Применение технологий электронного банкинга: риск-ориентированный подход
Шрифт:
Можно отметить тем не менее, что первое положение, учитывая трактовку его с позиций самой идеи ДБО, говорит по существу о необходимости поддержания доверия со стороны клиентов кредитных организаций к процессу именно дистанционного предоставления банковских услуг. Дискредитация такой идеи скорее всего нанесла бы непоправимый ущерб многим банковским учреждениям, учитывая уже понесенные и «договоренные» затраты на современные банковские технологии и их аппаратно-программное обеспечение (АПО). Это касается, кстати, и всех так называемых «частных платежных систем», которые получили чрезвычайное широкое распространение в последние два года (речь идет о разнообразных платежных терминалах и системах перевода денежных средств, фактически уже превратившихся в компонент российской финансовой системы). Второе приведенное положение комментариев не требует, а третье непосредственно связано с реализацией правового и операционного рисков. Следует отметить, что акцент на этих двух рисках для БКБН стал уже традиционным [94] , хотя значимость остальных перечисленных в главе 2 банковских рисков, прямо связанных с административными, управленческими, технологическими и организационно-техническими причинами (угрозами), отрицать в российском банковском секторе на сегодняшний день невозможно.
94
Risk Management Principles for Electronic Banking.
В материалах БКБН говорится, что «предложенные ОЭСР принципы определяют корпоративное управление как включение [в него] совокупности отношений между менеджментом компании, ее советом, акционерами и другими заинтересованными лицами [95] . Корпоративное управление предоставляет структуру, через посредство которой устанавливаются цели компании, а также определяет средства достижения этих целей и мониторинга функционирования. Хорошее корпоративное управление должно обеспечивать должные стимулы для совета и менеджмента, чтобы достигались цели, представляющие интерес для компании и ее акционеров, а также способствовать эффективному мониторингу». Можно отметить явное несоответствие базового определения семантике самого понятия «управление», которое изначально представляет собой процесс, а поэтому никак не может являться какой-либо «совокупностью отношений». Впрочем, здесь важно подчеркнуть, что само наличие мониторинга, который в высокотехнологичной среде неизбежно должен быть не менее «технологичным», не так просто организовать (что будет показано ниже), причем для этого потребуется наличие весьма специфических знаний и опыта и у самого «совета», и у высшего менеджмента кредитной организации, и у подбираемых ими кадров.
95
В число которых, как поясняется в документе, «входят надзор, правительство и вкладчики ввиду уникальной роли банков в национальной и локальной экономиках и финансовых системах, а также ассоциируемыми с ними явными и неявными гарантиями депозитов».
Далее в преамбуле рассматриваемого документа заявлено, что «с позиций банковского сектора корпоративное управление включает способ управления деловой активностью и банковской деятельностью со стороны Совета директоров и высшего руководства, который влияет на то, как они:
— устанавливают корпоративные цели;
— осуществляют банковский бизнес на повседневной основе;
— выполняют обязательства в части подотчетности перед своими акционерами и учитывают интересы других правомочных заинтересованных лиц;
— обеспечивают соответствие корпоративной деятельности и поведения ожиданиям того, что банки будут работать безопасным и надежным образом в соответствии с действующим законодательством и правилами; а также
— защищают интересы вкладчиков».
Надо сказать, что «корпоративные цели» кредитной организации, внедряющей ту или иную ТЭБ, как правило, непосредственно связаны с конкурентной средой и учетом пожеланий клиентов (об этом явно свидетельствуют данные социологических опросов). Что касается «повседневной» банковской деятельности, то в условиях применения ТЭБ это означает как минимум текущий мониторинг руководством кредитной организации реализации бизнес-плана и поддержания бизнес-моделью соответствующего варианта ДБО. Понятно, что то и другое может иметь место только в том случае, если органы управления кредитной организации понимают особенности ДБО (конкретной ТЭБ) и располагают адекватными средствами контроля, для чего им следует позаботиться о наличии таких средств еще до практического внедрения соответствующих систем, т. е. на стадии их проектирования либо, в случае сторонней разработки, принятия решения о приобретении такой СЭБ. В свою очередь это требует от представителей органов управления понимания технологических и технических особенностей функционирования ИКБД и системы, которую было решено внедрить для достижения стратегических целей кредитной организации (или наличия в руководстве кредитной организации некоего комитета, состоящего из специалистов необходимой квалификации).
Важным вопросом является учет интересов таких «заинтересованных лиц», как представители органа банковского надзора. Понятно, что в условиях применения ТЭБ, реализуемых в киберпространстве (которое по определению является виртуальным), кредитной организации придется позаботиться о гарантиях соответствия осуществления банковской деятельности установленным требованиям, которые она сможет представить таким лицам. При этом крайне желательно и создание условий для проведения при необходимости эффективной проверки этими (уполномоченными) лицами результатов применения ТЭБ в плане оценки того же соответствия. Надо сказать, что в этой ситуации, как и вообще при проверке функциональности автоматизированных систем, от всех взаимосвязанных участников такого процесса требуется демонстрация специальных знаний и квалификации начиная с разработки программ, методик и контрольных примеров для испытаний и кончая определением и оценкой свидетельств подтверждения заданной функциональности. Следует отметить, что сказанное в равной мере относится и к работе служб внутреннего контроля, обеспечения информационной безопасности и финансового мониторинга кредитной организации.
Обеспечение технологической надежности функционирования кредитных организаций, осуществляющих ДБО, в условиях открытых систем (например, через Интернет или мобильную связь), также является достаточно непростой задачей, особенно в части парирования возможного негативного влияния сопутствующих источников и факторов рисков. Совету директоров и высшему руководству кредитной организации, использующей ТЭБ, целесообразно заранее (на этапе принятия решений о переходе к ДБО) предусмотреть реализацию совокупности взаимосвязанных мероприятий, направленных на такое обеспечение. Для этого желательно иметь полное представление об особенностях возникновения и проявления источников и факторов риска, обусловленных работой в киберпространстве. Понятно, что даже в отсутствие официальной регламентации ничего страшного в применении ТЭБ в обеспечение банковской деятельности нет — при условии соблюдения элементарных правил здравого смысла и наличии необходимого минимума технических знаний. Тем не менее практика свидетельствует о том, что подавляющее большинство проблем в процессе ДБО возникает как раз из-за того, что о соблюдении правил такого рода органы управления кредитных организаций почему-то не задумываются. Следствием же этого становятся серьезные недостатки в организации внутрибанковских процессов и процедур, в содержании внутрибанковских распорядительных документов, порядков, положений, инструкций и т. п., а также в распределении функций, ответственности, обязанностей, прав и полномочий и т. д., равно как и в контроле над ними.
К этим проблемам тесно примыкает защита интересов вкладчиков, которые, как было отмечено выше, также входят в число «заинтересованных лиц». Впрочем, речь здесь должна была бы идти не только о тех клиентах кредитных организаций, которые связаны с ними именно договорами банковского вклада, но и обо всех лицах, которым требуются банковские услуги этих организаций (это важно с точки зрения содержания договоров на ДБО и внутрибанковских порядков, регламентирующих претензионную работу, где сложно найти соответствующие упоминания, поскольку акцент всегда делается на интересах самой кредитной организации). Таких лиц, понятно, намного больше, чем вкладчиков, вследствие чего и обязательства кредитных организаций оказываются существенно шире, особенно если учитывать многообразие возможных банковских услуг, реализуемых в рамках электронного банкинга, и вариантов ответственности кредитных организаций перед своими клиентами и органом банковского надзора. Корпоративность управления как раз и заключается в том, что гарантии выполнения этих обязательств следовало бы обеспечивать на всех уровнях менеджмента кредитных обязательств по всем «линейкам» подчиненности и подотчетности. Эти «линейки» сами подлежат адаптации вместе с внутрибанковскими процессами и процедурами, модифицируемыми при внедрении новых технологий банковского обслуживания в их жизненных циклах, за что отвечают, естественно, совет директоров и высшее руководство кредитной организации.
В завершение преамбулы рассматриваемого документа подчеркивается, что «практика надежного корпоративного управления особенно важна в проблемных ситуациях, в которых оказывается банк, или при необходимости принятия значимых корректирующих мер».
Очевидно, что при применении ТЭБ проблемные ситуации могут оказаться достаточно нетрадиционными и вообще связанными не только с самой кредитной организацией, но и с действиями ее удаленной клиентуры (которая весьма «охотно», например, создает инциденты информационной безопасности или делает ошибки при попытках осуществить банковские операции в рамках ДБО), а также с проблемами, которые могут иметь место на территории провайдера кредитной организации. В отношении таких ситуаций руководству кредитной организации целесообразно четко осознавать наличие тех или иных зависимостей банковской деятельности от третьих сторон, т. е. компаний, которые эту деятельность «всего лишь» обеспечивают. В большинстве случаев клиенты кредитной организации об этом обеспечении вряд ли догадываются, а поэтому, как показывает практика, все проблемы, связанные с выполнением обязательств сторонними организациями, задействованными в ИКБД, решать приходится сотрудникам самой этой организации (тот же второй, а то и первый уровень процессного подхода). В связи с изложенным уместно привести точку зрения Федеральной корпорации страхования депозитов США [96] , выраженную в одном из руководств по оцениванию рисков, связанных с информационными системами: «Если финансовое учреждение взаимодействует с провайдерами компьютерного обслуживания, в число которых входят те, кто занимается проектированием, разработкой, обслуживанием систем, администрированием систем, обработкой данных, аппаратным и программным обеспечением, то руководство банка отвечает за защиту своих систем и данных от рисков, связанных с внедряемыми технологиями и компьютерными сетями. Если банк зависит от провайдера, то его руководство должно иметь представление о политике и программе провайдера по обеспечению информационной безопасности, чтобы оценить возможности защиты данных самого банка и его клиентов».
96
Federal Deposit Insurance Corporation (FDIC).
Эта формулировка имеет в известном отношении частный характер, но идея, заложенная в ней, понятна: за уровень обслуживания, обеспечиваемый провайдером, по американским канонам ответственность несет тот, кто его нанимает для оказания услуг кредитной организации.
В дополнение к сказанному следует заметить, что даже при заранее предусмотренной реорганизации корпоративного управления, которое, предположим, уже было реализовано в кредитной организации до внедрения очередной новой технологии ДБО, лицам, ответственным за управление рисками, все равно целесообразно осуществлять комплексный анализ возможного смещения профиля риска. Это обусловлено тем, что любая новая, тем более, возможно, не до конца изученная технология при всех своих достоинствах может преподнести малоприятные сюрпризы. К примеру, внедрение банковского обслуживания через Интернет может оказаться для кредитной организации чрезвычайно выгодным, только если ею приняты все меры:
— для гарантированной идентификации клиентов кредитной организации, которые приобретают известную анонимность (как и при любом ДБО);
— достоверной аутентификации информационных сообщений, поступающих из внешнего мира и ассоциируемых с легитимными клиентами;
— полноценного обеспечения информационной безопасности БАС, учитывающего угрозы сетевых атак [97] ;
— эффективной фильтрации входящего трафика ордеров клиентов вместе с реализацией специфических функций финансового мониторинга;
97
Учитывать следует как внешние, так и внутренние угрозы, которые могут инициироваться в различных информационных сечениях как между системой ДБО и БАС, так и самой БАС.