредитной организации, логично использовать аналогичное предложенному БКБН распределение функций ВК. Чтобы процесс ВК автоматизированной и распределенной через ИКБД банковской деятельности охватывал все внутрибанковские процессы, процедуры и функции, выполняемые кредитной организацией, наряду с внутренними и внешними взаимосвязями, служба ВК должна располагать возможностями, механизмами и средствами адекватного информационно-аналитического обеспечения своей деятельности. Следствием этого становится гарантированно полное и своевременное информационное обеспечение руководства организации, без которого невозможно принятие правильных решений в отношении выявления, анализа, мониторинга источников компонентов банковских рисков и управления ими. Поэтому, учитывая ролевую функцию службы ВК в процессе ППР, логично рассматривать эту службу как некий информационно-аналитический центр, оснащенный «датчиками», расположенными в других подразделениях кредитной организации, имеющих отношение к осуществлению и обеспечению ДБО. При этом структура СВК может быть условно представлена схемой на рис. 5.7.

Здесь СВК интерпретирована как служба ВК с элементами ВК, внедренными в функциональные процессы других структурных подразделений кредитной организации.

Все перечисленные во втором принципе меры должны быть документированы, и важность этого подчеркивается в Рекомендациях, равно как и значимость доведения политики кредитной организации и описаний организованных в ней процессов и процедур до ее персонала, что важно для иерархии полномочий и подотчетности. При этом обращается внимание на то, что «…распределение обязанностей и ответственности должно быть таким, чтобы гарантировалась непрерывность подотчетности и чтобы эффективный управленческий контроль распространялся на все уровни банка и виды его деятельности». Надо заметить, что для охвата всего ИКБД документарное обеспечение должно быть весьма развитым, для высшего руководства это означает также и развитый внутрибанковский механизм, с помощью которого будет осуществляться управленческое наблюдение — решение о его создании требует коллегиального принятия и реализации.

Принцип 3. Совет директоров и высшее руководство отвечают за поддержание высоких стандартов этики и честности, а также за внедрение такой культуры в организации, которая подчеркивала бы и демонстрировала бы важность внутреннего контроля для персонала всех ее уровней. Все сотрудники банковской организации должны понимать свою роль в процессе внутреннего контроля и быть полностью вовлечены в этот процесс.

В условиях электронного банкинга поддержание стандартов, о которых говорится в третьем принципе, становится непростой задачей, во-первых, из-за специфики информационного взаимодействия между кредитной организацией и ее клиентами через киберпространство, во-вторых, из-за возможности НСД, как говорят, к «чувствительной» клиентской информации, мошеннических действий, хищений финансовых средств и скрытого осуществления «сомнительных» финансовых операций. Поскольку проявление «человеческого фактора» предвидеть крайне трудно, руководству высокотехнологичной кредитной организации лучше не уповать на честность, а позаботиться о максимально широком соответствии банковской деятельности и условий использования каждой СЭБ принципу «четырех глаз». Не менее важна разработка полноценных программ ВК (особенно в части аудита ИТ), охватывающих все каналы ДБО, информационные сечения между автоматизированными системами, сетевые кабельные подключения и автоматизированные рабочие места персонала (прежде всего те, которые предназначены для выполнения функции администрирования информационно-процессинговых ресурсов организации).

Акцент на этом целесообразно сделать в положениях о СБ и о службе ВК, а также отразить соответствующий подход в «Положении о системе внутреннего контроля» кредитной организации, «Положении об управлении банковскими рисками» и «Политике обеспечения информационной безопасности». Надо подчеркнуть, что внедрение каждой новой ТЭБ и реализующей ее СЭБ, даже если такие системы однородны (как, например, системы интернет-банкинга для юридических и физических лиц), должно бы сопровождаться проявлениями мета-процесса в отношении упомянутых документов и процедур в составе соответствующих внутрибанковских процессов. Впрочем, сказанное здесь не исключает пропагандирование моральных и этических корпоративных ценностей, только в условиях применения ТЭБ его лучше строить таким образом, чтобы не натолкнуть кого-либо из ответственных исполнителей на мысль об использовании возможностей виртуального пространства в личных целях, отличающихся от корпоративных.

Принцип 4. Чтобы система внутреннего контроля была эффективной, требуется распознавать и постоянно оценивать материальные риски, которые могут негативно повлиять на достижение целей банка. Это оценивание должно охватывать все риски, с которыми сталкивается банк и консолидированная банковская организация (а именно, кредитный риск, страновой и трансферный риск, рыночный риск, процентный риск, риск ликвидности, операционный риск, правовой риск и репутационный риск). Может потребоваться пересмотр средств внутреннего контроля в интересах правильного реагирования на новые или ранее неконтролируемые риски.

В комментариях к этому принципу говорится следующее: «Банки заняты бизнесом, связанным с принятием рисков. Поэтому принципиально важно, чтобы в рамках системы внутреннего контроля эти риски распознавались и оценивались на постоянной основе. С позиций внутреннего контроля при выявлении рисков должны идентифицироваться и оцениваться внутренние и внешние факторы, которые могут негативно повлиять на достижение функциональных, информационных и правовых целей банковской организации». В этом принципе намечено нечто более конкретное сравнительно с предыдущими — эффективность включает выявление, распознавание + непрерывное оценивание всех материальных рисков, без чего эффективность не может быть достигнута (приведенный состав банковских рисков отличен от предложенных в книге).

Указывается также, что «эффективное выявление рисков предполагает идентификацию и изучение внутренних факторов (таких как сложность организационной структуры, характер банковской деятельности, качественный состав персонала, организационные изменения и текучка кадров), равно как и внешних факторов (таких как вариации финансовых условий, изменения в данной сфере и технологические усовершенствования), которые способны негативно повлиять на достижение банком своих целей». При этом выявление риска следует осуществлять и по отдельным направлениям бизнеса, и по деятельности организации в целом, и на консолидированной основе — в случае многофилиальных организаций (о чем дополнительно будет сказано в параграфе 5.6). Остальное содержание этого принципа, по существу, уже было прокомментировано в параграфе 5.2.

Принцип 5. Работа по осуществлению контроля должна входить в повседневную деятельность банка. Чтобы система внутреннего контроля была эффективной, требуется должная структура контроля с определением контрольных мероприятия для каждого уровня бизнеса. В их число следует включить проверки со стороны руководства, надлежащую контрольную деятельность для различных департаментов и подразделений, средства физического контроля, проведение проверок на предмет соответствия ограничениям на уязвимость и последующий контроль устранения несоответствий, систему утверждения и авторизации, а также систему подтверждения и выверки.

Этим принципом введен еще один компонент, определяющий эффективность ВК, — должная структура контроля. Это означает, что с самого начала контрольная деятельность планируется и реализуется для снижения уровней рисков, которые банк идентифицирует. Такая деятельность осуществляется в два этапа: 1) разработка соответствующей «политики» и процедур контроля; 2) подтверждение того, что указанные политика и процедуры действуют. Контролем также предлагается охватывать все уровни персонала в кредитной организации: от высшего руководства до операционистов. В комментариях к этому принципу электронные банковские технологии не упоминаются, а значит, банковские специалисты, входящие в СВК, в случае внедрения конкретной ТЭБ должны руководствоваться своими представлениями, а высшему руководству ВК придется принимать решение относительно степени адекватности новых подходов к его осуществлению принципам БКБН. Можно представить также квалификационные требования к таким специалистам. В Рекомендациях приведены следующие примеры контрольной деятельности:

проверки высшего уровня — совет директоров и высшее руководство требуют отчеты о работе, позволяющие проверять, насколько текущая деятельность в банке соответствует поставленным целям. При этом имеет место интенсивное взаимодействие с менеджерами среднего звена, в ходе которого могут выявляться недостатки в контроле, ошибки в отчетности или мошенничества;

средства оперативного контроля — руководство департаментов или управлений получает и проверяет стандартизованные отчеты о текущей работе на ежедневной, еженедельной или ежемесячной основе в зависимости от особенностей бизнес-направлений. Собственно контроль реализуется при взаимодействии руководства с отчитывающимся персоналом по схеме «вопрос — ответ»;

средства физического контроля — они обычно ориентированы на ограничение доступа к активам, включая наличные и ценные бумаги. В собственно деятельность включены физические ограничения, двойная защита и периодическая инвентаризация;

соблюдение установленных ограничений — имеется в виду подверженность риску, например, установление лимитов для заемщиков (в плане кредитного риска) и диверсификация профиля риска;

утверждение и авторизация — в отношении конкретных транзакций, особенно выходящих за установленные пределы, трактуется как информирование руководства соответствующего уровня, утверждающего эти действия, о том, что такие случаи имеют место.

Эти и другие, менее существенные действия ставят перед ВК серьезные задачи. К примеру, необходимо убедиться в том, что формируемые из виртуального пространства БАС финансовые и другие отчеты (неважно, с какой периодичностью) содержат достоверную информацию. В СВК в этом случае необходимо включать внедренные в СЭБ и БАС средства подтверждения целостности записей в компьютерных базах данных, файлах системных и аудиторских журналов и пр. и собственные средства проверки при необходимости выполнения правил учета, обработки, хранения ордеров клиентов. Если же какой-либо клиент осуществляет крупные и (или) сомнительные операции, подпадающие под юрисдикцию службы ФМ (о чем, кстати, в Рекомендациях ничего не сказано, хотя ПОД/ФТ охватило весь мир), то, в общем случае, необходимы средства автоматизированного программного контроля в БАС, а следовательно, их надо проектировать, разрабатывать, проверять, равно как определять возможности контроля их функционирования, предусмотрев в АС соответствующие «контрольные точки» и индикаторы, сообщающие о подозрительных операциях, и многое другое.

В добавление к сказанному отмечается, что «…руководство банка обязано регулярно убеждаться в том, что работа на всех участках банка ведется в соответствии с установленными политикой и процедурами, а те в свою очередь остаются адекватными. В этом обычно заключается главная роль функции внутреннего аудита». Учитывая комментарии к первому принципу, нетрудно представить требуемый уровень компетентности руководства кредитной организации и службы ВК, равно как и ее специалистов, а также требования к их технологическому и техническому оснащению, программам и методикам проведения проверок и т. п.

Принцип 6. Чтобы система внутреннего контроля была эффективной, требуется надлежащее разделение обязанностей. На персонал не должны возлагаться конфликтующие обязанности. Области потенциальных конфликтов интересов следует идентифицировать, минимизировать и обеспечить их тщательный независимый мониторинг.

Этим принципом определяется еще один компонент эффективности ВК — надлежащее разделение обязанностей, которое предназначено прежде всего для снижения вероятности финансовых потерь. Смысл его в том, чтобы лица, осуществляющие управление финансовыми средствами, не могли тайно воспользоваться ими в личных целях, а лица, ответственные за операции, следствием которых могут быть финансовые потери, не имели возможности их скрыть. Этот принцип подтверждает целесообразность активного участия службы ВК (и СБ) в ЖЦ внедряемой СЭБ с самого начала, чтобы предусмотреть правильное разделение прав и полномочий доступа к внутрибанковским компьютерным системам, операционному программному обеспечению, файлам банковских данных и регламентных отчетов, а также наличие физических и логических (программных) средств ограничений возможностей пользователей БАС и СЭБ вместе с порядками их внедрения, сопровождения, изменения и т. п. Тем самым будет оказано содействие требуемому разделению обязанностей с «контрольного» уровня, учитывая, что в части идентификации и минимизации таких проблемных областей конкретных предложений в Рекомендациях нет, а мониторинг их должен осуществляться «независимой третьей стороной».

Кроме того, в комментарии к этому принципу сказано, что «.. должны осуществляться периодические проверки обязанностей и функций основных исполнителей, чтобы у них не было возможностей скрыть непредусмотренные действия». Фактически такие процедуры реализуются действиями администраторов автоматизированных систем и информационной безопасности, поэтому к ним, к их должностным обязанностям (равно как и к их исполнению) руководству кредитной организации целесообразно привлекать внимание службы ВК, не забывая о значимости следования принципу «четырех глаз». Последнее необходимо документировать в положениях о «заинтересованных» структурных подразделениях кредитной организации и должностных инструкциях ответственных исполнителей, о чем также логично позаботиться исполнительным органам, которые руководствуются содержанием упоминавшегося внутрибанковского мета-процесса.

Принцип 7. Чтобы система внутреннего контроля была эффективной, требуется адекватная и полная внутренняя финансовая, операционная и правовая информация, равно как и внешняя рыночная информация о событиях и условиях, которые следует учитывать при принятии решений. Информация должна быть надежной, своевременной, доступной и предоставленной в требуемом формате.

В комментариях к этому принципу, кроме повторения его содержания, говорится только о том, что должны иметься процедуры для поддержания и сохранения записей (какие и каких — не уточняется). Исходя из изложенного в главах 3 и 4, руководству и специалистам ВК целесообразно вместе с сотрудниками подразделений ИТ и СБ определить внутрисистемные информационные сечения и контрольные точки, в которых они смогут считывать требуемую им контрольную информацию (помимо упоминавшихся типовых процедур организационного и документарного характера). Состав соответствующих финансовых, операционных, клиентских и служебных (и сеансовых — в случае ДБО) данных предпочтительно зафиксировать документально и, скорее всего, оформить как сведения ограниченного распространения. Необходимо помнить, что методы и содержание проверок не должны быть общедоступными, чтобы знания о них не были использованы в попытках осуществления противоправных действий или сокрытия совершенных ошибок, для чего любая ТЭБ и виртуальное пространство БАС зачастую предоставляют разнообразные возможности.

Принцип 8. Чтобы система внутреннего контроля была эффективной, требуются надежные информационные системы, охватывающие все важные направления деятельности банка. Эти системы, включая те, в которых данные хранятся и используются в электронной форме, должны быть защищены, независимо контролируемы и поддержаны адекватными мерами на случай непредвиденных обстоятельств.

Критическим компонентом обеспечения надежности банковской деятельности является организация и сопровождение ИСУ, которая охватывает все процессы в кредитной организации. В Рекомендациях отмечается, что «банки должны уделять особое внимание… требованиям внутреннего контроля, относящимся к обработке информации в электронной форме и наличию адекватных аудиторских записей. От плохо спроектированных и недостаточно контролируемых систем может поступать ненадежная и вводящая в заблуждение информация, что способно негативно повлиять на принятие решений руководством». Там же говорится о необходимости принимать меры для обеспечения бесперебойной работы информационных систем, чтобы избежать прерывания операций и возможных потерь. Поскольку в настоящее время банковские компьютерные системы стали распределенными, особенно за счет вовлечения в обработку транзакций и данных организаций-провайдеров, число факторов риска увеличилось, и соответственно могут значительно возрасти уровни банковских рисков, связанных как с автоматизированными системами, так и с ИКБД в целом. Поэтому пропорциональное расширение сферы ответственности ВК неизбежно, поскольку, несмотря на решения части задач подразделением ИТ и СБ, первое из них, как правило, уделяет больше внимания БАС и СЭБ, а второе — вопросам инкассации и физической безопасности кредитной организации. При этом критично важным становится ведение системных логов и аудиторских трейлов, в файлах которых фиксируются операции пользователей БАС и СЭБ. Но даже при полном охвате этими службами всех функциональных участков электронного банкинга необходим внешний по отношению к их деятельности контроль, который является прерогативой ВК.

В Рекомендациях поясняется, что средства контроля над информационными системами и технологиями должны включать как общие, так и прикладные средства. Под общими средствами контроля понимаются те, которые относятся к компьютерным системам (например, мэйнфреймам и серверам, взаимодействию клиент — сервер, сетевым экранам, рабочим станциям и т. п.) и обеспечивают их непрерывное правильное функционирование. Общие средства контроля включают внутрибанковские процедуры мониторинга и восстановления функционирования, политику информатизации (разработки и приобретения программного обеспечения), процедуры сопровождения (контроля изменений), также средства контроля физического/логического доступа к БАС, СЭБ, ЛВС, ЗВС и пр. Прикладные средства (в соответствии с Положением 242-П) имеют вид «встроенных в служебное программное обеспечение или выполняемых вручную процедур, которые контролируют обработку транзакций и деловые операции. В прикладные средства контроля входят, например, проверка ввода и специфическое управление логическим доступом, уникальное для той или иной системы». При отсутствии адекватных средств контроля над информационными системами и технологиями, включая разрабатываемые системы, банки подвергаются опасности потери данных и программ из-за недостаточности мер физической и логической защиты, отказов оборудования или систем, а также неполноты собственных процедур резервирования и восстановления функционирования. В Рекомендациях отмечается, что «планирование на случай форс-мажорных обстоятельств следует осуществлять по всему банку, с привлечением руководителей направлений бизнеса, не ограничиваясь только централизованными операциями». Что касается самих планов, то их следует периодически оценивать на «функциональность», исходя из возможных внезапных катастрофических событий.

Принцип 9. Чтобы система внутреннего контроля была эффективной, требуются эффективные каналы взаимодействия, обеспечивающие полное понимание и приверженность персонала политике и процедурам, определяющим их обязанности и ответственность, а также доведение информации, имеющей к ним отношение, до соответствующего персонала.

Комментарий этого принципа начинается с постулата «информация бесполезна, если отсутствуют средства ее эффективного доведения». В обязанности руководства вменяется применение таких способов коммуникаций, которые гарантировали бы получение требуемой информации теми, для кого она предназначена. Это утверждение относится к информации как о принятых политике и процедурах кредитной организации, так и о ее реальном функционировании и прямо зависит от организационной структуры, которая должна обеспечивать должное прохождение информационных потоков в соответствующей иерархии «сверху — вниз, снизу — вверх и по горизонтали». Главное — «совет директоров и высшее руководство должны быть в курсе работы банка и деловых рисков и уверены в том, что необходимая информация доводится до руководителей нижнего звена и операционного персонала».

Принцип 10. Следует осуществлять на постоянной основе мониторинг эффективности средств внутреннего контроля банка. Мониторинг основных рисков должен быть составной частью повседневной деятельности в банке, так же как периодическое оценивание направлений бизнеса и внутренний аудит.

Этот и все оставшиеся принципы не имеют непосредственного отношения к ВК и связаны с деятельностью «вокруг» него. Они ориентированы, по-видимому, преимущественно на содержание контрольных функций в отношении кредитной организации (в части ВК), реализуемых органом банковского надзора.

Считается, что, поскольку банковское дело является динамичным и быстро развивающимся, «банкам необходимо осуществлять постоянный мониторинг и оценивание своих систем внутреннего контроля с точки зрения изменений во внутренних и внешних условиях и совершенствовать эти системы в целях поддержания их эффективности». При этом руководство кредитной организации должно четко определить, кто за такой мониторинг отвечает, — это может быть, например, служба внутреннего аудита, а осуществляться он должен на повседневной основе исходя из «состава наблюдаемых рисков, частоты и характера изменений в операционной среде». В части внедрения и развития ТЭБ, безусловно, целесообразно вовлечение службы ВК в эти процедуры, поскольку невозможно контролировать применение новых технологий без ознакомления с ними. Это тем более важно, что современные аппаратно-программные комплексы развиваются столь быстро, что не всегда компании-разработчики успевают полно и качественно провести даже альфа-тестирование, не говоря уже о бета-тестировании. Не менее важно участие ВК в процедурах «стыковки» каждой новой АС с уже действующими, так как это всегда связано с проблемами обеспечения совместимости АПО разных версий и степеней сложности или разных операционных систем. Даже если специалисты ВК не обладают всей полнотой технических знаний (а их профессиональная переподготовка должна быть регулярной — в соответствии с мета-процессом), все равно им следует требовать от специалистов технического плана подтверждения достаточности встроенных или дополнительных (внешних) средств контроля функционирования вновь внедряемой АС и проведения полноценных ПСИ.

Достоинство текущего мониторинга ВК, как отмечается в Рекомендациях, состоит в том, что он позволяет быстро обнаружить и скорректировать недостатки в СВК, однако скорее сами специалисты ВК выявят нехватку какой-либо профессионально необходимой информации, чем какая-либо внешняя по отношению к ним служба (которая должна в этом случае характеризоваться еще более высокой квалификацией, чем внутренние контролеры). Это относится прежде всего к самооценке используемых средств контроля, а также условий, в которых они применяются. В пределе максимальная эффективность ВК достигается только в том случае, если его средства «интегрированы» в бизнес-процессы, в операционную среду кредитной организации и имеется возможность формирования оперативных контрольных отчетов, содержащих всю необходимую информацию для полноценного контроля функционирования автоматизированных систем, используемых кредитной организацией, в чем должно быть заинтересовано ее руководство.

Принцип 11. Должен быть организован эффективный и полноценный внутренний аудит системы внутреннего контроля, осуществляемый функционально независимым, прошедшим должную подготовку и компетентным персоналом. Те, кто осуществляет функцию внутреннего аудита как части мониторинга системы средств внутреннего контроля, должны отчитываться непосредственно перед советом директоров или его аудиторским комитетом и перед высшим руководством.

Независимая от рабочих подразделений кредитной организации функция внутреннего аудита, имеющая доступ ко всей его банковской деятельности, включая филиалы, считается важной частью текущего мониторинга системы средств ВК, поскольку она «обеспечивает независимое оценивание соответствия установленным политике и процедурам». Оценка работы соответствующей службы должна даваться советом директоров или высшим руководством, определяющими также ее финансирование, причем независимо от руководителей контролируемых подразделений. Других комментариев БКБН к этому принципу не дает, хотя возникают как минимум три вопроса: а) целесообразно ли дублирование службой внутреннего аудита (ВА) процедур ВК и если да, то в какой мере; б) какой должна быть квалификация специалистов этой службы, если в случае, скажем, применения ТЭБ в службе ВК и так должны быть представлены как минимум финансовая, техническая (с ориентацией на компьютерные технологии) и юридическая квалификации; в) какова должна быть компетентность представителя руководства кредитной организации, который будет оценивать результаты внутреннего аудита? Вероятно, более уместным было бы разделение функций обеих служб таким образом, чтобы сотрудники ВК больше ориентировались на организационные, технологические (в широком смысле) и технические аспекты банковской деятельности, а ВА — на административные, финансовые и правовые вопросы, хотя готовых решений в этой части на сегодняшний день, похоже, еще не найдено, вследствие чего в других, не рассматриваемых здесь работах БКБН встречаются и не согласующиеся с рассмотренными положения.

Принцип 12. О недостатках во внутреннем контроле независимо от того, выявлены они по направлениям бизнеса внутренним аудитом или другим персоналом, выполняющим контрольные функции, следует своевременно и адресно докладывать на соответствующем управленческом уровне. О значимых недостатках во внутреннем контроле следует докладывать высшему руководству и совету директоров.

В комментарии к этому принципу отмечается, что после выявления недостатков в работе ВК действия руководства кредитной организации по исправлению ситуации должны быть «адекватными и своевременными». Внутренним же аудиторам следует осуществлять последующий контроль и устанавливать, все ли недостатки исправлены, докладывая об этом руководству и документируя все проблемы и корректирующие мероприятия.

Принцип 13. Органам надзора следует требовать, чтобы все банки, независимо от их размера, имели систему средств внутреннего контроля, соответствующую характеру, сложности и риску, присущему их балансовым и внебалансовым операциям, которая адаптировалась бы к изменениям в самом банке и внешних условиях. В тех случаях, когда надзорным органом устанавливается, что система внутреннего контроля банка не является адекватной или эффективной с точки зрения конкретного профиля риска банка (например, учитывает не все принципы, изложенные в настоящем документе), им должны приниматься соответствующие меры.

Построение СВК кредитной организации, ее адекватность содержанию банковской деятельности и эффективность, а также реакция руководства на результаты ее функционирования «должны оцениваться органом банковского надзора на основе риск-ориентированного подхода». При этом особо отмечается, что «должны оцениваться средства контроля в областях повышенного риска (как то, деятельность, характеризуемая необычной доходностью, быстрым развитием, новыми бизнес-решениями, географической удаленностью от головного офиса)». Можно предположить, что последние два примера непосредственно относятся к ДБО. Далее сказано, что «…изменения в условиях работы банка следует подвергать специальному рассмотрению». К этим изменениям отнесены:

1) изменения в операционных условиях;

2) прием нового персонала;

3) внедрение новой информационной системы или ее модернизация;

4) быстрое развитие какой-либо области деятельности;

5) внедрение новых технологий;

6) появление новых услуг, видов обслуживания или деятельности;

7) корпоративная реструктуризация, слияния и приобретения;

8) внедрение или расширение зарубежных операций.

Очевидно, что практически три четверти перечисленных изменений можно прямо отнести к внедрению или расширению применения технологий электронного банкинга. Что касается «соответствующих мер», то под ними понимаются информирование руководства кредитной организации о выявленных проблемах и мониторинг мероприятий, проводимых им для устранения недостатков ВК. Соответственно сотрудникам СВК следует быть готовыми к тому, что все связанное с новыми банковскими информационными технологиями, особенно в современных условиях с технологиями ДБО, привлечет внимание банковского надзора.

В завершение рассмотрения можно заметить, что в последние годы получают распространение так называемые «трансграничные» банковские операции, совершаемые кредитными организациями в электронной форме в рамках ДБО. Дополнительный стимул к их развитию дала такая его разновидность, как интернет-банкинг. Этому направлению в настоящее время уделяется повышенное внимание органов банковского и финансового надзора разных стран в связи с целым рядом потенциальных проблем ДБО, а именно его правовой неурегулированностью на локальных и международном уровнях, прохождением транзакций через процессинговые центры, расположенные на территории разных государств, возможностями его использования для «отмывания» денег и пр. Поэтому в современных условиях перед последним, 13-м принципом Рекомендаций можно было бы добавить еще один принцип, формулировка которого получена на основе положений более поздних публикаций БКБН:

Банкам следует интегрировать в свою систему управления рисками те риски, которые могут оказаться связаны с трансграничным банковским обслуживанием через каналы электронного банкинга. Все процедуры управления такими рисками, как риск ликвидности, операционный, правовой, репутационный, страновой и стратегический риски, необходимо адаптировать с позиций обеспечения выполнения обязательств перед клиентами, адекватного раскрытия информации о банковской деятельности и организации надлежащих процессов контроля управления рисками и оценки его качества до того, как приступать к трансграничному обслуживанию с помощью технологий электронного банкинга.

Трансграничная активность в рамках ДБО постоянно увеличивается в последнее время, поскольку пользование таким обслуживанием расширяется во многих странах и Россия не является исключением. Причем наблюдается стабильный рост пользователей Интернета, которые охотно используют эту разновидность ДБО ввиду предоставляемых ею удобств для доступа к банковским услугам. Не исключено, что в скором времени, учитывая результаты либерализации российского валютного законодательства, клиенты будут обращать все меньше внимания на то, в какой конкретно стране мира расположен банк, услугами которого они предполагают воспользоваться.

На основе проведенного рассмотрения уместно сделать еще два принципиальных замечания по существу вопроса модернизации ВК как процесса, СВК как «общебанковской» структуры и обеспечения совокупной квалификации входящих в нее специалистов кредитной организации, внедряющей ТЭБ, а именно:

1) кредитные организации могут неадекватно оценивать надежность (качество) процесса ВК (и ФМ), вследствие чего могут смещаться профили и повышаться уровни банковских рисков;

2) контролирующим органам требуется от кредитных организаций предоставление гарантий соответствия организации и содержания процесса ВК способам и условиям осуществления ими своей банковской деятельности.

На обеих проблемах в последние годы зарубежными органами финансового контроля (в широком смысле) делаются серьезные акценты.

В материалах зарубежных органов банковского регулирования и надзора предполагается, что руководители современных кредитных организаций осознают значимость ИТ для их деятельности в целом, равно как и сопутствующих их применению компонентов банковских рисков, а следовательно, используют в рамках ВК подходы так называемого «компьютерного аудита» или аудита ИТ. За рубежом такие подходы разрабатываются преимущественно Институтом внутренних аудиторов, основанным в 1941 г., и Ассоциацией аудита и контроля информационных систем, основанной в 1969 г. Последней организацией разработан набор стандартов, в соответствии с которыми считается целесообразным проводить проверки функционирования информационных систем, классифицирующихся по следующим категориям:

В целом предполагается ориентация ВК на выявление и оценку степени серьезности уязвимостей. Поэтому в этих стандартах акцент делается прежде всего на знаниях и подготовке аудиторов ИТ, которые обеспечиваются сертификацией CISA — «Сертифицированный аудитор информационных систем» и CISM — «Сертифицированный менеджер информационных систем». Отмечается, что такие специалисты, помимо изначальной профессиональной подготовки, должны поддерживать уровень своей квалификации в соответствии с развитием банковских информационных технологий и автоматизированных систем, точнее, она должна всегда немного опережать его. Поэтому наличие таких сотрудников в составе службы ВК считается одной из гарантий обеспечения технологической надежности кредитной организации. На этом, а также на участии этих специалистов в ЖЦ банковских автоматизированных систем всегда делается акцент в литературе, посвященной аудиту ИТ, составляющих основу современного бизнеса’. По существу ни одна системная разработка, АС или СЭБ не должны внедряться в кредитной организации без участия специалистов ВК, причем их участие необходимо с начала проектирования таких систем, как об этом было сказано выше. В книге Davis С., Schiller М., Wheeler К. IT Auditing: Using Controls to Protect Information Assets, представляющей собой отличное введение в аудит ИТ, указывается, что ВК «должен быть не частью проблемы, а частью ее решения». При этом его специалистам следует присутствовать на всех важных совещаниях по вопросам автоматизации, они должны активно участвовать в обсуждении предусматриваемых в автоматизированных системах средств контроля и ни в коем случае не «занимать позицию мухи на стене». Стоит добавить, что такую ролевую функцию ВК руководству кредитной организации целесообразно предусмотреть в ее «Положении о службе внутреннего контроля» (на основе риск-ориентированного подхода) и должностных инструкциях ответственных менеджеров и исполнителей.

В качестве примера расширения состава функций службы ВК в случае внедрения технологии интернет-банкинга можно привести соответствующий перечень, скомпонованный по материалам североамериканских и западноевропейских органов банковского регулирования и надзора. Согласно их рекомендациям на службу В К, помимо контроля над работой подразделения ИТ, возлагаются также функции контроля:

над содержанием и ведением web-сайта, используемого кредитной организацией;

бухгалтерским учетом операций, совершаемых через Интернет, и отражением соответствующих данных в банковской отчетности;

функционированием, финансовым состоянием и аппаратно-программным обеспечением провайдеров кредитной организации;

поставщиками программного обеспечения интернет-банкинга;

мероприятиями, осуществляемыми службой ОИБ и защиты информации кредитной организации.

Тем самым должна обеспечиваться контролируемость в целом информационного контура интернет-банкинга, используемого кредитной организацией.

Что касается адаптации ВК, то связанный с ним и сопутствующий ему мета-процесс во многом аналогичен рассмотренному в отношении процесса ОИБ. Он строится, как предлагалось выше, исходя из содержания жизненного цикла процесса ВК в отношении, в данном случае, систем ДБО. В целом он заключается в выполнении совокупности опять-таки типовых, описанных во внутренних документах кредитной организации процедур, которые обеспечивали бы поддержание управляемости и контролируемости ИКБД на уровне, соответствующем установленным в ней границам для уровней принимаемых банковских рисков.

В число типовых внутрибанковских процедур в части ВК целесообразно включать (как минимум):

разработку мер по обеспечению полноты и адекватности функционирования системы ВК при принятии решения о внедрении новой банковской технологии (в первую очередь — технологии ДБО), т. е. участие в проектировании и разработке внутрибанковских систем;

контроль над реализацией этих мер при практическом внедрении программно-технических решений, в которых закладываются новые средства обеспечения ВК и (или) модернизируются уже существующие, т. е. участие в ПСИ начиная со стадии подготовки их программ и методик;

регулярную проверку функциональности и надежности средств ВК, т. е. участие в эксплуатации и сопровождении автоматизированных систем, а также контроль над функционированием и состоянием аналогичных компьютерных систем провайдеров кредитной организации;

обеспечение адаптации мер по обеспечению управляемости и контролируемости ИКБД при модернизации автоматизированных систем и выводе их из эксплуатации и замене, а также при заключении контрактных отношений с новыми провайдерами (включая замену провайдера в интересах учета специфики той или иной организации).

Эти процедуры, как и в случае адаптации ОИБ, целесообразно специально разрабатывать и адаптировать для каждой из технологий электронного банкинга, используемой кредитной организацией.

Точно так же «Положение о внутреннем контроле» (или его аналог) и связанные с ним внутрибанковские документы целесообразно пересматривать при внедрении каждой новой технологии электронного банкинга и реализующей ее системы и однозначно увязывать его содержание с содержанием «Положения об управлении банковскими рисками», включающего описания компонентов банковских рисков, ассоциируемых с электронным банкингом (как минимум операционного, правового, репутационного, неплатежеспособности и стратегического рисков). В «Положение о внутреннем контроле» кредитной организации целесообразно включить описание специальных функций контроля над управлением банковскими рисками, «привязав» их к конкретным системам электронного банкинга, а также над организацией ФМ и содержанием положения о его осуществлении в кредитной организации. Общая оценка значимости роли ВК с риск-ориентированных позиций в условиях применения и развития кредитными организациями технологий электронного банкинга может быть сформулирована следующим образом:

Недостатки в организации внутреннего контроля в условиях применения современных банковских информационных технологий могут оказаться наиболее серьезными источниками компонентов банковских рисков для кредитной организации и ее клиентов.

Новые информационные технологии и ассоциируемые с их применением в банковской деятельности потенциальные факторы возникновения источников компонентов банковских рисков «требуют» обеспечения гарантий адекватности ВК составу сложности и особенностям прежде всего технологий электронного банкинга, а также масштабам ДБО. Именно поэтому кредитным организациям, использующим в своей деятельности распределенные компьютерные технологии в «открытых системах», в условиях отсутствия (и невозможности) регламентации нормативными правовыми актами информатизации банковской деятельности необходимо разрабатывать новую индивидуальную методологию ее ВК начиная с применения ТЭБ. Кроме того, руководству высокотехнологичных кредитных организаций целесообразно помнить о том, что всегда остается вопрос: кто проверяет проверяющих?

 

5.6. Адаптация финансового мониторинга

Главное, что руководству высокотехнологичных кредитных организаций целесообразно учитывать при адаптации осуществления процесса ФМ к условиям электронного банкинга, это то, что применение таких технологий радикально изменяет характер взаимодействия между кредитными организациями и их клиентами, что может негативно повлиять на выполнение обязательств этих организаций перед контролирующими органами (очевидно, что в противном случае необходимости в ПОД/ФТ и ФМ не было бы). Если руководство кредитной организации, внедряющей ТЭБ, не придает должного значения этому факту и необходимость модернизации ФМ осознается недостаточно, то надежность (качество) процедур ФМ будет оцениваться заведомо неадекватно, следствием чего станет повышение банковских рисков: как минимум правового и стратегического, возможно, чрезмерное для этой организации. Чаще всего эти риски реализуются из-за скрытого вовлечения кредитной организации в противоправную деятельность, хотя имеют место и другие причины. Можно обоснованно говорить и о повышении своего рода «риска потери деловой репутации» в глазах ряда контролирующих органов, реализация которого всегда приводит к негативным последствиям для кредитной организации.

Более того, сложность осуществления ФМ в условиях применения технологий электронного банкинга и массового ДБО может возрасти настолько, что фактически потребуется формирование выделенного внутрибанковского процесса ФМ, приспосабливаемого к новым условиям банковской деятельности. Рост числа клиентов кредитной организации, обслуживаемых дистанционно, быстрое увеличение плотности потоков поступающих от них ордеров и предоставление им разнообразных каналов удаленного доступа к ее информационно-процессинговым ресурсам обусловливают возникновение потребности в автоматизированном анализе указанных потоков практически в реальном масштабе времени (РМВ). Для этого соответственно в дополнение к традиционному АПО банковской деятельности необходимо внедрять специализированное программно-информационное обеспечение (ПИО), позволяющее оперативно выявлять подпадающие под критерии ФМ ордера клиентов на выполнение банковских операций. Для сопровождения этого ПИО требуется обеспечение дополнительной квалификации для существующего персонала или формирование новой группы специалистов.

В последние годы рассматриваемые технологии стали достаточно активно использоваться для легализации доходов, полученных незаконным путем, совершения различных финансовых преступлений и другой противоправной деятельности, что заметно усложняет осуществление ПОД/ФТ. Что касается отмывания денег, то оно в последние годы по всему «цивилизованному миру» получило фактически поддержку технологий электронного банкинга из-за предоставляемых ими возможностей в части запутывания следов и потоков финансовых средств. Во многих зарубежных публикациях отмечается, что в настоящее время имеет место неизбежное отставание законодательной базы от практики, регулирующей, в частности, новые банковские технологии и инструменты, что создает идеальные условия для их незаконного использования в целях отмывания денег. Отмеченная анонимность используется для такой противоправной финансовой деятельности, в которой фигурируют фиктивные фирмы, подставные лица или «мертвые души», а также так называемые «бумажные банки» (хотя на самом деле они скорее «виртуальные», т. е. не существующие реально, но имитируемые с помощью электронного документооборота) и т. п. Угрозы для кредитных организаций заключаются в том, что они могут оказаться незаметно вовлечены в незаконную деятельность со всеми вытекающими отсюда последствиями реализации компонентов правового, репутационного и стратегического рисков. Поэтому в области технологий электронного банкинга при изучении и анализе состава и структуры типичных банковских рисков акцент смещается с вида и содержания банковской деятельности в сторону организации и условий этой деятельности (с учетом особенностей новых способов ее осуществления с использованием ДБО).

Основная проблема с операционной деятельность в виртуальном пространстве заключается в том, что, после того как клиент открыл счет, кредитной организации оказывается затруднительно определить, проводит ли конкретную транзакцию именно официально зарегистрированный владелец счета, а иногда даже понять, имеет ли экономический смысл проводимая операция (и вообще имеет ли место операция как таковая). Тем самым проблема ФМ (оперативного контроля) усложняется многократно. Поэтому во многих странах выпущены специальные руководства по ПОД/ФТ, в которых обычно содержатся рекомендации по верификации личности клиента и его адреса до открытия счета и по мониторингу онлайновых транзакций, требующих повышенной бдительности.

Следует отметить, что само понятие «виртуальность» используется не случайно — то физическое пространство, которое соответствует ИКБД в случае, например, интернет-банкинга, реально формируется только на то время, пока идут сеансы связи между различными распределенными «по всему миру» web-серверами, шлюзами, маршрутизаторами, коммутаторами и другими компонентами этого контура. По завершении каждого сеанса, точнее, после прохождения маршрута одним или несколькими пакетами данных такое физическое пространство видоизменяется (все они могут проходить разными маршрутами), и о том, что какие-то массивы данных перемещались между агентами сетевого взаимодействия в соответствии с теми или иными командами (предположительно известных, официально зарегистрированных личностей и/или систем/серверов), а также сетевыми протоколами этого взаимодействия, свидетельствуют только изменения в полях записей баз данных, которые ведут кредитные организации, и в записях файлов компьютерных журналов, которые предназначены для регистрации системных событий (если таковые, кстати, вообще ведутся в системах электронного банкинга и банковских автоматизированных системах кредитной организации).

Многие современные электронные платежные инструменты характеризуются предельно высокой скоростью транзакций, анонимностью, сочетаемостью с различными платежными системами, глобальностью действия и «автоматизированностью», т. е. применением так называемых «безлюдных» технологий. Эти особенности снижают эффективность таких традиционных методов ПОД/ФТ, как требование установления личности клиента, отслеживания и анализа содержания операций, предоставления той или иной дополнительной информации и т. п. Пока что в борьбе с незаконным использованием финансовых систем делается, по сути, попытка адаптации существующих методов и процедур к новым платежным инструментам и электронной торговле. К примеру, устанавливаются требования увеличения видов и объема подлежащих фиксации данных, обеспечения доступа к дополнительным источникам информации, совершенствования методов проведения расследований подозрительных ситуаций. Таким образом, основная в этом случае задача следования кредитными организациями принципу «знай своего клиента» оказалась при работе в киберпространстве довольно сложной.

Вместе с тем структура телекоммуникационных сетей радикально отличается от структуры традиционной финансовой системы, на которую были рассчитаны существующие средства защиты от распространения противоправной деятельности. Если традиционные финансовые системы базируются на институциональных посредниках, преследующих собственные денежные интересы, то системы электронной торговли и платежей обеспечивают лишь автоматические соединения. Кроме того, даже существующий контроль за системами электронного финансового трансфера оказывается неэффективен вследствие различий в технологических уровнях, положениях законодательства, требованиях регулирующих органов, особенно в разных странах. Появление технологий электронного банкинга как таковое переводит банковские операции в такую форму, когда реальные, скажем, первичные документы, т. е. представляемые на бумажной основе, в инициируемом транзакционном процессе физически отсутствуют. Собственно-то банковские операции совершаются, естественно, на уровне физическом, но, так сказать, «внечувственном». Теперь для контроля над электронными банковскими операциями пытаются применять и различные «интеллектуальные», в том числе и эвристические методы типа определения нерациональных и неэффективных операций или финансовых потоков и выявлять на этой основе подозрительную деятельность. Однако о серьезных успехах здесь говорить еще преждевременно.

Вследствие сказанного важно подчеркнуть, что в современных условиях и в ближайшей перспективе контролирующим предоставление финансовых услуг органам требуются от кредитных организаций гарантии соответствия организации и содержания процесса ФМ (ПОД/ ФТ) способам и условиям осуществления ими своей банковской деятельности. Для предоставления гарантий такого рода кредитным организациям полезно прежде всего располагать внутренними документами (начиная с УБР), в которых было бы четко выражено понимание ими специфики ситуации осуществления ФМ на фоне новых банковских информационных технологий, описание используемого для него ПИО, увязка стратегических планов развития ДБО с необходимостью дальнейшего совершенствования ПОД/ФТ, а в вариантах массового ДБО — учет требований, возможно, связанных с работой в РМВ.

Полные и однозначные рекомендации относительно того, как организовывать специальные процедуры подтверждения идентичности клиентов и аутентичности информационного обмена, до настоящего времени для разных вариантов ДБО не разработаны. Из этого следует, что начиная с внедрения первой же ТЭБ руководству кредитных организаций целесообразно разрабатывать и внедрять процедуры такого рода еще до перехода к физической обработке ордеров и транзакций удаленных клиентов. Варианты их могут быть различны, зачастую для регулярной идентификации дистанционно работающих клиентов используются типовые правила обновления идентифицирующих и аутентифицирующих данных (такой процесс может быть реализован совершенно «естественно»). Вместе с тем на первый план выходят компьютерная грамотность и информированность клиентов кредитной организации, а значит, ее руководству логично было бы предусмотреть:

1) изучение текущей и оценку перспективной обстановки, например, получения информации о тех способах противоправной деятельности, которые уже зафиксированы в банковском сообществе и правоохранительными органами, о «достижениях» хакеров и компьютерных мошенников и т. п.;

2) организацию процесса доведения необходимой информации до клиентов ДБО, например, через офисы, web-сайты, сервис-центр, целевую (адресную) рассылку сообщений электронной почты и т. д.;

3) адаптацию процесса предупреждения клиентов, возможно, за счет усложнения процедур идентификации и авторизации, регулярного переобучения, обновления средств дистанционного доступа и поставочной документации и других процедур.

Все перечисленное позволит предотвратить или, как минимум, серьезно затруднить незаметное использование кредитных организаций в качестве посредников для трансфера или хранения незаконных доходов с использованием новых банковских информационных технологий. Важно, чтобы осознавалось возможное устаревание технологии ФМ и реализующих ее методов и средств по мере внедрения новых видов банковских услуг и развития автоматизации банковской деятельности, а также регулярно (или, как минимум, по мере внедрения каждой новой СЭБ) оценивалась потребность в их модернизации. Наличие в кредитной организации документов, в которых отражается описанный подход, а также возможность практической демонстрации внедренных в связи с переходом к ДБО процедур ФМ, снижают ее потенциальную подверженность компонентам правового и стратегического рисков.

Реализации упомянутых процедур в кредитных организациях посвящен ряд документов Банка России, в частности упоминавшимся в главе 4 Положением 262-П предусмотрено, что:

«2.9. Кредитная организация оценивает степень (уровень) Риска с учетом следующих операций повышенной степени (уровня) Риска: <…>

2.9.11. Осуществление банковских операций и иных сделок с использованием интернет-технологий.

<…>

2.10. Кредитная организация должна уделять повышенное внимание операциям с денежными средствами или иным имуществом, проводимым клиентами, отнесенным к повышенной степени (уровню) Риска».

Необходимо отметить, что проблема заключается не в самих интернет-технологиях — это лишь один из вариантов ДБО и они упомянуты конкретно как наиболее распространенный в российском банковском секторе, а в том, для каких целей может быть использована любая технология ДБО. Практическое выполнение требований нормативных документов и рекомендаций предполагает прежде всего их фиксацию во внутренних документах кредитной организации (причем не ограничиваясь простым цитированием, как это нередко бывает), за которой в оптимальном варианте следует дополнение внутрибанковских процессов новыми процедурами в рамках процесса ФМ. Естественно, предполагается учет в них специфики каждой ТЭБ в связи с содержанием процессов УБР и ВК, а возможно и с работой СД кредитной организации.

Для иллюстрации проявления такой специфики в варианте интернет-банкинга на рис. 5.8 приведена карикатура (с www. cartoonbank.com), которая, по мнению автора, лаконично и точно отражает суть рассматриваемой проблематики.

При осуществлении банковского обслуживания через Интернет кредитной организации следует принимать специальные меры идентификации клиентов и контроля над их действиями, особенно при массовом дистанционном обслуживании и работе через филиалы. Предоставление банковских услуг через Интернет требует, в общем случае, регулярного подтверждения идентичности клиентов, в том числе в целях противодействия возможному противоправному использованию интернет-банкинга. Поэтому кредитной организации целесообразно разработать, документировать и внедрить дополнительные процедуры подтверждения идентичности клиентов ДБО с тем, чтобы они после заключения соглашения на ДБО не исчезали из ее «поля зрения» и одновременно выполнялись установленные нормативными правовыми актами требования к дальнейшей работе с такими клиентами. Мероприятия такого рода в свою очередь будут иметь значение для контролирующих органов в плане подтверждения «отнесения» клиентов ДБО к «повышенной степени (уровню) Риска», как сказано в Положении 262-П.

Кроме того, специалистам кредитных организаций желательно располагать моделями возможной противоправной деятельности, так называемыми шаблонами или «образами». Типичные мошеннические приемы, реализуемые с помощью технологий электронного банкинга, достаточно хорошо известны и при должном внимании могут быть парированы без угроз для других клиентов кредитной организации и ее самой. В число признаков, помимо установленных законодательно, обычно входят имитация поставок товаров и услуг с задержкой (а затем с отсутствием) предоставления подтверждающих документов (включая авансовые платежи), проведение последовательных операций сомнительного характера в сжатые интервалы времени, переводы на счета за рубежом и др. Банк России в ряде своих писем дал рекомендации кредитным организациям по усилению контроля над операциями, совершаемыми с помощью средств ДБО. Для этого могут дополнительно использоваться прямые и косвенные процедуры, как входящие в их типовой набор, например, подтверждение нахождения клиента по его юридическому или фактическому адресу, так и те, которые кредитная организация определяет самостоятельно — замена средств идентификации, доступа к СЭБ или криптозащиты трафика.

Здесь надо отметить еще и подходы к организации приема и обработки ордеров клиентов ДБО в автоматизированных системах кредитных организаций. Некоторые наблюдения свидетельствуют о том, что за последние годы стала проявляться своеобразная тенденция роста доли банковских операций, относящихся к категории подлежащих обязательному контролю и совершенных с применением систем ДБО, в сопоставлении с долей клиентов кредитных организаций, пользующихся системами электронного банкинга. Даже если доля последних составляет всего 1,5–3 % от общего количества клиентов, они могут давать более половины поводов для отнесения совершаемых по их ордерам операций к указанной категории. Это свидетельствует о целесообразности применения кредитными организациями дополнительных аналитических процедур, позволяющих установить, имеет ли место «крен» такого рода, и, возможно, более внимательно относиться к клиентам ДБО, если возникают подозрения в попытках противоправно воспользоваться отмечавшимися ранее особенностями киберпространства. Однако во многих случаях при передаче потоков данных из СЭБ в БАС ордера клиентов «очищаются» от сеансовой информации, позволяющей установить, через какой канал информационного взаимодействия обращался клиент, а потеря таких признаков не позволяет осуществить даже элементарный статистический анализ в интересах ФМ (или в целях ПОД/ФТ).

В дополнение к этому логично сделать акцент на тех обязательствах, которые может наложить ДБО в своих наиболее «отвлеченных» формах на кредитную организацию с точки зрения контролирующих органов. Принцип «знай своего клиента» (ЗСК) хорошо известен банковскому сообществу по тем же публикациям БКБН, однако в последние годы этот комитет стал уделять ему повышенное внимание в разных отношениях, что связано с усиливающейся тенденцией к использованию систем ДБО для противоправной деятельности. Как пишет БКБН в ряде своих материалов, «банки, не имеющие адекватных программ управления риском, связанным с принципом „знай своего клиента“, подвержены значительным рискам, в особенности правовому и репутационному». Поэтому здесь же указывается, что «приятие эффективных стандартов ЗСК представляет собой существенную часть банковской практики управления рисками». Учитывая возможные затруднения с идентификацией клиентов и комплексным анализом их деятельности в многофилиальных структурах, особенно в связи с ДБО, БКБН пропагандирует так называемое «консолидированное управление риском, связанным с клиентами», в связи с чем особый акцент делается на так называемом «групповом подходе» при соблюдения принципа ЗСК.

Речь в этом случае идет о кредитных организациях, имеющих дочерние банки, или филиалы, или представительства и т. п. Ниже рассматриваются основные положения из этого документа БКБН, которые прямо относятся к факторам риска, возникающим при ДБО, и соответственно подлежат учету при осуществлении внешнего аудита кредитных организаций и риск-ориентированного банковского надзора. Они становятся даже более актуальными в тех случаях, когда филиалы кредитных организаций предлагают клиентам ДБО, тогда как их головные офисы такие технологии не используют. В такой ситуации представляется логичной организация исполнительными органами кредитной организации как минимум дополнительных процедур информационного взаимодействия с такими филиалами и контроля над их деятельностью, т. е. речь фактически идет о внедрении того же подхода, который обсуждался в связи с адаптацией процесса ФМ. Естественно, эти процессы следует подкреплять выделением в кредитной организации соответствующего ответственного должностного лица и персонала, обеспеченного всеми необходимыми внутрибанковскими документами, регламентирующими и описывающими эти процедуры (от порядков до должностных инструкций, включая механизм управленческого наблюдения за реализацией таких порядков).

Как пишет БКБН, ключевым аспектом реализации кредитной организацией «надежной» политики и процедур, связанных с принципом ЗСК, являются внедрение и поддержание на адекватном масштабам ее деятельности уровне эффективного группового подхода, для чего строится соответствующий бизнес-процесс, в основу которого закладывается анализ компонентов правового и репутационного рисков (иногда, кстати, называемого в материалах комитета «имиджевым риском»). Считается, что политика и процедуры на уровне филиалов и дочерних компаний кредитной организации должны быть согласованы с групповыми стандартами ЗСК (вид внутрибанковского документа в зарубежной терминологии) и обеспечивать их поддержку. Если говорить о специфике российской ситуации, то она двояка и различна как для отечественных кредитных организаций, которые не всегда могут адекватно контролировать деятельность своих филиалов (особенно удаленных, в которых за ИТ и ДБО отвечает малое число сотрудников), так и для зарубежных кредитных организаций, руководство которых может не иметь полного и адекватного представления о том, в каких условиях работает их дочерний банк за рубежом.

Как бы то ни было, БКБН подчеркивает важность следования кредитных организаций принципу: «Банк должен располагать возможностью осуществления мониторинга своих клиентов при совершении ими операций».

Для этого «необходимо наличие в банках надежной политики и процедур ЗСК, учитывающих специфику банковского обслуживания, поскольку это:

— способствует обеспечению безопасности и надежности банка;

— содействует защите целостности банковской системы за счет снижения вероятности превращения банков в „механизмы“ отмывания денег, финансирования терроризма и реализации других незаконных действий».

Ниже излагаются основные положения этого документа БКБН:

следует разработать политику и процедуры идентификации, мониторинга и снижения репутационного, операционного, правового рисков, а также риска концентрации;

политика и процедуры на уровне всех филиалов и дочерних организаций должны быть согласованы с групповыми стандартами «знай своего клиента» и обеспечивать их поддержку;

единые подходы для всех банков к идентификации, контролю и парированию репутационного, правового, операционного риска и риска концентрации способствуют координированию действий и делают контроль над этими рисками и управление ими более эффективным;

подходы к идентификации клиента должны быть сформированы на основе возможных сопутствующих рисков;

между головным офисом и филиалами должно быть налажено такое информационное взаимодействие, чтобы была возможность получать информацию о рискованных клиентах для управления правовым и репутационным рисками;

контролирующий процесс должен включать не только рассмотрение политик и процедур банка, но также информацию о клиентах и данные выписок по счетам клиентов.

При этом обращается внимание также на то, что роль аудита особенно важна в оценке стандартов ЗСК на консолидированной основе, и сотрудники надзорного органа должны быть уверены, что все необходимые процедуры в этом отношении соблюдены, и они имеют полный доступ к относящимся к делу отчетам и рабочим документам аудита (по всей группе).

Главное заключается в том, что необходимо разработать, внедрить и поддерживать (на основе регулярного ВК) единые подходы для всех кредитных организаций к идентификации, контролю и парированию репутационного, правового, операционного риска и риска концентрации. Постулируется, что это способствует координации действий в банковском секторе и делает контроль над этими рисками и управление ими в кредитных организациях более эффективными. В свою очередь кредитным организациям рекомендуется перенести этот подход на уровень своей системы или, иначе, подсистемы банковского сектора.

Постулируется также, что подходы к идентификации клиента должны быть сформированы на основе возможных сопутствующих ему факторов банковских рисков, что при ДБО оказывается весьма актуальным. Информационное взаимодействие между головным офисом кредитной организации и ее филиалами должно быть налажено как единый процесс, унифицированный для всех офисов, который одновременно позволял бы обеспечить одинаковое информирование филиалами головного офиса о возможных проблемных клиентах и ситуациях. При консолидированном подходе требуется специальная организация контроля в банковской подсистеме (группе) над проблемными операциями и ситуациями. Контролирующий процесс вообще должен включать, по мнению БКБН, не только рассмотрение политик и процедур банка, но также информацию о клиентах и данные выписок по счетам клиентов. Для крупного многофилиального банка при этом могут возникнуть дополнительные организационно-технические проблемы, особенно в плане комплексного (группового) контроля.

В завершение рассмотрения документов БКБН по тематике ФМ можно привести еще несколько концептуальных положений:

«Банкам следует сделать все возможное для идентификации всех клиентов… Особое внимание следует уделять идентификации владельцев счетов… Всем банкам следует внедрить эффективные процедуры по идентификации новых клиентов. Следует иметь четко определенную политику, гарантирующую, что никакие значимые транзакции не будут выполняться, если соответствующие клиенты не идентифицированы должным образом…

Банки могут не располагать средствами, позволяющими определить принадлежность транзакций к противоправной деятельности… может оказаться затруднительным установить соответствие требованиям законодательства при трансграничных операциях… Тем не менее любая транзакция должна тщательно проверяться на предмет ее возможной подозрительности.

…Все банки должны официально утвердить политику, отвечающую установленным принципам и убедиться в том, что все сотрудники, независимо от их нахождения, ознакомлены с данной политикой…

…банкам следует внедрить специальные процедуры для идентификации клиентов и сохранения сведений об их транзакциях. Может потребоваться организация специальных процедур внутреннего аудита…»

Специально подчеркивается, что «контролирующие органы должны получить возможность убеждаться в наличии таких процедур и их эффективности», т. е. в том, что меры по идентификации и подтверждению аутентичности клиентской информации, принимаемые кредитной организацией в отношении клиентов ДБО, действительно способствуют снижению уровней компонентов принимаемых ею банковских рисков, связанных с возможными недостатками в следовании принципу ЗСК.

Организуя и модернизируя процесс ФМ (ПОД/ФТ) в целом, руководству кредитных организаций целесообразно помнить о том, что существуют типовые схемы противоправной деятельности, которые при использовании технологий электронного банкинга повторяются наиболее часто — обобщенная трехэтапная схема такого рода приведена на рис. 5.9. Этапы определяются как «размещение», «расслоение» и «интеграция», при этом полученные преступным путем денежные средства перемещаются относительно небольшими суммами между счетами реальных и подставных фирм, затем для запутывания следов с помощью наиболее сложно отслеживаемых «электронных транзакций» пересылаются с использованием оффшорных банков, после чего под видом более-менее обоснованных платежей концентрируются таким образом, чтобы их можно было снять со счетов вполне «добропорядочных» компаний, придав им легитимный вид.

В рассматривавшихся в параграфе 5.2 материалах БКБН отмечено также, что «надежные процессы идентификации и аутентификации клиентов особенно важны в контексте трансграничных операций с применением технологий электронного банкинга, учитывая осложнения, которые могут возникнуть при осуществлении электронных операций с клиентами через национальные границы, включая повышенный риск обезличивания индивидуальности и большие затруднения в выполнении эффективных проверок при предоставлении кредита потенциальным клиентам».

Для адаптации процесса ФМ уместно из общего состава принципов управления рисками в условиях электронного банкинга использовать также принципы 5, 7, 8, 9 и 14, указанные в параграфе 5.2. Их практическая интерпретация определяется теми технологиями и системами электронного банкинга, которые применяет кредитная организация, и содержанием ее процесса УБР.

Резюмируя рассмотрение влияния технологий электронного банкинга на содержание процесса ФМ в кредитной организации, можно сделать вывод, что внедрение ТЭБ приводит к внесению существенных изменений в организацию и содержание этого процесса. Поэтому важно убедиться в том, что кредитная организация располагает необходимыми для этого ресурсами или может их привлечь. Для реализации принципа ЗСК в части идентификации потенциальных клиентов внедряемого ДБО и контроля над осуществляемыми ими операциями в новых условиях банковской деятельности руководству организации целесообразно до начала внедрения этой технологии и реализующей ее БАС оценить состав и содержание тех изменений, которые потребуется внести в процесс ФМ и составляющие его процедуры, а также достаточность требуемых для этого ресурсов: персонала и его квалификации, специальных технологических решений и технических средств, внутрибанковского документарного обеспечения, а также адаптации УБР и ВК. В рамках определения содержания, осуществления и адаптации ФМ и составляющих его процедур целесообразно:

при принятии решения относительно внедрения ТЭБ и реализующих ее автоматизированных систем руководству кредитной организации определить и проанализировать те процедуры, которые потребуется разработать и внедрить для эффективной реализации принципа ЗСК в приложении к идентификации потенциальных клиентов конкретного ДБО и контроля над осуществляемыми ими операциями, а также оценить возможности реализации этих процедур в плане необходимых для этого практически применимых методов и средств с учетом организации и осуществления дальнейшего управления этими средствами и контроля их использования;

изучать способы и практические примеры противоправной деятельности с помощью банковских информационных технологий;

создавать и адаптировать модели возможной противоправной деятельности с использованием АПО СЭБ;

тестировать ПИО ФМ (ПОД/ФТ) на предмет его адекватности указанным моделям;

актуализировать и обновлять ПИО ФМ (ПОД/ФТ) по мере расширения применения технологий электронного банкинга.

Внутрибанковский мета-процесс в части ФМ уподобляется своему аналогу в области ВК в целом. Основная цель такой компоненты процесса высшего уровня состоит в том, чтобы воспрепятствовать вовлечению кредитной организации в противоправную деятельность, осуществляемую за счет использования технологических возможностей современного ДБО. Это касается прежде всего тех ситуаций, в которых могут быть поставлены под сомнение сами возможности данной организации в отношении контроля над операциями, осуществляемыми с помощью ее БАС или аналогичных систем, установленных в филиалах либо используемых ими. В то же время нельзя забывать, что серьезные нарушения возможны и без всяких противоправных операций, например, нарушение конфиденциальности сведений о состоянии счетов и операциях клиента (т. е. нарушение банковской тайны) возможно в тех случаях, когда информация такого рода передается через системы провайдеров (например, системы мобильной связи) в незащищенном виде. Впрочем, данная проблематика ближе, пожалуй, к вопросам ОИБ. Необходимо только подчеркнуть, что дополнительным, но часто забываемым нюансом становится обеспечение, по сути, доказательного подтверждения непричастности кредитной организации (ее персонала и руководства) к осуществлению зафиксированных противоправных действий, т. е. в случаях уже как бы «причастности» (в этом случае имеются в виду недостатки в содержании процесса ФМ, которые приводят к зависимости уровней банковских рисков, принимаемых кредитной организацией, от деятельности ее клиентов).

Эффективная адаптация процесса ФМ, как правило, невозможна без согласованного с соответствующими требованиями внесения изменений во все внутрибанковские процессы, так или иначе связанные с контролем управления финансовыми потоками и банковскими операциями. Поэтому в кредитной организации необходимо понимание зависимости результатов ФМ от его обеспечения со стороны таких процессов. Согласованная адаптация всех процессов требует наличия единой организационно-методической платформы, формирование которой обеспечивается руководством кредитной организации. Поэтому целесообразно наличие своего рода «политики» внедрения технологий электронного банкинга (а не просто политики информатизации), базирующейся на принципе «знай свои технологии», в которой описывались бы (регламентировались) все мероприятия, связывающие модернизацию внутрибанковских процессов. Руководству кредитной организации целесообразно рассматривать управление процессом ФМ и контроль над его осуществлением как неотъемлемую часть общебанковского процесса корпоративного управления. То и другое следует осуществлять в связи с адаптацией процесса УБР, поскольку ФМ должен рассматриваться и как составная часть этого процесса, которая в современных условиях приобретает все большее значение в связи в внедрением, развитием и широким распространением новых технологий электронного банкинга, а также быстрым ростом их клиентской базы и масштабов операций, проводимых в режимах, близких к РМВ.

 

5.7. Адаптация правового обеспечения электронного банкинга

Проблематика правового обеспечения использования систем электронного банкинга многообразна и сложна в связи с тем, что речь идет о применении юридической техники для поддержки решения технологических вопросов, относящихся к принципиально иной области знания и в условиях отсутствия развитого законодательства об электронных финансах. Как следствие, специалистам юридического обеспечения кредитной организации приходится иметь дело с установлением правоотношений при отсутствии законодательно определенных мер возможного и должного поведения с применением технических средств, понимание функционирования которых заведомо требует наличия специальной квалификации, отличной от юридической. К сожалению, дополнительные сложности для формирования указанного правового обеспечения создает отсутствие в действующих законодательных актах определения понятий, которые точно так же являются принципиально важными для банковской деятельности и ДБО клиентов кредитных организаций. В первую очередь это относится к определению сущности процессов и процедур, происходящих в виртуальном киберпространстве.

При рассмотрении этого вопроса акцент делается на том, что именно целесообразно предусмотреть руководству кредитной организации и ее специалистам, чтобы адекватно определить правоотношения, возникающие при ДБО (ввиду достаточно широкого разнообразия технологий электронного банкинга автор не претендует на полноту изложения, но обращает внимание на известные из практики проблемы, которые приводят к повышению уровней компонентов банковских рисков). Важно отметить, что подавляющее большинство подлежащих решению правовых вопросов являются новыми для кредитной организации, кроме этого, они могут варьироваться от одной технологии электронного банкинга к другой. Прежде всего необходимо определить суть, основное содержание ДБО — то, что именно требуется от него клиентам кредитных организаций и само требует определения возникающих правоотношений. Начать здесь целесообразно, видимо, с определений расчетных и платежных операций, поскольку при ДБО реальные, физические денежные средства фигурируют только при их получении в банкоматах или операционных кассах, весь остальной документооборот по определению «электронный».

Сказанное выше относится преимущественно к содержанию описаний взаимоотношений кредитной организации со своими клиентами (поскольку в ее «внутреннем мире» разногласия и конфликты интересов разрешаются существенно проще, чем с внешним миром). Специалистам кредитной организации целесообразно помнить о том, что несмотря на широкое использование понятий «платеж» и «расчет», их определения в ГК РФ отсутствуют. В статье 140 сказано, что «платежи на территории Российской Федерации осуществляются путем наличных и безналичных расчетов», буквально о том же идет речь в ст. 861 ГК РФ, а в ст. 862 и последующих приводятся описания форм расчетов, в которых фигурируют выражения типа «перевести определенную денежную сумму на счет указанного плательщиком лица» и т. п. без каких-либо дополнительных определений. В то же время, как свидетельствует практика изучения претензионной работы в кредитных организациях, разногласия между ними и их клиентами нередко обусловлены тем, что одни и те же термины стороны трактуют по-разному В тексте Федерального закона от 2 декабря 1990 г. № 395-1 «О банках и банковской деятельности» можно обратить внимание на содержание ст. 5, где перечислены «банковские операции и другие сделки кредитной организации» и в их составе в п. 4 указано «осуществление расчетов по поручению физических и юридических лиц, в том числе банков-корреспондентов, по их банковским счетам», однако понятие «платеж» в ней отсутствует. Таким образом, специалистам кредитной организации совместно с клиентом ДБО целесообразно при заключении соответствующего соглашения стремиться к достижению максимальной точности в описании того, что конкретно клиент хотел бы получить с помощью выбранной им СЭБ, на каких условиях и что собирается (и способна) гарантировать ему сама организация.

Следует подчеркнуть, что из-за пробелов в финансовом законодательстве специальных, нетипичных подходов требует и проблема обеспечения доказательности и юридической силы «электронных документов», особенно если кредитная организация предлагает для ДБО вариант с «тонким клиентом» (в предельном случае «тонкости» — через типовой интернет-браузер). В этом случае целесообразно детально анализировать те источники компонентов банковских рисков, которые неизбежно присутствуют в ИКБД ДБО, поскольку существует целый ряд зон концентрации риска, подлежащих анализу с юридической точки зрения, начиная с возможных ошибочных действий клиента, продолжая возможными проблемными ситуациями у провайдеров и кончая возможностями НСД в самой кредитной организации. Общий принцип, следовать которому логично при разработке необходимых внутрибанковских процессов и процедур, заключается в том, что любые действия клиента, включая ошибки при вводе данных в поля интерфейсных форм на экране дисплея, нарушения правил информационной безопасности, умышленные противоправные действия и т. д. должны полностью и «доказательно» фиксироваться средствами СЭБ или БАС. То же самое относится к другой стороне информационного взаимодействия в ИКБД: любому клиенту системы ДБО должны быть гарантированы все возможности правового подтверждения его действий. Естественно, в таких случаях в договорах кредитной организации с клиентом детально оговариваются все технические и юридические аспекты доказательности и распределения ответственности в случае реализации факторов риска, приводящей к невыполнению обязательств перед клиентами со стороны этой организации. Эта проблема затрагивает и организацию ее отношений со своими провайдерами.

В статье 847 ГК РФ «Удостоверение права распоряжения денежными средствами, находящимися на счете» сказано следующее:

«1. Права лиц, осуществляющих от имени клиента распоряжения о перечислении и выдаче средств со счета, удостоверяются клиентом путем представления банку документов, предусмотренных законом, установленными в соответствии с ним банковскими правилами и договором банковского счета…

3. Договором может быть предусмотрено удостоверение прав распоряжения денежными суммами, находящимися на счете, электронными средствами платежа и другими документами с использованием в них аналогов собственноручной подписи (пункт 2 статьи 160), кодов, паролей и иных средств, подтверждающих, что распоряжение дано уполномоченным на это лицом».

При переходе к применению ТЭБ рассматриваемые положения становятся существенно значимы потому, что после заключения клиентом с кредитной организацией договора банковского счета и дополнительного соглашения к нему (или отдельного договора/контракта) на ДБО, он взаимодействует с организацией с помощью СЭБ «из-за горизонта». На возникающем же феномене взаимной анонимности основано множество финансовых преступлений, о возможности и способах осуществления которых предпочтительно знать заранее (обеим сторонам) и принимать адекватные и согласованные меры противодействия этому для снижения уровней сопутствующих компонентов банковских рисков. Поэтому важнейшим, подлежащим решению, вопросом, как ОИБ, в данном случае, защиты финансовых средств клиента и принадлежащей ему информации, так и с позиций ПОД/ ФТ, является обеспечение подтверждения идентичности и аутентичности клиента. Что же касается упоминавшейся ст. 160 ГК РФ, то в ней сказано:

«2. Использование при совершении сделок факсимильного воспроизведения подписи с помощью средств механического или иного копирования, электронно-цифровой подписи либо иного аналога собственноручной подписи допускается в случаях и в порядке, предусмотренных законом, иными правовыми актами или соглашением сторон».

Допуская применение «аналога собственноручной подписи» (АСП), ГК РФ не определяет конкретные требования к таким средствам, чтобы их можно было обоснованно считать такими «аналогами» и использовать сторонами удаленного информационного взаимодействия (в данном случае кредитной организацией и ее клиентами, хотя такие средства целесообразно применять и в удаленном взаимодействии с провайдерами — при ведении ими web-сайтов кредитной организации и пр.). Поэтому остаются нерешенными вопросы о том, наличие каких свойств означает собственноручную подпись и отсутствие хотя бы одного из каких свойств не позволяет считать «электронный документ» имеющим юридическую силу. Решение их остается за кредитными организациями, которые должны при необходимости обеспечить адекватное подтверждение идентичности и аутентичности, равно как и за их клиентами, которые, не имея, как правило, специальной подготовки (в части теории кодирования), должны решать, соглашаться им на предлагаемые кредитной организацией условия ДБО или нет. Кстати, в итоге в упомянутых договорных документах появляются фразы типа «все операции, производимые с использованием PIN-кода, оспариванию не подлежат», цитируемые при рассмотрении претензий, связанных с последствиями карточных мошенничеств.

Надо отметить и то, что для разрешения спорных или конфликтных ситуаций часто предполагается создание специальных технических или согласительных комиссий, — это фиксируется в документах, определяющих соглашение на ДБО. Однако, как правило, порядок создания и работы таких комиссий, требования к квалификации ее членов (подтверждаемых конкретными документами), описание результатов ее работы с подготовкой документов, которые примет к рассмотрению, допустим, Арбитражный суд, и т. п., не указываются. Ссылка из ст. 160 на ст. 434 ГК РФ «Форма договора» незначительно проясняет ситуацию, поскольку в ней сказано следующее:

«1. Договор может быть заключен в любой форме, предусмотренной для совершения сделок, если законом для договоров данного вида не установлена определенная форма.

Если стороны договорились заключить договор в определенной форме, он считается заключенным после придания ему условленной формы, хотя бы законом для договоров данного вида такая форма не требовалась.

2. Договор в письменной форме может быть заключен путем составления одного документа, подписанного сторонами, а также путем обмена документами посредством почтовой, телеграфной, телетайпной, телефонной, электронной или иной связи, позволяющей достоверно установить, что документ исходит от стороны по договору».

Следует подчеркнуть, что в какой бы форме ни осуществлялось сетевое информационное взаимодействие между сторонами договорных отношений, гарантии целостности, конфиденциальности и однозначности такого взаимодействия должны быть установлены и понятны обеим взаимодействующим сторонам, особенно клиентам кредитных организаций.

Кстати сказать, упоминаемый в выдержке из ст. 160 «закон» — это Федеральный закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи», который так и не получил механизма собственной реализации (других ссылок обнаружить не удалось) и о котором клиенты ДБО также имеют минимальное представление, тем более что чаще в текстах договоров фигурирует именно понятие АСП (как правило, не определяемое). Здесь можно отметить еще и такое текстуальное расхождение: в ст. 160 ГК РФ сказано об «электронно-цифровой подписи», а Федеральный закон говорит об «электронной цифровой подписи» (как говорится, «почувствуйте разницу»). Это тоже свидетельствует о целесообразности точного определения и согласования того, что должно составлять доказательную базу электронного банкинга и каким образом гарантировать юридическую силу его свидетельств. Причины же, по которым клиенты ДБО соглашаются с текстами неполных и не очень понятных договорных документов, для автора остаются загадкой.

В тех случаях, когда все условия выполнения взаимных обязательств (включая ОИБ), подтверждения идентичности и аутентичности, разрешения спорных ситуаций и т. п. оговорены точно, уровни правового и репутационного рисков удается существенно снизить уже потому, что возникает гораздо меньше разногласий при возникновении конфликтных ситуаций и упрощается претензионная работа. Из изложенного следует потребность согласованного объединения усилий и квалификации нескольких подразделений кредитной организации, внедряющей ТЭБ, для того чтобы правовое, технологическое и техническое обеспечение ДБО можно было считать в совокупности полноценным и сопряженным с минимальными (остаточными) уровнями компонентов типичных банковских рисков (которые хеджируются). Организация и контроль указанного взаимодействия являются, естественно, прерогативой высшего руководства кредитной организации и ее исполнительных органов, и в оптимальном варианте то и другое находит свое отражение во внутрибанковских документах, включая положения о соответствующих структурных подразделениях.

 

5.8. Адаптация работы с удаленными клиентами

Упоминавшееся ранее физическое отсутствие во взаимодействии клиента и кредитной организацией реальных, например, платежных документов, приводит к возникновению дополнительных проблемных задач, которые в свою очередь ассоциируются с компонентами типичных банковских рисков. При переходе клиента к формированию и отправке в кредитную организацию какого-либо ордера, он, управляя процессом через предоставляемый ему на экране компьютерного устройства (от АРМ, ноутбука или коммуникатора и мобильного телефона) интерфейс (гиперссылки — в случае варианта интернет-банкинга), переводит СЭБ в некий режим работы, априори, ему естественно, неизвестный (но предполагаемо штатный). Для клиента этот переход выглядит как изменение в составе интерфейса, с которым он имеет дело, произошедшее на экране компьютера или в окне браузера и превращающее изображение в хорошо знакомую в этом случае форму платежного поручения. Далее клиент заполняет поля этой формы или выбирает варианты заполнения из предлагаемых ему полей-списков, выполняет служебные процедуры (например, с АСП) и подтверждает отправку ордера на платеж. Клиент обычно выполняет нужные действия, руководствуясь инструкциями по эксплуатации СЭБ или каким-то аналогичным документом, который (в идеале) не позволил бы ему отправлять ордера, содержащие ошибки, если бы было заранее «известно» о них, тем самым защищая и кредитную организацию (в каком-то смысле выполняя отдельные функции ОИБ и правовой защиты). Конечно, представить такую ситуацию для всех клиентов и систем электронного банкинга невозможно.

Поэтому помимо изложенного в параграфе 5.7 не исключено, что в системах электронного банкинга и БАС логично было бы предусматривать некие механизмы защиты, в известной мере аналогичные «искусственному интеллекту» (особенно важно это в тех случаях, когда ощущается нехватка интеллекта естественного). Кстати сказать, в ряде случаев кредитные организации все равно располагают в информационном сечении между системой интернет-банкинга (ИБ) и банковской автоматизированной системой операторов, но этот вариант пригоден в тех случаях, когда число клиентов ИБ не превышает, например, тысячи, а их по всей стране уже миллионы, и число их постоянно растет. В любом варианте тем не менее остаются открытыми вопросы, что делать, например, если клиент вместо платежа в пять тысяч «денег» отправил пятьдесят или допустил ошибку в реквизитах платежа, или ввел «недопустимое» значение (оказавшееся допустимым из-за пробела в программе и методике проведения ПСИ) и т. д., а потом пытается разрешить недоразумение. Кроме того, клиент может проводить сеанс из интернет-кафе (что не было запрещено ему договором на ДБО) или из банковского интернет-отделения вольного города Бремена и создать инцидент информационной безопасности, либо кредитная организация окажется объектом сетевой атаки и указанный инцидент будет создан, либо СЭБ окажется недоступна и т. п. В подобных ситуациях компоненты типичных банковских рисков, связанных с использованием ДБО, очевидны и точно так же очевидна и необходимость предусматривать их, разрабатывая модели угроз надежности банковской деятельности. К слову, можно отметить, что инциденты информационной безопасности оказываются эффективным способом проверки «достаточности» АСП, что предполагает учет таких ситуаций в программах и методиках ПСИ (как минимум), а лучше на более ранних этапах испытаний.

Применение любой СЭБ предполагает ответственное отношение руководства кредитной организации к определению порядка и содержания претензионной работы с клиентами ДБО. Поскольку в основном соответствующие мероприятия имеют отношение к сбоям в работе ее АПО или оборудования провайдеров, проведению расследований инцидентов информационной безопасности и решению спорных вопросов, связанных с ошибками, допускаемыми клиентами, т. е. разрешению конфликтных ситуаций в рамках этой работы, то базовый набор ее направлений можно считать определенным. Поэтому от исполнительных органов кредитной организации зависит организация и контроль осуществления разработки такого внутрибанковского документа, как «Порядок ведения претензионной работы при дистанционном банковском обслуживании», содержание которого, во-первых, охватывало бы все технологии электронного банкинга, внедренные в кредитной организации (из чего следует наличие ее «доли» в метапроцессе электронного банкинга), во-вторых, соответствовало бы составу направлений (причин) возникновения угроз надежности банковской деятельности — с точки зрения клиентов ДБО.

Если в системе ИБ используется «толстый клиент», то на стороне клиента остается информация о переданном ордере и о проведенной операции (с помощью квитирования). Таким образом, в случае каких-либо нарушений в функционировании ИКБД, включая банковские автоматизированные системы (отказы, аварии, сбои, НСД, вмешательство хакеров и др.), можно полагать, что «следы» действий клиента останутся, хотя останется также и вопрос юридической силы этих следов (если развитие проблемной ситуации все же дойдет до судебного разбирательства, в чем проявится реализация компонентов операционного, правового, репутационного и стратегического рисков, а в худшем для клиента случае — и риска неплатежеспособности). Соответственно если в договорных документах состав и порядок использования подобных свидетельств предусмотрены (возможно, наряду с данными из файлов компьютерных журналов кредитной организации, хотя к ним у клиентов доверие заведомо меньше), то претензионная работа существенно упрощается.

В случае же использования для ДБО СЭБ с «тонким клиентом» вопрос гарантий подтверждения того, что именно имело место во время сеанса связи клиента с кредитной организацией, может оказаться весьма запутанным даже при возможности вывода и анализа контрольных распечаток. Эта проблематика относится к уже поднимавшемуся вопросу «обеспечения невозможности отказа», например, от проведенной операции. Очевидно, что при таком варианте ДБО очень важно исключить возникновение таких ситуаций, когда клиент заявляет о направлении им ордера на выполнение неких действий, а кредитная организация не признает этого факта, или, напротив (как чаще всего бывает при компьютерных мошенничествах), она проводит некий платеж или перевод средств со счета клиента, а тот впоследствии утверждает, что никаких распоряжений относительно этого не давал (в том числе при выдаче денежных средств через банкомат). Решение этой проблемы также предполагает разработку моделей угроз надежности банковской деятельности, сценариев их возможного развития и тщательный анализ последствий этих сценариев для самой кредитной организации, для ее клиента и, конечно, для ее имиджа «Банк XXI века», ради которого нередко и внедряются новейшие банковские информационные технологии (без анализа реальных потребностей в них, стратегического или бизнес-планирования, ТЭО и т. п.).

В связи с изложенным необходимо предусмотреть формирование, поддержание и достаточно долгосрочное хранение доказательной базы по ордерам клиентов кредитной организации и предоставленным банковским услугам (прежде всего по выполненным в соответствии с ними операциям). Для этого в кредитной организации должны приниматься руководящие решения относительно определения состава клиентских и банковских данных, порядка их формирования и сопровождения (включая процедуры восстановления в нештатных ситуациях) и необходимые процедуры, входящие в состав определенного таким образом комплексного внутрибанковского процесса. Этот процесс (часть процедур которого относится к процессам ОИБ, ВК и ФМ) следует разработать и официально утвердить, распределить ответственность и обязанности, права и полномочия, управляющие и контрольные функции, а также организовать соответствующее управленческое наблюдение. Наиболее важными вопросами, которые необходимо решать при этом, является обеспечение целостности, доступности и конфиденциальности упомянутых массивов данных, однако надо заметить, дело не ограничивается взаимоотношениями кредитной организации и ее клиентов ДБО.

Руководству кредитной организации целесообразно четко осознавать необходимость наличия перечисленных процедур и гарантий с учетом требования Банка России, правоохранительных органов и других органов финансового контроля. В последние годы вместе с заметным обострением ситуации с ФМ в широком смысле и ПОД/ ФТ в частности (из-за чего за последние три года отозвано более сотни лицензий на осуществление банковских операций) актуальность приобрел вопрос своевременного предоставления заинтересованным федеральным учреждениям сведений о деятельности клиентов, в том числе клиентов ДБО. Для «удовлетворения» такого спроса сами кредитные организации, по-видимому, должны быть заинтересованы в том, чтобы требуемую информацию можно было предоставить, не вызывая ненужных подозрений у представителей этих учреждений. Поэтому логично видеть связь этой проблематики с претензионной работой с клиентами и развитием ДБО.

Для этого руководству высокотехнологичной кредитной организации целесообразно оптимально (т. е. полно и адекватно) сформулировать задачу «правильного выстраивания» отношений с клиентами ДБО и контрагентами, которая нередко если и не выходит на первый план, то весьма близка к этому. В оптимальном варианте такое понимание находит свое отражение прежде всего в тех внутрибанковских документах, которые регламентируют:

— осуществление ДБО, эксплуатацию СЭБ и сопровождение функционирования поддерживающих его компьютерных систем;

— изучение структуры типичных банковских рисков и определение их компонентов, уровни которых могут оказаться значимыми;

— выделение значимых компонентов банковских рисков, источники которых концентрируются в клиентской зоне риска;

— определение последствий реализации выделенных компонентов банковских рисков, их структурной принадлежности и влияния;

— определение мероприятий, подлежащих выполнению для исключения или парирования влияния компонентов банковских рисков.

Приведенный перечень уточняется кредитной организацией исходя из установленных потенциальных уязвимостей, архитектуры ИКБД, доступных ресурсов, ожидаемых последствий (правовых, репутационных, стратегических) реализации компонентов банковских рисков и т. д.

В случаях недостаточной проработки вопросов, связанных с защитой прав клиента ДБО и обеспечением выполнения обязательств перед ним, что отражается (или должно было бы отражаться) прежде всего в договоре на ДБО, лишняя (и совершенно необязательная) «головная боль» кредитной организации гарантирована. Впрочем, практика изучения содержания договоров такого рода свидетельствует, что кредитные организации обычно оговаривают для себя отсутствие ответственности за прерывания обслуживания удаленных клиентов в связи с какими бы то ни было обстоятельствами. При этом нередко о каких-либо правовых последствиях, не выполнении взятых на себя обязательств, ущербе, нанесенном клиенту (в том числе в форме невыполнения им своих финансовых обязательств перед третьей стороной) и т. п. речи в текстах не идет. Впрочем, ситуация вроде бы облегчается тем, что, судя по содержанию договоров, клиентов ДБО эта проблематика совершенно не беспокоит, но, как выясняется впоследствии, лишь до нанесения им реального ущерба, когда случившееся может оказаться для них уже необратимым (в смысле финансовых потерь).

В оптимальном варианте организации ДБО сценарии такого рода отражаются (прямо или косвенно) прежде всего в содержании договоров на такое обслуживание, внутренних порядках кредитной организации (начиная с УБР) и должностных инструкциях ее специалистов, что и представляет собой первый результат ориентированного на выявление источников рисков процесса анализа в форме конкретной процедуры, которую можно продемонстрировать клиентам и впоследствии Банку России. Тщательность проработки текстов договоров, безусловно, послужит на пользу обеим сторонам, поскольку предусмотреть удастся если и не все, то большинство проблемных и (или) кризисных ситуаций (угроз), одновременно максимально обезопасив заинтересованные стороны. Далее в качестве второго результата можно предложить организацию входящей в этот же процесс процедуры оповещения клиентов о тех проблемах, с которыми им, может быть, придется встретиться в условиях ДБО. Например, могут быть даны разъяснения относительно уловок фишеров, способов хищений при использовании клиентами банкоматов, гарантий безопасности при использовании той или иной технологии электронного банкинга, как и наличие демоверсий соответствующего программного обеспечения на web-сайтах кредитных организаций и т. п. наверняка способствовали бы улучшению имиджа этих организаций и популярности ее среди реальных и потенциальных клиентов.

Любое обслуживаемое той или иной кредитной организацией лицо (неважно, юридическое или физическое) должно быть в первую очередь уверено, что при использовании им СЭБ для получения какой-либо информации или выполнения банковской операции сеанс удаленного информационного взаимодействия организуется именно с ней. Так обычно и бывает, когда клиент, к примеру, сам вводит в адресную строку своего браузера адрес информационного или операционного web-сайта этой кредитной организации. Однако, как известно, это не единственная возможность организации сеанса, так как открытые системы компьютерной связи подвержены атакам со стороны разного рода «компьютерных мошенников» (кстати, не обязательно хакеров). Например, в случае атак типа фишинга клиент может быть введен в заблуждение относительно того, что он имеет дело с известной ему кредитной организацией, с последующей «выдачей» данных своей персональной идентификации или номера банковской карты, которые затем окажутся использованными мошенником для хищения финансовых средств или в каких-то других целях. По статистике на это попадается примерно 5 % клиентов (кажущаяся незначительность этой цифры не должна вводить в заблуждение — все зависит от того, какой именно клиент «клюнет»), тем более в мире действуют тысячи хакерских и фишерских web-сайтов, распространяющих потенциально опасное программное обеспечение.

Одна из атак этого вида инициируется фишером, который может воспользоваться доступными справочниками (базами данных) web-адресов для рассылки сообщений, в которых под упомянутым благовидным предлогом клиенту предлагается подтвердить персональную идентификационную информацию с помощью гиперссылки, через которую якобы инициируется соответствующий диалоговый интерфейс с кредитной организацией. На экран компьютера клиента при этом выводится изображение, практически идентичное тому, которое воспроизводится при работе с кредитной организацией через интернет-браузер, вот только адресная строка, которую видит клиент и которая ему знакома, представляет собой фальшивый элемент изображения, формируемый специальным JavaScript'oM и наложенный на изображение настоящей адресной строки, в которой фигурирует (но, понятно, не виден клиенту) адрес сайта фишера, с которым реально имеет дело клиент. При этом в адресной строке имитируется наличие защищенного соединения (https://), на изображении также присутствует программная кнопка «Переход» («Go»), а в фальшивой адресной строке при желании можно впечатать настоящий адрес, т. е. это не статичное изображение, а «живой» код Java. Усугубляет ситуацию то, что фишер получает еще и возможность «негласного отслеживания» всех web-сайтов, посещаемых клиентом в течение сеанса связи, так как адресная строка остается, так сказать, «установленной». В наихудшем случае фишер вслед за этим может организовать атаку типа «посредник», просматривая все отправляемое и получаемое через web-браузер, пока он не будет закрыт. Конечно, зачастую можно обнаружить признаки подделки, поскольку добиться идеального наложения изображений удается далеко не всегда, но по статистике мало кто из атакуемых об этом задумывается.

Не случайно и появление web-сайтов-подделок, которые оформляются аналогично настоящим web-сайтам кредитных организаций и предназначены также для «извлечения» персональной идентификационной информации, за чем далее следуют хищения финансовых средств. Поэтому Банк России сообщил об этом банковскому сообществу и начал размещать на своем web-портале сведения о настоящих адресах web-сайтов кредитных организаций, которые поступают в составе регламентной банковской отчетности.

Специалистам фактически атакуемых кредитных организаций уместно было бы не только иметь представление о том, каким неприятностям могут подвергаться их клиенты, щелкая мышью по гиперссылкам на экранных изображениях браузера, но и уведомлять клиентов ДБО о необходимости крайне внимательного отношения к фишингу, информировать о мерах предосторожности и т. п., да и проектировать свои интерфейсные изображения таким образом, чтобы максимально затруднить их подделку и использование в мошеннических целях. Тем самым может быть исключен целый ряд компонентов большинства из упоминавшихся выше банковских рисков. Прежде всего будет поддержано доверие клиентов к ДБО (а за ним скрыты компоненты репутационного и стратегического рисков), конечно, при сохранении функциональности СЭБ. Далее клиенты не будут иметь оснований для предъявления претензий по поводу того, что «введению» их в заблуждение способствовала сама предложенная кредитной организацией и, «как оказалось, ненадежная» ТЭБ. Наконец, не возникнет обвинений кредитной организации в неплатежеспособности (невыполнении финансовых обязательств в установленные интервалы времени).

Однако в «зоне риска» клиента многие факторы риска возникают и по причинам, связанным с недостатками в обеспечении и поддержании информационной безопасности. Необходимо помнить, что клиенты кредитных организаций, являющиеся «всего лишь людьми», весьма склонны к нарушению даже общеизвестных правил и требований соблюдения мер предосторожности при работе с компьютеризованной конфиденциальной информацией. Типичными являются ошибки при использовании и хранении кодов персональной идентификации, несоблюдение правил использования и смены паролей доступа к функциям ДБО, невнимательность при заполнении полей данных в интерфейсных изображениях, утрата средств персональной идентификации или их компрометация в случае хищений (физических и компьютерных с помощью вирусных программ, сканирования при банкоматном обслуживании и т. п.) и др. Соответственно в тех случаях, когда какие-то кодовые комбинации, персонифицирующие клиента или аутентифицирующие его операции, оказываются похищены (в том числе перехвачены), после чего клиент теряет «живые деньги» или же нарушается конфиденциальность его информации, либо она оказывается искаженной или уничтоженной и т. п., претензии такой клиент предъявит прежде всего к кредитной организации (даже если на самом деле проблема была связана с недостатками в деятельности каких-либо провайдеров). Поэтому во избежание реализации связанных с подобными ситуациями компонентов типичных банковских рисков специалистам кредитной организации целесообразно заранее проработать возможные сценарии неправильного поведения клиента ДБО, составить модели связанных с этим потенциальных угроз (и для кредитной организации и для клиента) и их развития, предусмотреть соответствующие меры и средства защиты, «обкатать» их в ходе проведения ПСИ СЭБ и, наконец, отразить в документе, регламентирующем порядок претензионной работы с клиентами ДБО, или его аналоге. Все это может быть реализовано как процедуры процесса УБР.

Не исключено, что, учитывая тенденцию к увеличению количества вариантов хищения персональной информации кредитным организациям целесообразно рассмотреть возможности усложнения процедур идентификации клиента при начале им сеанса ДБО и перед выполнением банковской операции, т. е. перехода к двухэтапной идентификации с разделением каналов информационного взаимодействия, несмотря на то что этот подход может повысить накладные расходы при ДБО. Для усложнения идентификации человека можно использовать то, что он:

— имеет — пропуск, паспорт, кредитную карту и т. п.;

— знает — пароль, кодовую фразу, последовательность действий;

— обладает — отпечатками пальцев, радужной оболочкой глаза и т. п. (биометрия).

За рубежом биометрические системы используются уже довольно широко не только на «режимных» объектах, но и в торговле и в банковских учреждениях и т. д. Естественно, применение таких систем может существенно сказаться на стоимости услуг ДБО, что допустимо лишь при одновременном адекватном повышении его эффективности (рентабельности), что в большинстве случаев для российского банковского сектора пока еще затруднительно. Однако организовать параллельные каналы информационного взаимодействия можно и за счет дублирования однотипных по принципу работы телекоммуникационных систем, например, если при начале сеанса от клиента требуется ввод некоего кода (PIN, ID, Log-In и пр.) с клавиатуры (тастатуры), то перед завершающим этапом операции от БАС или СЭБ кредитной организации может передаваться сеансовый код, допустим, на мобильный телефон. Схемы такого рода (системы опознавания), широко известные в оборонной тематике, повышают защищенность интересов клиента и ДБО в целом.

Помимо изложенного необходимо отметить, что история развития ДБО в российском банковском секторе (особенно в последние три года) богата претензиями клиентов к кредитным организациям, специалистам и руководителям которых приходится при разборе конфликтных ситуаций объяснять, к примеру, что:

— технические проблемы с инсталляцией дистрибутива и управлением СЭБ необходимо решать с помощью службы технической поддержки кредитной организации или ее сервис-центром, а не со случайными специалистами;

— никакие средства дистанционного доступа ни в коем случае нельзя передавать посторонним или даже доверенным лицам, если специальные права таких лиц не зафиксированы документально и не верифицированы в сеансе;

— необходимо при инициации сеанса препятствовать доступу к вводимым данным персональной идентификации со стороны посторонних лиц и сослуживцев, какого бы доверия они ни заслуживали;

— пользоваться только и исключительно теми средствами и каналами связи (информационного взаимодействия), которые указаны в официальных документах кредитной организации;

— своевременно сообщать в сервис-центр кредитной организации или по ее «горячей» линии о любых случаях компрометации средств и (или) данных персональной идентификации;

— при телефонном обращении якобы от имени кредитной организации требовать предоставления уникальной подтверждающей информации и предлагать самому перезвонить по одному из заведомо истинных номеров телефона;

— перед тем как вставить пластиковую карту в приемный слот банкомата, необходимо убедиться в отсутствии каких-либо накладок или вкладных элементов, а также в отсутствии стороннего наблюдения.

Все перечисленное и еще многое сверх того (в зависимости от разновидности системы ДБО) лучше сообщать заранее, требуя от клиента при этом расписываться на каждом листе договора в двух экземплярах, а не только на последнем. Информацию такого же рода целесообразно размещать в офисах кредитной организации, на ее web-сайтах, в рекламных буклетах и т. п.

 

5.9. Адаптация плана действий в чрезвычайных обстоятельствах

Непосредственных требований к содержанию плана действий персонала кредитных организаций в чрезвычайных обстоятельствах и использованию этого плана до настоящего времени не выработано и в отечественной законодательной базе, регламентирующей банковскую деятельность, не содержится. Косвенно о них (в форме рекомендаций, через требования к ВК) можно судить по тексту Положения 242-П, в котором сказано:

«3.7. Кредитной организации необходимо обеспечить непрерывность деятельности и (или) восстановление деятельности, нарушенной в результате непредвиденных обстоятельств. В указанных целях кредитная организация должна иметь план действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности в случае возникновения непредвиденных обстоятельств, предусматривающий использование дублирующих (резервных) автоматизированных систем и (или) устройств, а также восстановление критически важных для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг. Кредитная организация определяет порядок проверки возможности выполнения плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности в случае возникновения непредвиденных обстоятельств.

Рекомендации по структуре и содержанию плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения непредвиденных обстоятельств, а также по организации проверки возможности его выполнения приведены в приложении 5 к настоящему Положению».

В указанном приложении описывается, по сути, подход к определению содержания и организации процесса поддержания доступности информационно-процессинговых ресурсов кредитной организации в условиях возникновения чрезвычайных обстоятельств, который состоит из процедур разработки, согласования, утверждения, пересмотра и проверки (тестирования) упомянутого плана. Анализ положений этого документа не относится к тематике настоящей книги, тем более что многие из них являются универсальными в плане применения к любым банковским автоматизированным системам, поэтому ниже будут сделаны только несколько замечаний относительно специфики использования содержащихся в нем рекомендаций в условиях внедрения и последующего развития кредитной организацией ДБО.

За рубежом рассматриваемые планы действий обычно подразделяются на две части: обеспечение непрерывности бизнеса и восстановления после чрезвычайной ситуации, которые интерпретируются как совокупности мер по предотвращению негативного воздействия потенциально угрожающих надежности банковской деятельности обстоятельств и парированию их последствий, если требуемую надежность обеспечить все же не удалось. Для определения показателей надежности устанавливаются значения, характеризующие допустимые рамки для интервалов прекращения операций. Это, как правило, высокие вероятностные значения порядка 0,95—0,97. Исходя из этих цифр и положений известной теории надежности определяются требования к схемам резервирования оборудования, включая каналы (линии связи), способам, средствам и времени восстановления работоспособности, ее показателям и т. п. Тестирование планов действий кредитных организаций в чрезвычайных обстоятельствах является типичным процессом во многих странах, причем оно может иметь разные масштабы: одной организации, группы филиалов организации (например, объединяемых по географическим признакам для имитации воздействия стихийных бедствий или техногенных катастроф), групп кредитных организаций или даже банковской системы в целом.

В российском банковском секторе такой подход пока еще нельзя назвать распространенным, он характерен для кредитных организаций, являющихся дочерними структурами зарубежных коммерческих банков. По-видимому, это обусловлено еще одним проявлением упоминавшегося в главе 4 «квалификационного разрыва», поскольку понятия содержания банковской деятельности, трактуемого в узком, традиционном смысле, и технологической надежности, от которой теперь полностью зависит эта деятельность, с единых позиций ранее не интерпретировались и не регламентировались. Однако в свете интенсивного использования технологий и систем электронного банкинга такая интерпретация уже стала актуальной, так что адаптация процесса, рассматриваемого в настоящем подразделе, также находит свое место в составе внутрибанковского мета-процесса.

Упомянутые в Положении 242-П «непрерывность деятельности и (или) восстановление деятельности» относятся ко всем техническим средствам в ИКБД ДБО, от которых зависит выполнение кредитной организацией обязательств перед своими клиентами (независимо от того, что в Федеральном законе от 10 июля 2002 г. № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» использованы только понятия кредитора и вкладчика, с чем, видимо, связаны формулировки в Положении 242-П), поскольку в современных условиях собственно понятие банковской деятельности, как об этом говорилось в главе 1, подлежит широкой трактовке в силу многообразия таких обязательств. Вследствие этого внедрение первой же ТЭБ и реализующей ее СЭБ (вкупе с БАС кредитной организации) в оптимальном варианте организации указанной деятельности приводит к существенному, а иногда и к радикальному пересмотру как самих планов действий в чрезвычайных обстоятельствах, так и порядка тестирования этих планов. В том и в другом случае в них появляются принципиально новые разделы, которые ранее, до перехода к ДБО, появиться просто не могли. При этом из-за возникновения ИКБД и влияния его характеристик состав этих разделов будет достаточно разнообразен, поскольку требуется охватить все негативные ситуации, которые могут возникнуть в самой кредитной организации, у ее провайдеров и клиентов и в каналах (линиях) связи, включая возможные сетевые, хакерские и вирусные атаки.

Учет состава ИКБД и ассоциируемых с ним источников компонентов банковских рисков, распределенных по зонам их концентрации, может оказаться непростой задачей, хотя, безусловно, решаемой. Поэтому и разветвлений в указанных планах может быть довольно много уже потому, что любой удаленный клиент должен, во-первых, быть предупрежден о возникновении чрезвычайных обстоятельств, во-вторых, получить какими-либо резервными способами доступ к необходимым ему ресурсам кредитной организации и, в-третьих, представлять себе, чем гарантирована целостность и конфиденциальность его данных. Поэтому руководству такой организации, переходящей к ДБО, целесообразно оценивать свою ресурсную базу с точки зрения ее достаточности для обеспечения выполнения упомянутых обязательств в условиях ДБО и инициировать адаптацию планов действий в обеспечение их выполнения в чрезвычайной ситуации. То же самое относится к «плану действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности» при ДБО.

Справедливости ради следует отметить, что подобные планы имеются в большинстве отечественных кредитных организаций, однако качество их во многих случаях не выдерживает критики потому, что само их содержание не свидетельствует о полном и адекватном учете всех потенциальных наиболее серьезных (т. е. приводящих к форсмажорным событиям) источников компонентов банковских рисков, а также вследствие очевидной ориентации на принятие решений исполнительным персоналом на месте, вместо следования заблаговременно четко и однозначно определенным процедурам. Если просто говорить о влиянии внедрения в банковскую деятельность любой

СЭБ, то зачастую этот факт не приводит к пересмотру содержания рассматриваемых планов, прежде всего потому, что отсутствуют необходимые руководящие решения, ориентированные на конкретные подразделения кредитной организации, а если такие решения имеются, то часто «не срабатывает» соответствующая контрольная функция (в обеспечение их выполнения), что свидетельствует о недостатках в процессе ВК.

Внедрение каждой новой СЭБ (не говоря уже о ТЭБ) должно, в общем случае, приводить в рамках мета-процесса к пересмотру содержания и разработке новых редакций как самих планов, так и порядков их тестирования. Тем самым каждый раз будет совершаться очередной виток соответствующего цикла, за счет чего и сможет быть обеспечена надежность банковской деятельности (в ее технологической и технической части). Важно при этом не забывать, что задачи обеспечения доступности банковских автоматизированных систем и восстановления их штатного функционирования в условиях ДБО являются комплексными и решать их целесообразно с позиций оптимизации процесса УБР.

 

5.10. Организация отношений с провайдерами

Кредитные организации все чаще передают выполнение тех или иных технологических процедур, связанных с обработкой, передачей и хранением банковских данных, сторонним организациям, т. е. провайдерам услуг, вследствие чего оказываются в той или иной мере зависимыми от этих провайдеров, как и клиенты этих организаций. Зависимости, возникающие в ИКБД, могут быть достаточно разнообразными, и по этой причине управление отношениями с провайдерами требует организации специального внутрибанковского процесса (как совокупности процедур, ориентированных на различные сегменты этого контура ДБО). Несмотря на то что аутсорсинг может улучшить банковское обслуживание, способствовать его оптимизации и контролю над стоимостью, а также обеспечить техническое содействие, требуемое для поддержания и расширения предлагаемых услуг, он привносит в банковскую деятельность дополнительные рисковые компоненты, которые целесообразно учитывать кредитным организациям в процессе УБР. Кроме того, возрастает подверженность самих кредитных организаций банковским рискам, компоненты которых связаны с состоянием и характеристиками деятельности провайдеров (поскольку зависимость означает уязвимость) в части источников компонентов операционного, правового и репутационного рисков, начиная с отказов оборудования этих организаций, продолжая раскрытием конфиденциальной информации, сетевыми атаками и заканчивая визитом налоговой инспекции.

Что касается особенностей применения аутсорсинга в целом и организации отношений с провайдерами, то одним из наиболее важных вопросов становится организация взаимодействия с теми провайдерами, с которыми ранее никакие отношения кредитными организациями не поддерживались в силу отсутствия у них необходимости в такого рода услугах. Тем не менее внедряемые в кредитной организации бизнес-процессы, связанные с ДБО и реализующие отношения в рамках соглашений на аутсорсинг, также логично было бы рассматривать с позиций внутрибанковского «метапроцесса», поскольку, во-первых, ключевые требования к ним аналогичны, — все они связаны с выполнением ею обязательств перед клиентами, во-вторых, каждая новая ТЭБ может потребовать привлечения дополнительных сторонних организаций к формированию нового или модернизации уже используемого ИКБД в обеспечение предоставления клиентам ДБО новых сервисов.

При определении содержания договоров с такими провайдерами целесообразно четко определять права и обязанности сторон исходя прежде всего из состава обязательств перед клиентами кредитной организации. Одновременно желательно прорабатывать те или иные запасные варианты (в зависимости от вида аутсорсинга), в которых предусматриваются дополнительные маршруты или способы информационного взаимодействия с клиентами, способы оповещения их о тех или иных проблемных ситуациях вместе с подтверждением гарантий соблюдения их интересов, объяснением причин возникновения таких ситуаций и предложениями конкретных действий, позволяющих это взаимодействие продолжить и т. п. Необходимо упомянуть также возможную зависимость от поставщиков АПО систем электронного банкинга (вендоров), хотя такого рода зависимости обычно аутсорсингом не считаются, но, с точки зрения автора, если компания-разработчик комплекса ДБО по каким-либо причинам уйдет с этого рынка, то СЭБ кредитной организации останется без сопровождения, а вместе с ним исчезнут и возможности для ее развития и расширения соответствующего направления банковской деятельности. Мало того, при этом не исключена и реализация компонентов стратегического риска, поскольку если СЭБ приобретена «под ключ» или заказана, то с течением времени может возникнуть потребность замены этой АС (в силу ее устаревания), а значит, возникнут расходы на вывод ее из эксплуатации и на приобретение другой СЭБ (те же финансовые потери).

Помимо изложенного, если говорить о возможных проблемах с представительствами кредитной организации в Сети, без которых уже не обойтись, необходимо помнить, что любой web-сайт может стать объектом атак хакеров, так что его содержание в общем случае уязвимо, причем, возможно, далеко неблагоприятным для самой организации образом (например, разрушение содержимого сайта, внедрение антирекламы, порочащих изображений, ссылок, баннеров и пр.). Эта проблематика рассматривается в главе 6, здесь же уместно отметить, что вследствие наличия этих и других негативных факторов кредитной организации оказывается необходим и соответствующий компонент плана действий в чрезвычайных обстоятельствах (параграф 5.9). Такой компонент в силу множественности негативных факторов и источников компонентов операционного, правового и репутационного рисков неизбежно также оказывается комплексным, тем самым его составление предполагает проведение если и не всестороннего, то достаточно объемного анализа, который могут провести совместно подразделения автоматизации (информатизации), ОИБ, ФМ и УБР (если оно выделено в отдельную службу), желательно под руководством представителя совета директоров или исполнительных органов кредитной организации (ввиду значимости интернет-сегмента для любой организации в настоящее время).

Содержание упомянутого раздела плана действий в чрезвычайных обстоятельствах может быть различным в зависимости от политики кредитной организации относительно использования собственных и сторонних представительств в Сети, назначения и конкретного размещения web-сайтов. Если web-сайт располагается на вычислительных «мощностях» компании-разработчика, интернет-провайдера или другой сторонней организации, то целесообразно еще до начала его практического использования (а лучше — проектирования) проанализировать сопутствующие компоненты банковских рисков и представить возможные последствия их реализации (включая, естественно, юридические). При этом, как и в других случаях аутсорсинга, в оптимальном варианте изучается репутация провайдера, возможно, его финансовая отчетность, АПО (с оценкой его надежности), квалификация персонала, опыт работы на данном рынке аутсорсинга и репутация, состояние ОИБ и т. д. Вся эта информация служит для оптимизации содержания контрактов на обслуживание и становится особенно важна в тех случаях, когда от функционирования провайдера прямо зависит качество обслуживания клиентов кредитной организации и могут затрагиваться их интересы. В такой ситуации содержание контрактов с провайдером логично было бы коррелировать с содержанием договоров с клиентами ДБО, особенно в части распределения ответственности в случае наступления предполагаемых чрезвычайных обстоятельств, а также в части механизмов возможных сопутствующих судебных разбирательств. Впрочем, если web-сайт располагается на вычислительных средствах самой кредитной организации, то соответствующий ряд процедур, относящихся к провайдерам и взаимоотношениям с ними, исключается из рассмотрения состава источников компонентов банковских рисков, хотя в рассматриваемом плане он все равно остается ввиду наличия угроз сетевых атак на информационно-процессинговые ресурсы самой организации.

Наконец, завершая этот параграф, необходимо упомянуть использование кредитными организациями «оффшоринга», что требует регулярного мониторинга, помимо рассматривавшихся банковских рисков, еще и странового риска (почему он и упоминался в главе 2). Организация, прибегающая к такому аутсорсингу, вынуждена вести мониторинг процессов, происходящих за рубежом, — политических, экономических, социальных, правовых — в стране дислокации провайдера услуг. Ей в соответствии с рекомендациями БКБН следует также разработать план действий в случае прекращения выполнения своих обязательств таким провайдером (в том числе неожиданного) и «стратегию выхода» из контрактных отношений. В оптимальном варианте на крайний случай должны предусматриваться мероприятия по экстренному «возврату» выполнения необходимых функций на территорию своей страны, что предполагает наличие либо резервных мощностей у самой кредитной организации, либо резервной договоренности с аналогичным провайдером, предпочтительно резидентом.

В результате при обсуждении пруденциальной организации взаимодействия с провайдерами речь должна идти о комплексе процедур, т. е. о процессе, в котором могут быть задействованы и операционные подразделения кредитной организации, и ее инженерно-технические специалисты, и юристы, наряду (возможно) со специалистами по ОИБ, ФМ и ВК (имея в виду систему ВК), а также сервис-центр. Очевидно, что формирование указанного процесса и его циклическая инициация по мере внедрения новых банковских информационных технологий является прерогативой высшего руководства или исполнительных органов кредитной организации, что целесообразно «закрепить» в ее внутренних документах. Логичным следствием этого должно являться распределение соответствующей ответственности и обязанностей (ролевых функций), подконтрольности и подотчетности между структурными подразделениями организации с доведением действия этой компоненты адаптации документарного обеспечения ДБО в кредитной организации (параграф 5.1) до должностных инструкций ответственных исполнителей в этих ее подразделениях и дополнения содержания процесса ВК в ней. Все это позволит снизить уровни компонентов банковских рисков, ассоциируемых с наличием зависимости надежности ДБО от провайдеров.