Применение технологий электронного банкинга: риск-ориентированный подход
Шрифт:
— контрактов и договоров, в которых фиксировалось бы точнее распределение обязанностей и ответственности сторон с учетом специфических особенностей каждой ТЭБ и формируемого ею ИКБД;
— функционирования и использования автоматизированных систем, с помощью которых реализуется ДБО и к которым имеют доступ (или отношение) стороны, выполняющие оговоренные функции;
— восстановления функционирования автоматизированных систем и каналов связи в составе ИКБД и обеспечения их доступности для осуществления ДБО и выполнения сторонами своих обязательств;
— взаимодействия договаривающихся сторон с определением соответствующих порядков, включая обеспечение подтверждения идентичности этих сторон и аутентичности информационного обмена;
— разрешения конфликтных и спорных ситуаций, препятствующих штатному осуществлению ДБО, которые могут возникать в ИКБД, равно как и мерам, принимаемым в обеспечение этих условий.
В целом состав и характеристики (параметры) этих функций всегда зависят от состава и организации ИКБД (для каждой ТЭБ), а следовательно, могут варьироваться с течением времени, причем обязательно при внедрении нового варианта ДБО, так что адаптация будет затрагивать соответствующие процессы и в этом отношении. Главным фактором, обусловливающим очередной «виток» ЖЦ для них, являются отличия в реализации ДБО в каждом из этих вариантов, которые неизбежны даже при использовании однородных технологий электронного банкинга, а поэтому требуют изучения, освоения и учета, т. е. своего рода «точной настройки» внутрибанковских процессов.
Приведенное краткое описание ЖЦ АС и участия в нем разных служб кредитной организации может быть расширено исходя из ее структуры, поскольку в условиях большого разнообразия вариантов организации банковской деятельности, состава подразделений, применяемых автоматизированных систем и их архитектуры дать детальные полные рекомендации невозможно. В этом, кстати, заключается основная методологическая проблема, в решении которой в условиях применения технологий электронного банкинга целесообразно объединять усилия исполнительных органов кредитной организации и специалистов из упомянутых (как минимум) подразделений. Следствием возникновения этой проблемы становится решение вопроса согласованной адаптации совокупности внутрибанковских процессов с каждым «оборотом» ЖЦ банковских автоматизированных систем и технологий электронного банкинга при их последовательном внедрении в постоянно развивающуюся и усложняющуюся банковскую деятельность.
3.4. Адаптационный метапроцесс
Суммируя сказанное, можно перечислить основные зоны концентрации источников компонентов банковских рисков в случае внедрения ТЭБ, анализ которых целесообразно проводить:
БАС, с которой потребуется интегрировать программно-информационный комплекс электронного банкинга;
поставщики (вендоры) программно-информационных комплексов и аппаратно-программного обеспечения, подлежащих контролю;
внутрибанковские процессы управления и контроля, включая иерархию ответственности, подконтрольности и подотчетности;
внутрибанковское документарное обеспечение новой технологии от порядков и инструкций до должностных обязанностей персонала;
условия внедрения и применения новой технологии и реализующих ее систем электронного банкинга, которые потребуется создавать;
средства обеспечения информационной безопасности кредитной организации, внутрибанковских процессов и ее клиентов;
система внутреннего контроля, которая должна будет расшириться и адаптироваться к ТЭБ (включая финансовый мониторинг);
персонал кредитной организации, квалификация которого должна будет соответствовать новым требованиям (на разных уровнях иерархии);
клиенты кредитной организации, которым потребуется дополнительная подготовка для пользования новыми сервисами;
провайдеры кредитной организации, через телекоммуникационные и процессинговые системы которых пойдет новый банковский трафик.
Дополнительные вопросы юридического (правового) обеспечения банковской деятельности включают:
— содержание договоров с клиентами и контрагентами кредитной организации;
— оценку соответствия новой деятельности требованиям законодательных и подзаконных актов;
— обеспечение выполнения правил бухгалтерского учета и достоверности регламентной банковской отчетности (в виртуальном пространстве).
В оптимальном варианте в кредитной организации должны быть документированные свидетельства выполнения ее руководством своей функциональной роли при обосновании и принятии решений о внедрении и применении новой банковской технологии и адаптации внутрибанковских процессов и входящих в их состав процедур к условиям банковской деятельности, формируемым новой ТЭБ. Точно так же предполагается наличие распорядительных документов и порядков, регламентирующих согласованную адаптацию внутрибанковских процессов, т. е. модернизироваться должны все процессы, которые затрагивает внедрение ТЭБ, так чтобы не получилось, например, что специалисты внутреннего контроля или обеспечения информационной безопасности оказываются «не в курсе» технологических и технических изменений и продолжают работать «по старинке». Такая ситуация является угрожающей для кредитной организации и ее клиентов, поскольку способствует возникновению неконтролируемых источников компонентов банковских рисков.
Сказанное выше означает по существу, что в кредитной организации, переходящей к использованию технологий электронного банкинга, целесообразно организовать своего рода «процесс управления процессами» или, в современной терминологии, «мета-процесс». Этот процесс в оптимальном варианте организации банковской деятельности при формировании новых условий ее осуществления должен бы «автоматически» запускаться на основе распорядительных документов кредитной организации и ее внутренних регламентов (порядков), приводя к модернизации содержания как минимум перечисленных ранее в этом параграфе внутрибанковских процессов. Следует подчеркнуть, что предложенное здесь представление внутрибанковского мета-процесса не следует рассматривать как надуманное и нереалистичное: практика изучения организации и содержания современной банковской деятельности свидетельствует, что новые, непредвиденные компоненты типичных банковских рисков возникают не только тогда, когда адаптации внутрибанковских процессов к внедрению ДБО не происходит, но и тогда, когда адаптируются не все связанные с ним процессы или адаптируются без должного согласования между собой и в структуре кредитной организации в целом. Упрощенная общая схема такого ЖЦ, мета-процесса, управляющего им, и состава отдельных мероприятий (этапов), которые осуществляются в каждом цикле, приведены, соответственно, на рис. 3.3 и 3.4. В зависимости от состава процедур в общебанковских процессах управления и контроля эта схема может варьироваться в сторону большей детализации, однако это не имеет принципиального значения до тех пор, пока сохраняется ее связь с внедрением новых банковских информационных технологий, таких как технологии электронного банкинга.
В материалах зарубежных органов банковского регулирования и надзора подобный подход пока что отсутствует, по-видимому, потому, что история автоматизации банковской деятельности «на Западе» насчитывает десятилетия, а при ее начале разработка теории банковских рисков даже не планировалась. Достаточно вспомнить, что первое крупное компьютерное мошенничество, в результате которого было похищено около сорока миллионов долларов, произошло в одном из чикагских банков в 1974 г., а разработка первого варианта рейтинговой системы URSIT, используемой американскими органами банковского регулирования и надзора [83] , относится к 1978 г. (ее совершенствование продолжается до настоящего времени вместе с технологическим и техническим прогрессом в банковской сфере). Американские специалисты банковского инспектирования начали применять методы так называемого «компьютерного аудита» еще в начале 70-х годов прошлого века [84] . Как раз в это время (с 1971 г.) там началось интенсивное внедрение банкоматов, систем автоматизированной обработки чеков (впрочем, первую полнофункциональную систему такого рода ввел в эксплуатацию Chase Manhattan Bank еще в 1961 г.) и т. д., причем к этому времени в банковском секторе США работал уже каждый пятый программист в стране. Компьютеризация российского банковского сектора происходила весьма быстрыми темпами, значительно опережающими «осознание» значимости и особенностей этого явления, что до сих пор проявляет себя в уровнях рисков.
83
Universal Rating System for Information Technologies. Federal Register. V. 64, № 12, 1999. Эта система разработана Федеральным советом по проверкам финансовых учреждений (Federal Financial Institutions Examination Council — FFIEC), который является своего рода общим методическим органом для учреждений США, выполняющих регулятивнонадзорные функции в банковском секторе. В описании этой системы указано, что она «является… внутренней рейтинговой системой для проверок в рамках надзора… используемой для обеспечения однотипной оценки рисков, принимаемых финансовыми учреждениями и провайдерами услуг при использовании информационных технологий и выявления тех учреждений и провайдеров услуг, в отношении которых необходимо особое внимание со стороны надзора». Разработками этой организации пользуются и коммерческие банки и другие финансовые учреждения в США.
84
Robertson R.M. The Comptroller and Bank Supervision.
Принятие рассмотренного подхода отвечает требованиям времени, так как смещения профилей рисков кредитных организаций вместе с продолжением технического прогресса в обеспечении банковской деятельности и развитием ДБО неизбежны, а значит для поддержания технологической надежности ДБО эти явления должны анализироваться и учитываться руководством как во внутрибанковских процессах
УБР, так и в процессах, связанных с ним. Проявлением оптимизации управленческого подхода в этом плане (равно как и корпоративного управления в целом) можно было бы считать разработку новых видов внутренних документов кредитной организации, например имеющих условное название «Принципы и порядок адаптации внутрибанковских процессов», положения которых учитывались бы затем в «Порядке организации управления банковскими рисками», «Политике информатизации», «Политике обеспечения информационной безопасности», «Положении о системе внутреннего контроля», «Положении о службе внутреннего контроля», «Положении об осуществлении финансового мониторинга», «Положении об организации взаимоотношений с провайдерами», «Порядке ведения претензионной работы» и других внутрибанковских документах (приведенные названия их также ориентировочные).