Особенности риск-ориентированного подхода к внедрению и применению технологий электронного банкинга.

[ Продолжение статьи, начало здесь.]

Как показывает анализ изменений, происходящих в составе и содержании банковских бизнес-процессов (в оптимальном варианте подлежащих внесению кредитными организациями вместе с внедрением ими технологий электронного банкинга — независимо от их общего количества и функциональных особенностей), вслед за такими изменениями могут (а лучше бы должны) следовать и изменения в организационно-штатной структуре кредитной организации. Фактически подразумевается требование адаптации распределения функциональных ролей, ответственности, обязанностей, прав, полномочий, подконтрольности и подотчетности конкретных руководителей и исполнителей на различных уровнях иерархии управления этой организации к новым банковским технологиям. Это положение относится к целому ряду специальных служб в структуре кредитной организации.

Прежде всего к подразделениям, отвечающим за процесс УБР, применение информационных технологий (ИТ) и (или) автоматизацию, внутренний контроль и финансовый мониторинг (в настоящее время эти два процесса нередко реализует одно подразделение), обеспечение информационной безопасности, ведение претензионной работы, а также сервис-центр и некоторые другие. Вместе с тем все сопутствующие и адекватные складывающейся в кредитной организации ситуации изменения должны коснуться и документарного обеспечения деятельности перечисленных подразделений. Такие изменения инициируются, как правило, органами управления этой организации и реализуются соответствующими (достаточно специфическими по сути) внутрибанковскими процессами и процедурами.

На сегодняшний день полнота, адекватность и качество бизнеспроцессов в кредитной организации фактически стали определяться соответствием их новому, к сожалению, не получившему пока правильного осознания принципу: «Знай свои технологии» [1]. Без преувеличения можно сказать, что большинство процедур, входящих в состав внутрибанковских процессов, реализуется в современных условиях не столько персоналом кредитной организации, сколько ее банковскими автоматизированными системами. Да и сама кредитная организация, если говорить о собственно выполнении банковских операций «и других сделок», о которых сказано в ст. 5 Федерального закона от 2 декабря 1990 г. № 395-I «О банках и банковской деятельности», в значительной своей части представлена теперь не зданием с обозначающей ее вывеской, а БАС и хранилищем данных, доступ к которым во все большем числе случаев обеспечивают системы ДБО [2].

Таким образом, привычный «Банк» оказывается для клиента кредитной организацией не более чем «кирпичным интерфейсом», служащим для официального оформления и инициации доступа к той БАС, которая выполняет все банковские операции и совершает другие сделки (причем не обязательно в самой кредитной организации). В дополнение к этому клиент может в ряде случаев осуществлять доступ к бэк-офису кредитной организации через ИКБД, выступая фактически в роли «операциониста», взаимодействующего с ее БАС удаленно, что радикально меняет и характер отношений с ним кредитной организации, и состав так называемых «зон ответственности» этой организации, и ее «периметр безопасности» [3]. Приведенные наблюдения оказываются тем более справедливыми, что по состоянию на февраль 2009 г. большинство кредитных организаций применяет от двух до десяти систем ДБО разного или вариативного функционального назначения (пик соответствующей диаграммы приходится на 3–4 системы такого рода). Одновременно, как правило, задействуются и 2–4 web-сайта (по той же статистике — даже до 12!).

Внедрение любых технологий электронного банкинга не должно негативно сказываться на надежности и устойчивости высокотехнологичных кредитных организаций, т.е. уровень совокупного или агрегированного банковского риска [4] повышаться не должен. Это означает, что изменения в структурах профилей отдельных типичных банковских рисков должны происходить таким образом, чтобы профиль агрегированного риска, пусть даже меняясь, оставался контролируемым в смысле установленных для его компонентов пределов с учетом их возможного взаимного влияния. При этом подразумевается, что в кредитной организации существует описание этих компонентов в форме определений основных типичных банковских рисков, имеющих компоненты технологического и технического характера, причем в эти описания своевременно (в оптимальном варианте) вносятся коррективы, определяемые особенностями вновь внедряемой ТЭБ и реализующей ее СЭБ.

В этой книге используется иерархическая модель для профилей банковских рисков, представленная на рис. 1, которая была апробирована в процессе проводившихся в течение нескольких лет исследований организации банковской деятельности, осуществляемой технологиями электронного банкинга. В ней фигурируют три уровня: помимо уровня известных типичных банковских рисков (ТБР) рассматриваются также нижележащий уровень так называемых «элементарных» банковских рисков (ЭБР) и вышележащий уровень «системных» банковских рисков (СБР). Это в известной степени условные понятия, призванные лишь подчеркнуть различия между уровнями анализа состава компонентов агрегированного банковского риска: каждый ЭБР соответствует некоему недостатку в формировании организационнотехнической базы банковской деятельности или, иначе, «просчету» в управлении рисками банковской деятельности в смысле превентивного воздействия на потенциальные источники компонентов этих рисков. Каждый СБР характеризует возможные последствия влияния неконтролируемого изменения профиля и повышения отдельного ТБР или их совокупности, что в итоге может привести к негативным событиям системного характера [5]: отзыву лицензии на осуществление банковских операций, банкротству, ограничению выполняемых операций и т.п. На средней условной плоскости ТБР показан профиль риска в форме пентагона с указанием уровней пяти типичных банковских рисков.

Рис. 1. Пример профиля банковских рисков при использовании иерархического подхода

Чтобы удерживать уровни банковских рисков в допустимых пределах, необходимо осуществлять выявление их компонентов, анализировать причины их возникновения — источники указанных компонентов, определять меры воздействия на эти источники (осуществлять собственно УБР) и контролировать результаты такого воздействия.

В свою очередь для эффективной организации и реализации перечисленных процедур в составе процесса УБР целесообразно учитывать уже разработанные и апробированные подходы к его формированию, кратко рассматриваемые ниже.

В одном из основных материалов БКБН, посвященных проблематике УБР в новых условиях [6], отмечается: «При выборе технологии электронного банкинга руководству кредитной организации следует анализировать сопутствующие ей факторы и источники рисков, а также оценивать возможности управления данной технологией и контроля ее использования». При этом специально в отношении ДБО через Интернет, учитывая способность технологий такого рода стимулировать взаимную анонимность кредитных организаций и их клиентов (скрытых средой информационного взаимодействия), говорится, что «предоставление финансовых услуг через Интернет может существенно изменить и (или) даже увеличить традиционные банковские риски (например, стратегический, репутационный, операционный, кредитный и ликвидности)». На самом деле состав банковских рисков, на изменение профилей и уровней которых влияют технологии электронного банкинга, непосредственно зависит от особенностей банковского законодательства, действующего в той или иной стране. Поэтому перечни банковских рисков, приводимые в различных руководствах зарубежных органов банковского регулирования и надзора, отвечают условиям только конкретной страны (или так называемой «объединенной Европы»), а в широком смысле они, конечно, вариативны. Кроме того, в этом же смысле рассматриваемый риск-ориентированный подход не ограничивается только рисками, которые принимают на себя кредитные организации, а распространяется и на их клиентов, что в условиях электронного банкинга приобретает, так сказать, «особую значимость», потому что риски, которым подвергаются такие клиенты, могут непосредственно преобразоваться в компоненты типичных банковских рисков (о чем чаще всего просто забывают).

В число основных характеристик современных условий осуществления банковской деятельности (которые целесообразно учитывать при стратегическом планировании использования электронного банкинга) входят:

- активная разработка и внедрение новых вариантов банковского обслуживания и сопутствующих им новых банковских технологий;
- внесение изменений в законодательство, ориентированных на повышение надежности и транспарентности банковской деятельности [7];
- дефицит специалистов в области технологий электронного банкинга на фоне их быстрого развития и распространения;
- многообразные зависимости эффективности банковской деятельности от сторонних организаций (разного рода аутсорсинга);
- усложнение контроля над процессами, протекающими в виртуальном пространстве банковской деятельности («киберпространстве»).

При этом наблюдается принципиальное противоречие между темпами развития банковских информационных технологий и законодательной базы осуществления банковской деятельности и ее обеспечения. Эти условия никак не зависят от кредитных организаций, поэтому учитывать их целесообразно как факторы возникновения потенциальных проблем, с которыми вполне вероятно им придется столкнуться при внедрении ТЭБ.

Здесь уместно сделать краткое отступление, чтобы отметить некоторые особенности проявления таких факторов, о которых целесообразно подумать еще до начала этого внедрения при принятии решения относительно выбора конкретной технологии.

Прежде всего руководству кредитной организации уместно оценить, насколько хорошо известна, распространена и апробирована предлагаемая ТЭБ, поскольку история развития банковского дела знает немало примеров использования недостаточно хорошо освоенных технологий и систем такого рода, что всегда приводило к реализации компонентов всех имеющих отношение к делу типичных банковских рисков. «Пробелы» в законодательстве обычно приводят к несовпадениям в интерпретации правил и условий использования ДБО разными сторонами, оказывающимися в спорных ситуациях, связанных с недостатками в организации условий применения конкретной ТЭБ (в самом широком смысле), равно как в содержании обязанностей и ответственности лиц, от которых оно зависит, и определении степени ответственности сторон — участников конфликта. Здесь следует отметить и то, что российским кредитным организациям до настоящего времени приходится самим парировать недостатки отечественного финансового, и в частности банковского законодательства, что относится в значительной мере к содержанию текстов договоров с клиентами ДБО и контрактов с провайдерами, действующими в соответствующем ИКБД: положения этих документов подвергаются наиболее тщательному анализу в арбитражных судах.

В более узком смысле для того чтобы руководству кредитной организации определить состав факторов риска, способных негативно повлиять на процесс и результаты банковской деятельности, удобно разбить ИКБД на так называемые «зоны концентрации источников риска» (как минимум — известные специалистам кредитной организации и предполагаемые ими) и проанализировать особенности каждой из них.

Первой такой зоной является клиент ДБО, последней — компоненты локальной вычислительной сети (ЛВС) этой организации, между которыми располагаются зоны, относящиеся к ее провайдерам, телекоммуникационным системам и пр., включая зональные вычислительные сети (ЗВС) в распределенных или многофилиальных структурах крупных кредитных организаций. Затем, при необходимости, отдельные факторы или источники рисков можно сгруппировать по признакам их возможного проявления в тех или иных типичных банковских рисках. Это может оказаться полезным, например, при организации управления банковскими рисками по их типам: операционный, правовой, репутационный и др. Как бы то ни было, указанные зоны подлежат описанию во внутренних документах кредитной организации, относящихся к управлению банковскими рисками, вместе с общими мерами по парированию их потенциального влияния.

В связи с этим можно определить основные подлежащие оперативному решению проблемы, связанные с новыми факторами, повышающими уровни банковских рисков при использовании технологий электронного банкинга, с чем сталкиваются соответствующие кредитные организации при создании пруденциальных условий банковской деятельности (с учетом всех зон ответственности и концентрации источников компонентов банковских рисков): для кредитных организаций:

а) возможно снижение надежности (а вслед за этим и устойчивости) банковской деятельности из-за неадекватного учета новых факторов и источников банковских рисков, обусловленных спецификой новой ТЭБ и сложностью контроля реализующих их внутрибанковских и системных процессов;
б) из-за различий в практической реализации кредитными организациями технологии электронного банкинга возникает необходимость в точном учете конкретного состава реально действующих факторов риска в каждом отдельном случае (варианте архитектуры БАС и систем электронного банкинга);

для клиентов кредитных организаций:

а) возможен ущерб их интересам из-за реализации неизвестных или малоизвестных им факторов и источников банковских рисков при отсутствии у них достаточной квалификации в части ТЭБ (включая понимание функционирования конкретного ИКБД в выбранном ими варианте ДБО);
б) освоение выбранной СЭБ может оказаться серьезно затруднено из-за несоответствия характеристик собственной личности (возраст, социальное положение, образование, сфера деятельности и т.п.), следствием чего станет повышение уровней принимаемых на себя «клиентских» рисков.

Поэтому, в частности, в ряде своих материалов БКБН отмечает необходимость разработки кредитными организациями «эффективной внутрибанковской политики и практики управления проектами, жизненным циклом систем, контроля над изменениями и гарантией обеспечения требуемого качества банковской деятельности и обслуживания клиентов» [8]. Одновременно подчеркивается, что план внесения адаптационных изменений в перечисленные компоненты банковской деятельности (и внутрибанковские процессы) высшему руководству кредитных организаций целесообразно составлять еще до перехода к практической эксплуатации систем ДБО. Причем план этот должен «эффективно доводиться» до всех менеджеров структурных подразделений кредитной организации, которые будут иметь отношение к использованию новой банковской технологии.

Наиболее значимой особенностью организации процесса УБР в условиях электронного банкинга является вариативность ИКБД, компоненты которого и их потенциальное негативное влияние необходимо учитывать. При этом приходится помнить о том, что каждая ТЭБ и реализующая ее СЭБ создают свой собственный контур такого рода, и эти информационные контуры могут не только не совпадать (даже при использовании однородных технологий электронного банкинга), но и существенно различаться подмножествами источников компонентов риска, концентрирующихся в тех или иных зонах. Сами эти зоны также могут оказаться неявно выраженными, скажем, в случаях использования кредитной организацией так называемых «виртуальных частных сетей» [9], формирующих в общедоступных сетях передачи данных защищенные «туннели» передачи информации, сетевых экранов (брандмауэров) и прокси-серверов, требующих весьма тщательной настройки своего программно-информационного обеспечения, с помощью которого организуется сетевая защита. Недостатки в организации применения информационных технологий такого рода, которые известны, как правило, только узким специалистам, могут оказаться теми «виртуальными воротами» к информационно-процессинговым ресурсам бэк-офиса кредитной организации, на которые обычно нацелены хакерские, вирусные и прочие сетевые атаки.

Очевидно, что риск-ориентированный подход требует не только составления схем ИКБД, определения и описания зон концентрации источников компонентов банковских рисков, но и комплексного анализа их потенциального влияния на указанные ресурсы. При этом важно постараться охватить процессом УБР все каналы информационного взаимодействия кредитной организации с клиентами или, при неблагоприятном стечении обстоятельств, — со злоумышленниками, имея в виду, что в условиях развитых филиальных структур необходима организация мониторинга влияния источников компонентов банковских рисков во всей структуре подразделений кредитной организации и для всех ее систем электронного банкинга (особенно в ситуациях, когда услуги электронного банкинга предоставляются филиалами), охватывая также и БАС (о чем нередко забывают).

Проблематика банковских рисков привлекает внимание органов банковского регулирования и надзора разных стран уже довольно давно, и попытки их подробного описания и анализа имели место задолго до начала эры ДБО. Значимость потенциальных угроз надежности банковской деятельности в целом осознавалась в банковском сообществе, что выражалось, к примеру, даже в таких оригинальных формулировках, как «банковское дело — это принятие на себя риска с получением компенсации за него». [1]

Однако, как это ни парадоксально, до настоящего времени в публикациях, посвященных банковскому делу и сопутствующим рискам, отсутствует единый теоретический подход к определению, интерпретации и практическому применению даже базовых понятий, связанных с этой теорией.

Внедрение в банковскую деятельность технологий и систем ДБО усугубило ситуацию в том плане, что на этой волне стали возникать как бы все новые и новые виды банковских рисков, из-за чего и без того не законченная методология, охватывающая выявление, оценивание, анализ, мониторинг банковских рисков и управление ими, стала размываться, затрудняя ее практическое использование.

Оборот «как бы» употреблен здесь не случайно. Несмотря на то что теоретические разработки в области рисков банковской деятельности ведутся уже более 20 лет (первые публикации систематического характера относительно отдельных компонентов таких рисков относятся еще ко второй половине 80-х гг. прошлого века), законченной или даже сколько-нибудь полной «теории» этих рисков до настоящего времени не создано — проработаны только отдельные направления.

В основном такие разработки были посвящены кредитному, процентному, ценовому, валютному рискам или совокупности последних, определяемых как рыночный риск, а также риску ликвидности. Мало того, практически каждый из зарубежных органов банковского регулирования и надзора [2] до последнего времени формировал свою собственную теорию, причем общее число банковских рисков варьировалось от полутора десятков до одного (операционного, поглощавшего все остальные). Одна из таких теоретических разработок Базельского комитета по банковскому надзору (БКБН) нашла отражение в упомянутом ранее Указании оперативного характера Банка России от 23 июня 2004 г. № 70-Т «О типичных банковских рисках». В этом материале фигурируют следующие 11 банковских рисков: кредитный, страновой, рыночный, фондовый, валютный, процентный, ликвидности, операционный, правовой, потери деловой репутации и стратегический. Между тем, с течением времени и развитием банковских информационных технологий этим дело не ограничилось, поскольку возникли новые компоненты банковских рисков, уже технологического характера, которые стали вносить существенные коррективы в теоретические подходы к анализу рискованности банковской деятельности.

Вследствие этого в последних по времени выпуска материалах БКБН, посвященных основным принципам управления рисками в условиях применения электронного банкинга [3], стали фигурировать еще и такие риски, как:

—— деловой;
—— безопасности;
—— хищений идентификационных данных;
—— мошеннических действий со счетами;
—— отмывания денег;
—— обезличивания индивидуальности;
—— отрицания транзакций,

несмотря на то что в этой же работе отмечалось «отсутствие возникновения принципиально новых рисков» и что «деятельность в области электронного банкинга не приводит к возникновению рисков, которые не были бы уже идентифицированы в предыдущих работах Базельского Комитета».

Вместе с тем было также указано, что фундаментальные характеристики ДБО и факторы, которые ассоциируются «с видами обслуживания в рамках электронного банкинга… увеличивают и модифицируют некоторые из традиционных рисков, связанных с банковской деятельностью, в особенности стратегический, операционный, правовой и репутационный риски, тем самым влияя на общий профиль риска в банковском деле». Мало того, в некоторых других материалах БКБН говорится еще и о так называемых рисках, «характеризующих электронную обработку данных в банках», а именно:

—— риск непредусмотренного раскрытия информации;
—— риск ошибок;
—— риск мошенничества;
—— риск прерывания операций;
—— риск неэффективного планирования;
—— риски, связанные с действиями клиентов.

В более ранних документах БКБН, посвященных типичным банковским рискам и считавшихся основополагающими в этой области, перечисленные выше разновидности рисков не упоминались и не рассматривались. Также в этих документах отсутствуют указания на совокупности «новых» банковских рисков как на компоненты типичных банковских рисков, а это, с точки зрения автора, неточность, имеющая принципиальный характер. Очевидно, что нагромождение дополнительных разновидностей банковских рисков может привести только к размыванию границ методологии, которую вряд ли когда-нибудь можно будет считать законченной.

Не лучше, чем в этом общеевропейском методическом органе банковского регулирования и надзора, обстоят дела с теоретическими исследованиями в области банковских рисков в условиях электронного банкинга и в отдельных странах. Чтобы не перегружать изложение, уместно ограничиться только двумя примерами попыток преодоления ограничений, свойственных традиционному подходу к описанию банковских рисков при переходе к анализу их специфики, обусловленной эффектами виртуального пространства, в котором осуществляется современная банковская деятельность. В частности, Банк Нидерландов в рассматриваемом отношении выделяет следующие «нетрадиционные» риски [4]:

—— риск управляемости (обусловленный недостаточной гибкостью и обеспечением банковских информационных технологий);
—— риск эксклюзивности (обусловленный недостаточной защитой против несанкционированного доступа к банковским автоматизированным системам и отдельным средствам в их составе);
—— риск целостности (обусловленный неточностью, неполнотой банковской информации или несвоевременностью ее поступления);
—— риск контролируемости (обусловленный недостаточными функциональными характеристиками средств контроля);
—— риск непрерывности (обусловленный возможной недостаточной доступностью для работы самих информационных технологий);
—— риск пользователя (обусловленный возможным неправильным использованием информационных технологий).

Легко заметить некорректность приведенных формулировок, которые семантически должны были бы строиться совершенно иначе, учитывая, что при рассмотрении рисков речь всегда идет о возможности наступления событий, характеризуемых неким негативным влиянием на результаты той или иной деятельности. Эти же формулировки должны были бы строиться, например, таким образом:

– риск неуправляемости (или потери управляемости);
– риск потери конфиденциальности (или несанкционированного доступа);
– риск нарушения целостности (или искажения данных);
– риск неконтролируемости (или потери контроля);
– риск недоступности (или прерывания функционирования) и т.п.

Важно подчеркнуть, что подобные отмеченные семантические смещения во внутрибанковских документах, относящихся к организации и содержанию управления банковскими рисками, и проистекающие из общепринятого подхода, выражаемого словами «все всё понимают», недопустимы, так как «затуманивают» существо негативного явления.

Следствием этого, как правило, становятся просчеты в содержании составляющих данный процесс процедур, а также пробелы в их понимании, организации и выполнении.

Наконец, в материалах одного из основных органов банковского регулирования и надзора США и старейшего из них, созданного еще в середине XIX в. — Управления контролера денежного обращения [5], — такие банковские риски определяются как «ключевые риски, связанные с электронными банковскими операциями», а именно это:

—— риски, связанные с зависимостью от поставщиков и провайдеров;
—— риски, связанные с обеспечением безопасности, целостности и конфиденциальности банковских данных;
—— риски, связанные с авторизацией, аутентификацией и подтверждением достоверности и прав пользователя;
—— риски, связанные со стратегией ведения бизнеса и деловыми операциями;
—— риски, связанные с планированием непрерывности деловых операций;
—— риски, связанные с допустимостью проведения тех или иных операций и правовыми вопросами;
—— риски, связанные с компьютерными преступлениями и отмыванием денег.

При этом в более ранних и также считающихся базовыми материалах ОСС, посвященных организации банковского регулирования и надзора на основе рисков [6], перечисляются 9 банковских рисков (совпадающих с формулировками БКБН за исключением странового и фондового) [7], к которым только что перечисленные риски как будто никакого отношения не имеют.

Очевидны как сходство, так и различия в интерпретации аналогичных угроз надежности банковской деятельности, осуществляемой с использованием кредитными организациями новых компьютерных информационных технологий. Кстати, можно заметить, что при анализе рисков электронного банкинга зарубежные специалисты исключают из ИКБД собственно банковские автоматизированные системы (причем это свойственно специалистам и США, и некоторых стран Западной Европы) [8]. В трактовке систем электронного банкинга как виртуальных «ворот», открывающих доступ к информационно-процессинговым ресурсам кредитной организации, такой подход представляется в значительной мере упрощенным, поскольку все подверженные влиянию источников риска ресурсы такого рода сконцентрированы в так называемом «бэк-офисе» кредитной организации. Вследствие этого и анализ содержания компонентов банковских рисков логично осуществлять на всем протяжении ИКБД, который замыкается в хранилище банковских и клиентских данных, используемых для операционной и информационной деятельности кредитной организации, включающей также предоставление информации ее клиентам по счетам и операциям, равно как и подготовку регламентной банковской отчетности для контролирующих органов.

В российской литературе, посвященной рискам банковской деятельности, также часто встречаются «новые» банковские риски, упоминаемые в связи с разными сторонами информатизации этой деятельности. Наиболее «популярными» из них стали «информационные», «технологические», «технические» риски (или их комбинации) и некоторые другие. Дело не в новых названиях как таковых, а в том, что предметная область банковских рисков как бы становится шире вместе с каждой новой банковской информационной технологией, а значит, размывается и становится безграничной и соответствующая методология (как область знаний); вместе с тем она постоянно устаревает, вследствие чего использовать ее на практике почти невозможно. На самом деле новые технологические и технические решения сами собой не приводят к возникновению новых видов банковских рисков, которые необходимо учитывать в процессе управления ими (кстати, традиционно считается, что в него входят также процедуры выявления, анализа, мониторинга и оценки уровней этих рисков) и в «изобретении» этих видов рисков необходимости нет. Противоречия, подобные приведенному, свидетельствуют, по мнению автора, о неперспективности такого «экстенсивного» подхода к описанию и анализу банковских рисков. Понимая, что увеличение «множественности видов» банковских рисков препятствует поддержанию целостности и обеспечению преемственности методологии анализа банковских рисков с течением времени и технического прогресса, логичнее было бы более детально изучать и анализировать их структуру. Следовательно, имея в виду возможное развитие их с течением времени, все перечисленные выше новые риски целесообразно интерпретировать как компоненты типичных банковских рисков, уделяя им внимание при внедрении каждой новой ТЭБ.

С одной стороны, наличие некоторого хаоса в рассматриваемой области неудивительно, поскольку осознание рассматриваемых рисков оказалось непосредственно и почти исключительно связано с долгим эмпирическим путем развития и освоения банковского дела как такового. С другой стороны, быстрое внедрение и распространение банковских информационных технологий привело к таким системным изменениям в банковской сфере, которые создали условия для неожиданных и крупных трансформаций профилей рисков, обусловленных варьирующимися факторами риска как для отдельных кредитных организаций, независимо от их размеров, так и для финансовых систем в разных странах (в силу эффекта лавинного распространения рисков). Поэтому понятие риска как вероятности каких-либо потерь (включая упущенную выгоду) повсеместно становится предметом изучения и с эвристических, и с математических позиций [9], а для высокотехнологичных кредитных организаций отсутствие единой теории банковских рисков создает дополнительные проблемы с учетом их специфических компонентов, вносимых ДБО, в процессе управления банковскими рисками (УБР).

Анализ причин возникновения технологических и технических компонентов типичных банковских рисков приводит к выводу, что основным фактором для этого (опять-таки системного характера) является превращение банковской деятельности в своего рода «информационную дисциплину», которая в современном мире естественным образом оказалась «замкнута» на компьютерные технологии и вычислительные сети. Это означает, что все угрозы надежности банковской деятельности, порождающие источники указанных компонентов, можно свести в два небольших перечня:

1) данные (банковские и клиентские), передаваемые, обрабатываемые и хранимые в ИКБД, могут быть:
—— похищены,
—— изменены,
—— уничтожены,

2) операции, совершаемые с этими данными, могут быть:
—— имитированы,
—— искажены,
—— блокированы.

Поэтому становится необходимым постоянное обеспечение кредитной организацией авторизации, верификации и контроля получаемых, передаваемых и обрабатываемых финансовых и других (банковских, клиентских) данных, равно как и операций, осуществляемых с этими данными. Для этого в условиях применения электронного банкинга требуются дополнительные специальные процедуры, необходимости в которых при традиционной банковской деятельности не было в силу отсутствия такого явления, как ИКБД.

Эта проблематика до сих пор не считалась значимой и актуальной, по-видимому, из-за того, что автоматизация деятельности кредитных организаций, включая ДБО, не воспринималась как системный феномен, влияющий на эффективность и качество данной деятельности и превративший эти организации в аппаратно-программные комплексы информационных систем, состоящие из двух основных частей: БАС (в широком смысле) и хранилища банковских данных. Одновременно изменился и характер целого ряда типичных банковских рисков, в которых все более значимую роль стали играть их компоненты технологического и технического характера. Отсутствие такого восприятия объясняется, вероятно, несоответствием традиционного, устоявшегося понимания содержания банковской деятельности ее радикально изменившемуся характеру, обусловленному возникновению новых вариантов ДБО. Из-за этого в кредитных организациях возникли многочисленные недостатки в осуществлении УБР, негативное влияние которых на характеристики банковской деятельности и интересы клиентов этих организаций усугубляются опережающими темпами внедрения новых банковских информационных технологий и систем электронного банкинга по сравнению с совершенствованием процесса УБР.

Чтобы не «нагромождать» все новые и новые риски в ситуациях применения кредитными организациями разнородных технологий электронного банкинга, предлагается простая модификация традиционного подхода, ориентированная на анализ состава компонентов типичных банковских рисков, который неизбежно усложняется за счет возникновения их дополнительных источников, обусловленных в свою очередь действием рассмотренных выше новых факторов риска в ИКБД. Таким образом, в предлагаемой методологии риск-ориентированного подхода постулируется, что внедрение кредитными организациями новых информационных технологий, в том числе технологий электронного банкинга, не приводит к возникновению новых видов банковских рисков, но расширяет состав факторов и порождаемых ими источников компонентов типичных банковских рисков и вызывает смещения профилей рисков, сопутствующих банковской деятельности.

Здесь уместно также подчеркнуть различие между традиционными системами «Банк — Клиент» так называемого «закрытого» типа, которые предлагались только для юридических лиц и оказывались удобны лишь в тех случаях, когда «точка входа» в такую систему оставалась стационарной (в виде АРМ), и быстро распространяющимися системами ДБО с вариативным доступом к ним. Их разновидности продолжают появляться, что связано преимущественно с развитием мобильных средств связи и сопутствующих им компьютерных систем, а значит, возникают специфические для последних источники компонентов банковских рисков, которые существенно отличают их от систем со стационарными автоматизированными рабочими местами для ДБО. В свою очередь общность рассмотрения данной предметной и проблемной области предполагает ее инвариантность к особенностям среды информационного взаимодействия, в которой действуют элементы ИКБД.

В число основных факторов системного уровня, которые принципиально повышают уровни ряда типичных банковских рисков при использовании технологий электронного банкинга, входят также следующие:

—— «виртуальный» характер дистанционных банковских операций;
—— доступность «открытых» телекоммуникационных систем;
—— чрезвычайно высокая скорость выполнения транзакций в виртуальном пространстве;
—— глобальный характер межсетевого операционного взаимодействия;
—— участие компаний-провайдеров в реализации банковского обслуживания;
—— возможности использования систем электронного банкинга для противоправной деятельности.

Недостатки в учете этих факторов при внедрении технологий электронного банкинга приводят к росту вероятностей реализации компонентов банковских рисков как для кредитных организаций, так и для их клиентов. В свою очередь необходимость учета этих факторов в УБР приводит к требованию уточнения понятия и содержания собственно «банковской деятельности».

Это понятие стало существенно шире за последние годы, охватывая процесс применения банковских информационных технологий, а также новые способы и средства информационного взаимодействия кредитных организаций со своими клиентами и контрагентами. Соответственно в процессе УБР необходимо учитывать это расширение, поскольку результаты банковской деятельности стали в значительной мере, если не полностью, зависеть от того, могут ли считаться условия применения таких технологий пруденциальными и каким образом обеспечивается и гарантируется технологическая и техническая надежность кредитных организаций, равно как и эффективность процессов управления и контроля в них.

Продолжение статьи читайте здесь >>

Независимо от того, какого рода система дистанционного банковского обслуживания (ДБО) внедряется кредитной организацией, такая система фактически становится для нее своеобразными «виртуальными воротами», которые открывают доступ из «киберпространства» локального, зонального или глобального сетевого взаимодействия к информационно-процессинговым ресурсам и информационным (читай – финансовым) активам этой организации.

Надежность банковской деятельности, которая осуществляется через среду такого пространства, непосредственно зависит от того, насколько данная организация способна управлять происходящими в нем и значимыми для нее (и ее клиентов) процессами и контролировать их течение. Очевидно, что специфика указанной деятельности изначально находится в противоречии между обеспечением доступа к упомянутым ресурсам только и исключительно для легитимных пользователей (официально зарегистрированных клиентов, операторов, операционистов и т.п.), действующих в пределах точно установленных для них прав и полномочий, и технологиями, предполагающими реализацию принципов открытых систем и универсальных протоколов сетевого взаимодействия, составляющих базис большинства вариантов ДБО.

Если руководство кредитной организации, внедряющей систему электронного банкинга (СЭБ), недостаточно полно представляет себе особенности проблематики ДБО с точки зрения вариативности состава компонентов типичных банковских рисков, принимаемых на себя кредитной организацией, то их уровни будут заведомо (и неоправданно) повышаться, а сами эти компоненты - реализоваться, что всегда приводит к финансовым потерям.

Следует отметить также то, что до настоящего времени в российском банковском секторе внедрение и применение банковских информационных технологий в целом не считается чем-то значимым с точки зрения изменения характера банковской деятельности. В подавляющем большинстве кредитных организаций этот процесс не предваряется и не сопровождается адекватным анализом состава сопутствующих таким технологиям компонентов банковских рисков. Из-за этого как сами кредитные организации, так и их клиенты оказываются подвержены новым специфическим угрозам надежности банковской деятельности, с которыми далеко не всегда справляются, о чем свидетельствует, к сожалению, уже достаточно обширная статистика финансовых потерь этих организаций и их клиентов, обусловленных реализацией таких угроз. При этом собственно технологический аспект оказывается в значительной степени «вторичным»: к примеру, не столь важно, каким именно путем похищаются финансовые средства, - с помощью банкоматного мошенничества, через систему интернет-банкинга, за счет применения какого-то варианта фишинга, фарминга или вишинга и т.п. – важно то, что деньги исчезают именно в информационном контуре ДБО по причинам недостаточно полного учета новых факторов источников типичных банковских рисков и управления ими в кредитной организации.

Вследствие этого рассматриваемая ниже классификация технологий или вариантов ДБО может варьироваться без ущерба для общности рассмотрения данной предметной области. Она вообще введена в основном для того, чтобы можно было выделить те особенности каналов и сред информационного взаимодействия между клиентами кредитными организациями и их клиентами, которые желательно учитывать в случаях комплексирования соответствующих систем ДБО. В настоящее время компании, разрабатывающие системы такого рода, или кредитные организации, осуществляющие их самостоятельные разработки, все больше стремятся к многоканальности предоставления банковских услуг, объединяющей его варианты. Вместе с тем, это, как правило, не приводит к организации комплексного анализа всей совокупности источников банковских рисков, сопутствующих каждому из каналов ДБО, а следовательно, к тому, что новые источники рисков остаются «скрытыми» для кредитной организации, так что воздействие на них (то есть собственно управление рисками) начинается нередко лишь тогда, когда они реализуются в виде финансового ущерба.

Классификация технологий электронного банкинга

Прежде всего необходимо отметить, что по состоянию на сегодняшний день единой, устоявшейся классификации технологий электронного банкинга еще не существует. Поскольку любые технологии такого рода используются для обеспечения удаленного информационного взаимодействия между кредитными организациями и их клиентами, с наиболее общей точки зрения можно полагать, что все они в совокупности охватываются одним общим понятием систем типа (или класса) «Банк – Клиент». В то же время, исторически сложившиеся этапы развития способов и средств этого взаимодействия привели к тому, что под системами «Банк – Клиент» до настоящего времени понимаются преимущественно такие используемые кредитными организациями программнотехнические комплексы, для функционирования которых необходимо оборудование на стороне клиента специализированного автоматизированного рабочего места (АРМ) на базе персонального компьютера, установка на нем специализированного программно-информационного обеспечения ДБО, задействование тех или иных выделенных каналов связи (на основе кабельных или релейных линий), а также создание на стороне кредитной организации шлюзов, необходимых для передачи потоков данных (модемных пулов, маршрутизаторов, коммутаторов и т.п.).

Такие достаточно «тяжеловесные» и дорогостоящие системы получили условное название систем «с толстым клиентом» (Системы электронного банкинга такого рода в зависимости от их сложности, архитектуры, многоканаль-ности и т.п. характеристик могут стоить от тысяч до миллионов условных единиц. Учет этого фактора с по-зиций риск-ориентированного подхода важен с точки зрения оценки потенциального стратегического риска, что будет показано в соответствующей главе). Эти системы характеризуются одновременно достаточно обширными функциональными возможностями в части ограничения прав доступа к информационно-процессинговым ресурсам клиента и кредитной организации, использования служебных баз данных и баз нормативно-справочной информации, криптозащиты сетевого траффика, а также сохранения так называемой «сеансовой информации», сопровождающей двусторонний информационный обмен (что принципиально важно в плане обеспечения юридической силы так называемых «электронных документов», парирования случаев «отказа от операций», о чем не раз будет говориться в данной книге, разрешении спорных ситуаций и т.п.). За все эти возможности приходится, естественно, немало платить, что могут себе позволить в основном юридические лица.

В отличие от этих систем для обслуживания физических лиц гораздо удобнее и дешевле системы с так называемым «тонким клиентом», использование которых не связано с необходимостью установки на АРМ клиента специального программно-информационного обеспечения, да и само стационарное АРМ на его стороне зачастую не требуется. В наиболее «тонком» случае может использоваться обычный браузер или система меню, что типично для технологий мобильного и интернет-банкинга. Однако в этих случаях осложняется решение всех перечисленных выше вопросов в плане функциональных возможностей той или иной технологии электронного банкинга (ТЭБ) и реализующей эту технологию СЭБ. Настоящая книга посвящена преимущественно тому, чем приходится «платить» кредитным организациям и их клиентам за удобства оперативного доступа к информационно-процессинговым ресурсам, обеспечивающим банковская деятельность.

Вместе с тем, каждый из способов ДБО и каждая используемая для его реализации банковская автоматизированная система (БАС) могут иметь ряд принципиальных отличий (прежде всего в части каналов связи и среды взаимодействия), равно как и множество особенностей, из-за чего объединение их в один класс существенно затрудняет анализ состава компонентов банковских рисков, угроз банковской деятельности, лежащих в их основе, и причин возникновения этих угроз. Поэтому в плане изложения материала в настоящей книге предпочтение отдано классификации, позволяющей выделить устоявшиеся направления или варианты электронного банкинга.

Необходимо отметить также то, что адекватного понимания содержания электронного банкинга до настоящего времени по сути тоже еще не сложилось. Об этом свидетельствует содержание многих документов, разработанных зарубежными органами банковского регулирования и надзора, в которых приводятся определения содержания этого явления и формируется рабочий понятийный аппарат. Если попробовать сформулировать своего рода «базовое» определение электронного банкинга, то оно будет выглядеть следующим образом:

В данном определении можно увидеть своего рода «операционный» акцент, наличие которого объясняется тем исторически сформировавшимся «примитивным» подходом к интерпретации содержания банковской деятельности, о котором говорилось ранее, и который существенно сужает множество факторов, обусловливающих возникновение новых источников компонентов банковских рисков, подлежащих учету и анализу в кредитной организации при переходе ее к ДБО. На самом деле при выборе той или иной ТЭБ руководству, исполнительным органам и специалистам кредитной организации всегда следовало бы анализировать особенности этой технологии в плане выявления и описания сопутствующих ей факторов риска, а также оценивать свои возможности в части управления данной ТЭБ и контроля ее использования с учетом специфики формируемого ею так называемого «информационного контура банковской деятельности», - нового явления в сфере банковской деятельности, о котором речь пойдет далее в этой главе.

Функционирование современной кредитной организации отличается в первую очередь тем, что традиционный подход к анализу содержания банковской деятельности оказывается принципиально непригодным: он приводит к тому, что большое количество новых, нетипичных для традиционной банковской деятельности источников компонентов банковских рисков упускается из вида со всеми вытекающими отсюда негативными последствиями для кредитных организаций и их клиентов. Те и другие в такой ситуации оказываются незащищенными от новых угроз, которые вполне можно парировать при пруденциальной организации этой деятельности в новых технологических условиях. Помимо этого, конкурентные условия могут способствовать и тому, что окажутся внедренными недостаточно надежные, проверенные и «отработанные» технологии электронного банкинга и реализующие их банковские автоматизированные системы, сложность таких систем не согласуется с интервалом времени, выделяемым на их освоение и запуск в эксплуатацию. Что уж говорить о том, что дополнительной и непростой особенностью организации применения практически любой ТЭБ оказывается необходимость учета недостаточной квалификации клиентов кредитной организации в областях компьютерных и телекоммуникационных технологий.

В итоге, руководству кредитной организации, принимая решение о переходе к ДБО, уместно заранее определить круг потенциальных проблем, с которыми может быть связано такое обслуживание, и состав тех новых вопросов, которые придется решать в обеспечение поддержания надежности банковской деятельности (в широком смысле, имея в виду выполнение всей совокупности принимаемых на себя этой организацией обязательств как перед клиентами, так и перед теми или иными контролирующими органами). Поэтому целесообразно добиваться наиболее полного охвата предметной и одновременно проблемной области новых способов и условий осуществления банковской деятельности. Прежде всего логично достичь полного осознания модификации ролевой функции кредитной организации, внедряющей ТЭБ, предложив, к примеру, такое определение электронного банкинга:

В данном случае речь не идет о создании исчерпывающего понятийного аппарата высокотехнологичной банковской деятельности, тем более, что в наше время «технический прогресс» продолжает видоизменять банковскую деятельность; тем не менее, необходимо подчеркнуть, что собственно возникновение «дистанционности» действительно радикально меняет характер банковской деятельности. Следует отметить и то, что до сих пор руководство многих кредитных организаций не осознает этих изменений, так что принятие мер по приведению организации внутрибанковских процессов и составляющих их процедур (вплоть до отдельных функций) в соответствие новым способам и условиям банковской деятельности, формируемым такими технологиями, начинается только после того, как новые, нетипичные (неосознававшиеся до последнего времени) угрозы ее надежности реализуются, и сами эти организации и их клиенты потеряют немалые денежные средства.

В то же время, адекватный превентивный анализ состава компонентов типичных банковских рисков, действующих в условиях применения технологий и систем электронного банкинга гарантировано позволяет избежать неприятностей такого рода за счет заблаговременного внесения изменений во внутрибанковские процессы и процедуры, с ориентацией их на выявление, учет (мониторинг, анализ) и парирование потенциальных угроз надежности банковской деятельности. Но для этого в высокотехнологичной кредитной организации неизбежно должны произойти изменения в содержании корпоративного управления, причем каждая процедура в составе этого процесса оказывается «привязана» к особенностям вновь образуемых зон концентрации источников компонентов банковских рисков и одновременно зон ответственности кредитной организации. Эти понятия также не являются новыми, однако в условиях применения технологий электронного банкинга они приобрели новую актуальность и содержательно заметно усложнились.