Актуальность темы
исследования.
Наблюдаемое в последние годы быстрое развитие научно-технического прогресса в области компьютерных и телекоммуникационных систем ставит перед кредитными организациями новые задачи в области развития информационных технологий, обеспечения их надежности и безопасности. Это обусловлено, в первую очередь, стремлением кредитных организаций удовлетворить потребности клиентов, возникающие с развитием их бизнеса, в особенности, переходящего национальные границы и требующего осуществления широкого спектра банковских операций с использованием информационных систем. Проведение операций с использованием компьютерных технологий позволяет кредитным организациям создавать наиболее благоприятные условия для привлечения новых клиентов и поддерживать конкурентные преимущества для уже существующей клиентской базы. Развитие информационных систем позволяет кредитным организациям проводить операции как в интересах самого банка, так и клиентов.
В настоящее время кредитные организации экономически развитых стран осуществляют широкий спектр банковских операций с использованием информационных технологий. Возникающий при этом операционный риск — это одна из новых проблем, с которой столкнулась банковская система не только Российской Федерации, но и развитых стран. В условиях современных финансовых рынков управление операционным риском становится важным элементом надежности.
Регулирование риска использования информационных и телекоммуникационных систем — становится одним из важнейших факторов обеспечения стабильности банковской системы Российской Федерации. Основной целью регулирования риска использования информационных и телекоммуникационных систем является минимизация его отрицательного влияния на результаты деятельности кредитной организации. В настоящее время разработка систем оценки и мониторинга операционного риска находится в начальной стадии, что не даёт возможности органам надзора утвердить положения, обязывающие соблюдать конкретные методики оценки или количественные ограничения уровня риска. Кредитные организации Российской Федерации только начинают применять инструменты регулирования данного риска, позволяющие строить процесс управления операционным риском в зависимости от принятой в кредитной организации стратегии.
В экономически и промышленно развитых странах теория и практика определения, ведения и управления операционным риском, регулирования со стороны контролирующих органов имеет сравнительно молодую историю. В нашей стране инструменты регулирования операционного риска в настоящее время не разработаны. Однако, существуют рекомендации Базельского Комитета по надзору за банковской деятельностью, в которых обобщён опыт международной банковской практики по определению, ведению и контролю за операционным риском.
Изучению аспектов банковского операционного риска посвящены труды видных экономистов и специалистов банковского дела: Антиповой ОН.- Геращенко В. В., Котелкина C.B., Красавиной JI.H., Лаврушина О. И., Пискулова Д. Ю., Роуза П. С., Савинской H.A., Севрук ВТ., Симановского А. Ю., Соколинской М. Э., Коха Т., Синки Дж. Ф., Тосуняна Г. А. и др. В тоже время комплексное изучение проблем идентификации, анализа и регулирования риска использования информационных и телекоммуникационных систем в кредитных организациях, его роли в обеспечении стабильности банковской системы в условиях Российской Федерации до сих пор отсутствует.
Всё вышеперечисленное свидетельствует о необходимости теоретического осмысления экономической сущности риска использования информационных и телекоммуникационных систем в кредитных организациях и факторов его определяющихобобщения имеющегося практического опыта и разработки методологических рекомендаций по управлению и контролю данного вида риска и определяет актуальность избранной темы диссертационного исследования.
Цель и задачи исследования
.
Цель исследования состоит в развитии теоретических, методологических и прикладных аспектов управления, идентификации, оценки информационных и телекоммуникационных рисков, а также разработке методики организации контроля за состоянием данного риска на уровне кредитной организации.
Реализация поставленных целей предполагает решение следующих основных задач: исследовать экономическую сущность риска, соотношение с родственными категориями («опасность», «безопасность»), выявить принципиальное значение безопасности как цели управления риском с позиций системного и нормативного подходовизучить практику обеспечения безопасности информационных и телекоммуникационных систем кредитных организаций и определить направления ее возможного применения в Российской Федерацииисследовать методологические подходы к идентификации, определению и контролю за операционным риском, выявить недостатки и дать рекомендации по дальнейшему совершенствованиюопределить основные направления регулирования операционного риска Банком Россииобосновать необходимость регулирования операционного риска Банком России в целях реализации задач по поддержанию стабильности банковской системыпровести детальный анализ методов и инструментов управления информационным и телекоммуникационных риском применительно к деятельности кредитной организации и контролирующих органов, рассмотреть их особенности в условиях РФразработать методику организации контроля за состоянием риска информационных и телекоммуникационных систем в кредитной организации.
Объект и предмет исследования.
Объектом исследования является двухуровневая банковская система России, включающая кредитные организации, а также Центральный банк РФ.
Предметом исследования являются экономические и организационные отношения, возникающие в процессе регулирования риска использования информационных и телекоммуникационных систем российскими кредитными организациями.
Методологическая основа исследования.
Методологической основой исследования являются труды отечественных и зарубежных экономистов, посвященные теории и практике банковского дела, а также общеэкономическим проблемам. В процессе исследования использовался монографический и статистический материал, отдельные разработки международных финансовых организаций (в том числе, Базельского комитета по банковскому надзору и регулированию), материалы периодической печати, законодательные акты РФ и нормативные документы Банка России.
В основе исследования лежит диалектический метод, предполагающий изучение экономических явлений в их постоянном развитии и взаимосвязи. Применяются и такие методы исследования как сравнительный, логический и системный анализ, сопоставление, обобщение, синтез и другие методы познания сущности явлений.
Научная новизна.
Научная новизна определяется разработкой теоретических и методологических аспектов идентификации, оценки и регулирования информационных и телекоммуникационных рисков и методических подходов к ведению контроля за данным риском на уровне кредитной организации и Банка России, что выражается в следующих наиболее существенных результатах: уточнено содержание понятия банковского операционного риска как особого вида риска банковской деятельности, который имеет свойства как внешних, так и внутренних банковских рисковсистематизированы и развиты теоретические подходы к проблеме регулирования риска использования информационных и телекоммуникационных систем в системе обеспечения стабильности кредитных организацийсформулированы методологические принципы идентификации, оценки и контроля информационных и телекоммуникационных рисков в кредитных организацияхпредложен механизм регулирования Центральным Банком Российской Федерации информационных и телекоммуникационных рисков в целях проведения политики эффективного надзора за банковской деятельностью, рассмотрены его инструменты и процедурыразработана методика организации контроля за состоянием риска использования информационных и телекоммуникационных систем на уровне кредитной организации.
В диссертации содержатся и другие новые научные результаты, характеризующие личный вклад диссертанта в исследование проблематики.
Теоретическая и практическая значимость.
Теоретическая значимость заключается в развитии теоретических представлений о сущности информационных и телекоммуникационных рисков и методологии их регулирования. Сформулированные в диссертации теоретические положения, касающиеся управления и контроля за информационными и телекоммуникационными рисками, доведены до уровня рабочих методик.
Практическая значимость работы выражается в том, что сформулированные методологические подходы к идентификации, анализу, и управлению информационными и телекоммуникационными рисками могут быть использованы при разработке и совершенствовании систем управления операционными рисками в кредитных организациях. Практическая значимость работы обусловлена возможностью её использования в процессе преподавания курсов «Банковское дело», «Банковское регулирование».
Реализация базовых положений, выводов и предложений будет способствовать эффективному выполнению Центральным Банком Российской Федерации функций в области банковского надзора, рациональному контролю за состоянием операционного риска со стороны кредитных организаций, а также в целом повышению эффективности деятельности кредитных организаций и банковской системы Российской Федерации.
Апробация работы.
Основные положения диссертационного исследования опубликованы в брошюрах и статьях общим объемом 2,6 печатных листа, кроме того, они доложены на III межвузовской конференции аспирантов и докторантов Санкт-Петербургского государственного инженерно-экономического университета.
На основе материалов диссертационного исследования автором были разработаны Методические рекомендации по управлению рисками, связанными с использованием информационных и телекоммуникационных систем в деятельности кредитных организаций, которые используются в деятельности ряда кредитных организаций г. Санкт-Петербурга, что подтверждено соответствующими справками.
Отдельные теоретические и практические положения работы используются в учебном процессе кафедры «Финансы и налоги» СПбГИСиЭ, при чтении курса «Банковское дело», а также в учебном процессе Санкт-Петербургской банковской школы.
Данные выводы подтверждены на практике результатами деятельности в данной области ряда кредитных организаций г. Санкт-Петербурга. 3.2. Методика управления рисками, связанным с использованием кредитными организациями информационных и телекоммуникационных систем.
В соответствии с теорией управления кредитной организацией, основной формой управления является менеджмент — система принятия и реализации решений, направленных на достижение оптимального, наилучшего из возможных, варианта использования материальных, трудовых и финансовых ресурсов.
Одной из функций менеджмента в кредитной организации является контроль за соответствием фактически достигнутых результатов запланированным и внесение необходимых корректировок. Служба внутреннего контроля кредитной организации должна быть ориентирована на ограничение принимаемых рисков и на обеспечение порядка проведения операций, при условии достижения кредитной организацией ориентиров деятельности, соблюдении требований банковского законодательства, нормативных актов Банка России, общепринятых стандартов и правил делового оборота.
Служба внутреннего контроля является главным компонентом организации контроля за уровнем риска, возникающем в деятельности кредитной организации при использовании информационных и телекоммуникационных систем. Целью Службы внутреннего контроля за состоянием информационных и телекоммуникационных систем является повышение эффективности деятельности кредитной организации в области идентификации, оценки и контроля риска, возникающего при использовании данных систем.
Методика внутрибанковского контроля за состоянием риска использования информационных и телекоммуникационных систем при соблюдении заложенного в них порядка, позволяет достичь вышеуказанную цель за счет: контроля и обеспечения выполнения подразделениями и специалистами кредитной организации требований и принципов: a) действующего законодательства в области защиты информацииb) внутрибанковских документов, регламентирующих процедуры и полномочия в области идентификации, оценки и управления рискамиc) стандартов профессиональной деятельностиконтроля за достоверностью, точностью и адекватностью идентификации, оценки и управления рисками, возникающим при использовании информационных и телекоммуникационных систем и операционным рискомобеспечения минимизации отрицательного влияния факторов операционного риска на результаты деятельности кредитной организациипрофессионализма сотрудников службы внутреннего контроля (аудита) и полноты методики контроляпринятия своевременных и эффективных решений, направленных на устранение выявленных недостатков и нарушений в деятельности банка.
Предлагаемые методические рекомендации имеют своей целью обозначить проблемы и обеспечить понимание руководителями кредитных организаций, как руководителей высшего звена, необходимости управления рисками, возникающим при использовании информационных систем, а также разработки и внедрения собственных мер и процедур безопасности. 3.2.1. Роль руководства кредитной организации в управлении безопасностью информационных и телекоммуникационных систем. 3.2.1.1. Контроль руководства.
Ответственность за безопасность информационных систем перед угрозами различного типа, существенным образом связана с установленным процессом управления. За безопасность информационных систем в каждой конкретной кредитной организации несет руководство банка.
Обеспечение конфиденциальности, целостности и доступности данных требует разработки соответствующих процедур и правил контроля за их реализацией. Руководство кредитной организации должно в письменной форме установить чёткие правила политики безопасности и обеспечить их исполнение и поддержку в процессе осуществления. Прежде всего, руководящий орган кредитной организации должен установить адекватные процедуры и требования, касающиеся безопасности, позволяющие минимизировать вероятность наступления негативных факторов. Превентивные меры должны найти выражение в тщательно подобранном месте размещения компьютерного центра.
Для работы и установления правил политики информационной безопасности рекомендуется создание высшим руководством кредитной организации соответствующего комитета. Работой комитета должен управлять руководитель соответствующей квалификации, член Совета директоров.
Для осуществления кредитной организацией успешной деятельности ей необходимо общественное доверие, которое выражается, в том числе, в значительном количестве информации, характеризующийся высокой степенью конфиденциальности, предоставленной клиентами, при этом раскрытие либо утрата информации, может привести к утрате деловой репутации и доверия. Область конфиденциальности надлежит заранее определить: какая информация и в какой сфере подлежит (безотносительно формы представления) абсолютному запрету на публикацию (временному либо частичному). В связи с этим, необходимо иметь точные правила классификации информации (передачи данных).
Использование в кредитных организациях информационных систем может потребовать, при некоторых обстоятельствах, сотрудничества с внешними специалистами. Установление форм, методов и области такого сотрудничества лежит в сфере компетенции руководства кредитной организации, также как и допуск внешних экспертов к работе комитета, определяющего политику безопасности информационных систем. 3.2.1.2. Политика в области безопасности информационных систем.
Целью безопасности информационных систем является обеспечение конфиденциальности, целостности и доступности ресурсов, позволяющих обработку, пересылку и хранение системных данных гарантировать с точки зрения достоверности, надежности и авторизованного использования. Таким образом, надлежит установить и реализовывать соответствующую политику безопасности. Политика безопасности систем организации, касающаяся организационных правил планирования и эксплуатации, должна иметь наивысший ранг и быть доступной для всех работников, ответственных за безопасность информации.
Политика обеспечения безопасности должна как минимум содержать следующие элементы: определение информационной системы, целей деятельности, ценность информации хранимой в системеположение, определяющее намерения и волю руководства кредитной организации, хранить в безопасности информациюопределение информационной безопасности и вопросов доступа к информацииопределение существующих угроз, вероятной сферы их возникновениярасчёт издержек на обеспечение гарантированной защиты- => определение правил политики и стандартов касающихся требований: согласования с действующим законодательством и общепринятыми условиями договоров, относительно безопасности системнеобходимого уровня образования, требуемого для обеспечения безопасности информациитестирования и предупреждения (профилактика) вирусовобеспечения непрерывности планирования и утверждения изменений, принятия и использования новых информационных технологийпроизводства и хранения запасных и архивных копий- => определение общей и частной области ответственности для всех сотрудников за обеспечение сохранности информацииопределение правил предоставления отчётов по всем вскрытым либо возможным угрозам, касающихся возможности злоупотреблений, порядка их устранения и предупреждения повторения. Кроме того, должна проводиться аналитическая работа по идентификации слабых мест обеспечения безопасности систем, правил реализации критических схем в аварийных ситуациях, катастрофах либо стихийных бедствиях (аварийные планы).
Для обеспечения безопасности выполнения операций обработки информации, необходима разработка в кредитной организации соответствующих и надлежащим образом задокументированных процедур и областей ответственности. Такие процедуры должны быть изложены чётким и доступным для понимания рядовых пользователей языком и должны касаться: всего программного обеспечения, функционирующего в кредитной организацииправил создания, тестирования и эксплуатации нового программного обеспеченияправил и способов надлежащего хранения собранных данных, архивирования и возможность доступа к нимпорядка действий в случае обнаружения ошибокиспользования вспомогательных (резервных систем) в случае возникновения технических проблемпорядка действий в случаях сбоев (процесс восстановления).
Из обязательных процедур, которые кредитные организации обязаны выполнять — это разделение функций, а именно: функции администрирования систем, управления сетью, ввода данных, технического обслуживания компьютеров, ремонта системы и её развития, должны быть отделены от администрирования безопасностью компьютерных систем, а также аудита информационных систем.
Разделение и независимость выполнения функций тестирования от эксплуатационных, предупреждает появление неожиданных и нежелательных изменений используемой рабочей версии системы. Тестирование новой системы и работа действующей версии — должны производиться на разных компьютерах, в разных каталогах и т. д. Тестируемая система должна быть удалена от эксплуатируемой версии (и в физическом смысле тоже). Используемое в постоянной работе программное обеспечение должно иметь индивидуальный, собственный, часто меняемый пароль доступа.
Письменные правила должны определять порядок действий в случае каких-либо инцидентов: сбоях в системе, потери данных, выявление ошибочных и/или неполных операционных данных, нарушение конфиденциальности информации. В каждом из таких случаев должно быть обеспечено проведение идентификации и анализа причин аварийных ситуаций. В процедурах следует уделять внимание правилам анализа слабых мест функционирующей системы, планированию средств по восстановлению, тестированию и эксплуатации.
Процедуры должны быть направлены на предупреждение и вскрытие причин на стадии возникновения потенциальных угроз, влияющих на выполнение банковских операций. Процедуры должны обеспечить невозможность выполнения операций несовместимых с существующим законодательством, а также без предварительного контроля на безопасность. Должна быть указана возможность использования альтернативных компьютерных, коммуникационных сетей в аварийных случаях, согласующаяся с процедурами выявления ошибок и планами послеаварийного восстановления функционирования системы, повреждённой в результате инцидентов. Организационные процедуры должны быть тесно связаны с политикой безопасности информационных систем перед возможными убытками, вызванным злоупотреблениями работников, уничтожением программ, компьютерного оборудования, а также тратами на восстановление утерянных данных.
Политика использования внешних организаций для обеспечения работы информационных систем, а также совместная деятельность с ними (поставщиками оборудования, программного обеспечения, средствами обработки данных) потенциально может привести к утрате данных. Необходима идентификация области риска, проведение профилактики, а также разработка сценария (моделирование риска) в наиболее невыгодном сочетании, которое нельзя исключить. Руководством кредитной организации должны быть тщательно продуманны основные требования к обработке строго конфиденциальной информации (такой риск необходимо минимизировать путём кодирования системы, шифрования и т. п.).
Правила политики безопасности должны принимать во внимание вышеупомянутые внутренние и внешние условия, а также предохранять от некорректного выбора программного обеспечения, предупреждать инсталляцию технически несовместимых программ, позволяющих проводить неавторизованный доступ и повреждение информации (например, сетевые вирусы, «троянский конь», «логические бомбы»). Кроме того, следует тщательно продумать и предусмотреть совместимость собственного программного обеспечения с поставляемым на предмет безопасного функционирования информационных систем.
При разработке правил политики должна быть проведена классификация уровней безопасности информации, для целей собственной безопасности, а также установления правил взаимодействия между пользователями. Правила политики безопасности следует периодически анализировать и актуализировать в соответствии с изменениями организационных условий. 3.2.1.3. Планирование масштабов информационных систем.
Планируя развитие или разработку информационной системы, следует уделить внимание вопросу будущих потребностей пользователей, в связи с этим необходимо предусмотреть возможность модернизации информационного оборудования. В целях исключения ограничений и потенциальных угроз, связанных с функциональной неспособностью информационной системы к модернизации и развитию, рекомендуется прогнозировать будущие потребности в оборудовании, а также информационных услугах, проводя мониторинг существующих тенденций в области развития новых технологий.
Прогнозы и планы должны учитывать маркетинговую стратегию кредитной организации (освоение новых продуктов), конкурентоспособность на финансовом рынке (дальнейшая интеграция Российской Федерации в международную экономику), анализ рисков, модернизацию существующих указаний и правил контроллинга, реализацию требований, предъявляемых внешними органами (например, Банком России). Особое внимание должно быть уделено соответствующему выбору оборудования, программного обеспечения и возможности их конфигурирования. Важными параметрами системы является: соответствие принятым стандартам, производительность, быстродействие, способность функционировать в случаях обнаружения ошибок и проведения процедур послеаварийного восстановления (скорость ремонта). Плановые изменения в системах требуют оценки их влияния на существующий бухгалтерский учёт, операции документирования, возможность идентифицировать изменения и контролировать их.
Выбор новых технических решений, порядок приёма и тестирования перед принятием окончательного решения о закупке, должен быть согласован с существующими процедурами, установленными в кредитной организации. Следует обратить внимание на то, чтобы запуск новых систем не прекратил работы ранее принятых — обеспечено бесперебойное функционирование кредитной организации. Необходимо планирование соответствующего обучения для пользователей.
Планируя масштабы информационной системы, следует учитывать необходимость соблюдения безопасности в случаях аварии оборудования либо наступления форс мажорных обстоятельств (пожар, наводнение и т. п.), а также выполнения обязательного архивирования данных. В связи с чем, необходимо установить: частоту и область копирования информации (backup) на внешних носителях, для целей восстановления в случаях сбоевведение регистрационного журнала в системе (log) — периодичность и метод архивирования информации. Недостаточно продуманный выбор малоэффективных технических решений, в случае увеличения масштабов обрабатываемой информации может привести к значительным расходам, связанным с необходимостью замены. Особенно нежелательно иметь систему, которая не является общепринятой, так как существует потенциальная возможность выхода правового акта, регламентирующего порядок использования только определенного стандарта в информационной системе.
Заключаемые договоры с внешними поставщиками оборудования, программного обеспечения и информационных услуг должны особо оговаривать права и обязанности сторон в части ответственности, включающую в себя и материальную.
3.2.2.2. Инфраструктура обеспечения контроля и управления безопасностью информации.
3.2.2.2.1. Анализ существующих угроз и методы обеспечения безопасности.
Реализация обеспечивается посредством инструментов, содержащихся в операционных системах (сети и/или компьютера), специального программного обеспечения, применения готовых технических решений, предусмотренных для оборудования, аудита, управления конфигурацией, организационных мероприятий, проводимых в профилактических целях в случаях нарушения обеспечения при аварийных и форс-мажорных обстоятельствах.
В процессе планирования обеспечения должна быть определена ценность ресурсов информационной системы, проведена их классификация, установлены правила инвентаризации, сотрудники и область их ответственности с разграничением допуска к модификации системы обеспечения, проведён учёт факторов, влияющих на вероятность наступления угроз. Идентификация угроз должна происходить заранее: определен тип риска, проведён его анализ, установлены процедуры управления риском посредством выбора, проведения тестирования и применения новых либо уже принятых механизмов обеспечения — минимизируя риск до уровня, приемлемого для кредитной организации.
Выбор метода обеспечения безопасности информационных систем, должен быть адекватен их роду, типу риска и результатам, проведенного кредитной организацией анализа окупаемости выбранных инструментов, например: возведение противопожарной стеныиспользование криптографиипроведение контроля помещенийпроверка пользователей (установление паролей одно и многочастных, достаточно часто сменяемых) — использование многоуровневого контроля доступа и собственных информационных ресурсовфункциональное разделение системы (классификация пользователей для определения лимита денежной суммы, в пределах которой могут проводиться сделки и т. д.). Независимо от обеспечения применяемого в информационных системах обязательно создание физической безопасности (запасной центр, архив на оптических дисках), а также проведение организационных мероприятий (разделение процесса создания программного обеспечения на отдельные фазы: проектирования, тестирования, моделирования, экспериментальной и промышленной эксплуатации).
Обязательно использование резервных копий (backup), а также текущей регистрации (log), что позволит восстановить ресурсы в случае утраты данных в информационной системе.
Комплект резервных копий (backup) должен храниться отдельно, на соответствующем удалении от информационной системы, при надёжном обеспечении физической безопасности. Минимальный комплект копий должен обеспечивать восстановление системы после аварии, в зависимости от типа используемой системы. Следует установить правило, в зависимости от частоты изменений и ценности данных, копировать информацию за последние 14 дней, не реже одного раза за три последних рабочих дня. Данные эти необходимо регулярно проверять на возможность их использования (проводить оценку состояния) в случаях сбоев в работе систем.
Создаваемые в системе регистрационные журналы (log) должны содержать список всех необходимых факторов: время (от момента начала работы до завершения) — выявленные ошибкисделанные исправленияподтверждение поступления необходимых данных. Кроме того, должна быть предусмотрена возможность распечатки данных.
Необходимо установить понимание того факта, что за безопасность информационных систем в каждом случае отвечает, как владелец собственности, так и пользователь системы. Определение ответственности должно быть достаточно точным и иметь персонализированный характер. Следует предусмотреть разделение ответственности за безопасность информационных систем с позиции должностных обязанностей и соответствующей области ответственности. Делегирование полномочий не снимает ответственности за безопасность информационных систем с собственника. На уровне руководства кредитной организации должны быть установлены требования: авторизации пользователей с точки зрения реализации целей и задач кредитной организации (цели и условия эксплуатации) — технического утверждения (правил инсталляции, работы в сети, взаимодействию между пользователями). 3.2.2.2.2. Безопасность системной документации.
Документация информационных систем может включать, например, описание процессов работы, спецификации программных продуктов, процедур, структуры данных, процессы авторизации и т. п. Следует предусмотреть: список установленного программного обеспечения для целей бухгалтерского учётасписок программ с письменным подтверждением допуска к промышленной эксплуатации (каждой новой программы, либо модифицированной) — описание назначения каждой программы, порядка её функционирования (правила вычислений, учёта, контроля и распечатки данных), а также использование во время обработки данныхправила по соблюдению сохранности данных, создание резервных копийметоды обеспечения надлежащего обращения с программамиправила учёта процессов обработки данных.
Кредитная организация должна обладать разработанной и письменно оформленной стратегией доступа к информации и информационным системам. Всё программное обеспечение должно содержать точное определение процедур и правил доступа, которые определяют права доступа отдельных пользователей/групп, методы авторизации и актуализации списка пользователей, а также паролей.
Документация должна храниться в сейфе с соблюдением правила: документация сгенерированная системой должна находится отдельно от места получения данных. В каждом случае необходимо установление требуемого уровня безопасности и разграничения прав доступа: составление списка уполномоченных лиц, одновременно со списком уровня доступа (полный или ограниченный), реализуемого посредством использования соответствующих программных приложений.
В случае доступности документации для внешних пользователей (в связи с предлагаемыми кредитной организацией услугами), необходим тщательный отбор таких материалов. Каждая замена данных и программного обеспечения должна предусматривать меры безопасности, предпринимаемые к недопущению утраты данных, неконтролируемым модификациям, несанкционированному доступу и ослаблению контроля. Использование программного обеспечения должно следовать из формализованных правил. Содержащиеся в них требования по соблюдению осторожности ограничивают юридический и организационный риск: утраты данных, неконтролируемым модификациям, несанкционированному доступу. Требования должны быть пропорциональны конфиденциальности (важности) банковской информации. Должна быть обеспечена охрана авторских прав. Обмен информацией с другими пользователями может происходить только с учётом соблюдения авторских прав в области обмена информацией.
В случае нарушения конфиденциальности, целостности и доступности информации, кредитная организация обязана реализовывать аварийные планы действий, которые должны учитывать банковскую специфику (вид и форму, например, электронный денежный трансферт, валютные сделки, аккредитивы и т. п.) и стоимость проведения транзакций. Данную документацию необходимо хранить в специально выделенных помещениях и постоянно актуализировать в соответствии с проводящимися заменами в информационных системах кредитной организации.
Должны быть установлены процедуры создания, хранения и получения доступа к актуальным паролям доступа.
3.2.2.2.3. Контроль за оборудованием, программным обеспечением и сетью.
Обработка данных в кредитной организации должна проходить в соответствии с принятыми процедурами и соблюдением правила разграничения ответственности. Деятельность по обеспечению бесперебойной работы системы и выполнения ремонтных работ, в каждом случае должна состоять из формализованных процедур, и их выполнение должно проводиться под тщательным контролем. Ремонтные работы может проводить только специально определенный персонал. В каждом случае должна составляться точная документация проводимых ремонтных работ, а также направляться отчет руководству кредитной организации.
Контроль за сетевыми ресурсами имеет своей целью минимизировать угрозы безопасности информации доступной посредством сети. Механизмы контроля, установленные для сохранения конфиденциальности и целостности данных, должны быть эффективны, и препятствовать утечке информации и нелегальному их изменению. Деятельность, связанную с контролем за сетью и компьютерами, следует тщательно координировать в целях оптимизации услуг, а также обеспечения соответствующего уровня безопасности в рамках информационной инфраструктуры кредитной организации. Порядок обращения с носителями информации любого рода (дисками, лентами, дискетами, CD-ROM, и т. п.) должен обеспечивать предупреждение возможного повреждения оборудования и сбоев в системе. Контроль за единичными носителями данных (дисками, лентами, дискетами, CD-ROM, и т. п.) и в особенности: идентификация таких носителей, хранение и перенос на них информации, место и способ безопасного хранения, способ и форма авторизации изменений и использования данных, определение порядка ликвидации ненужных данныхдолжен осуществляться с принятыми в кредитной организации процедурами безопасности. Упорядочивание всех носителей, установление формализованного списка авторизованных пользователей, обеспечение комплектности входящих данных, точный учёт всех копий данных, сделанных авторизованными пользователями, применение подтверждения правильности всех переданных данных, систематический обзор и авторизация списков пользователей данными и услугами имеет своей целью оградить информацию от неавторизованного доступа, несанкционированного и ненадлежащего использования.
Для надлежащего обеспечения безопасности межбанковских трансакций (сделок, операций) необходимо сотрудничество с другими кредитными организациями в области обмена опытом и предложениями, вытекающим из анализа выявленных случаев мошенничества. Обмен информацией должен быть лимитирован, для того чтобы не была нарушена ни банковская, ни служебная тайна, имеющиеся в кредитной организации. Во взаимных договорах должна быть определена область передаваемой информации.
Руководство кредитной организации ответственно за передаваемую информацию: её подтверждение, обеспечение выполнения технических стандартов при передаче и стандартов идентификации. Ответственность должна распространяться не только на возможность утраты данных, но также и подверженность кредитной организации опасности несанкционированного доступа третьих лиц к информации во время передачи или передачи к внешним средствам обработки.
Обеспечение конфиденциальности данных должно осуществляться самой кредитной организацией: выбор надежных средств передачи (например, курьеры), использование средств криптографии, физическая охрана носителей информации (например, использование разного рода закрываемых средств), передача данных под роспись, и т. п. Информация, подверженная риску утери, несанкционированного доступа к ней (причины, которые могут привести кредитную организацию к серьёзным расходам и убыткам материальными и моральными, например, потеря деловой репутации надежного партнера), должна, по мере возможности, передаваться по нескольким каналам связи и частями, чтобы в случае несанкционированной расшифровки и попытке использования это было максимально затруднено.
В целях минимизации риска следует должным образом осуществлять соответствующий выбор средств телекоммуникации. Электронная почта отличается от традиционной скоростью передачи данных, а также структурой информации. При использовании электронной почты, необходима выработка чёткой политики кредитной организации в отношении статуса электронной почты, её использования, разработки действенного механизма контроля за ней. Пользователи при работе с электронной почтой должны быть гарантированы от несанкционированного изменения каналов сообщений и риска ошибки (например, неправильно указан адрес получателя). Следует считаться с тем, что существуют правовые ограничения, такие как потенциальная необходимость документирования происхождения информации и средства её передачи, которые не защищают кредитную организацию перед риском неуполномоченного использования.
Выявленные в процессе проводимого контроля случаи нарушения принятых в кредитной организации правил доступа — должны быть доведены до сведения руководства.
3.2.2.2.4. Безопасность информационных систем, деятельности персонала и уполномоченных третьих лиц.
Должно быть обращено пристальное внимание на статистику высокого процента внутренних пользователей, нарушающих правила безопасности. В связи с этим рекомендуется очень тщательный отбор, с точки зрения профессиональной подготовки и личных качеств, работников задействованных на позициях, дающих доступ к особо важной информации. Необходима комплексная проверка всего пакета документов, предоставляемого кандидатом на должность, начиная от удостоверения личности и заканчивая проверкой на предмет привлечения к уголовной ответственности. Трудовой договор либо особое соглашение должны содержать пункт о необходимости сохранения служебной тайны, а также особо оговорён период действия таковых обязательств. С содержанием данного документа потенциальный сотрудник должен ознакомиться уже на этапе приема на работу. Следует принять правило, что перед поступлением на работу вновь принятый сотрудник письменно подтверждает в соответствующем соглашении факт точного знакомства со своими правами и обязанностями в области использования компьютерной системы. Подписывается также свидетельство об ознакомлении с правилами хранения конфиденциальной информации. Кроме того, должна быть установлена служебная тайна в области оборудования и информационных систем, а также технологий обработки данных, применяемых в кредитной организации, в том числе и после увольнения, соответствующий период времени.
Для сокращения риска ошибок персонала и самовольного использования оборудования и информации, требуется ряд мер со стороны руководства кредитной организации. Руководителям трудового коллектива необходимо разделять задания между отдельными сотрудниками, с конкретизацией указаний, касающихся их выполнения, определение границ полномочий, получение соответствующих письменных свидетельств, передача паролей или любых других средств контроля доступа, сохранение отчётов по всей деятельности, выполняемой пользователями системы и паролях, которыми они пользовались. Риск неточного, неполного или многократного введения данных должен быть исключён путём соответствующей процедуры контроля (например, проверка и исправление правильности данных, контроль при помощи баз данных, подведением баланса, проведенных операций, регистрацией позиции до выяснения и надзор за дальнейшими действиями, и т. п.). После завершения работы — носители информации (если таковое предусмотрено технически) должны быть демонтированы и обеспечена их сохранность от доступа лиц на то не уполномоченных.
Риск основывается на том, что неуполномоченные лица могут найти доступ к функции обработки данных в программах пользователей, применить процедуры инициирования, подтверждения и регистрации хозяйственных операций и получить доступ к данным. Риск должен быть минимизирован путем установления контроля доступа, гарантирующего идентификацию пользователя и удостоверение его личности с признанием соответствующих прав доступа, обеспечением конфиденциальности пароля. Во время отсутствия постоянного пользователя компьютера доступ прочих неуполномоченных лиц должен быть невозможен. Пользователь терминала должен быть ответственным за все действия выполняемые с его компьютера. Передача полномочий должна осуществляться точно в соответствии с указаниями руководства и должна документироваться.
Лица, ответственные за безопасность информационных систем, не должны выполнять те функции, которые связаны с работой по их обслуживанию. За доступ отвечает лицо, которое несёт ответственность за систему. Ответственность за безопасность значительной по размерам сети, занимающей обширное пространство, может быть возложена на соответствующую группу, назначаемую в соответствии с принятыми в кредитной организации процедурами.
В случае профилактического осмотра оборудования либо его ремонта, необходимо удостовериться, что на нем не содержится информация. Договор между кредитной организацией и организацией, осуществляющей сервис, должен определять процедуры действий в случае наступления каких-либо заранее прогнозируемых ситуаций, прежде всего процедуры безопасности возможной потери данных. Дополнительно договор должен содержать гарантии для кредитной организации на получение всей информации об изменениях внесенных в компьютеры и их логические функции, а также об обязанности сохранения тайны сервисной организацией. Кредитная организация обязана вести учёт ремонтных работ и хранимого оборудования, содержащий персональные данные лиц его выполнявших, дат проведения работ и род неисправностей.
3.2.2.2.5. Взаимодействие с клиентами.
Следует обратить внимание на особую сферу деятельности кредитной организации, подверженной риску нарушения безопасности хранения данныхэто сотрудничество с клиентами банка, реализуемое с помощью компьютерных и телекоммуникационных организаций (например, система домашнего banking). Доступ третьих лиц к организации и компьютерному оборудованию должен жестко контролироваться и происходить анализ риска раньше его возникновения. Делать возможным доступ следует после предварительной работы по подписанию формального документа специально определяющего условия доступа. Необходимо точное указание в договоре проблем, связанных с разного рода рисками, а именно: общих правил охраны и раскрытия информацииразрешенных методов контроля доступа (коды, пароли, идентификаторы) — дат и времени доступасписок авторизованных лиц (спецификация) — каналов доступаобласти ответственности сторонобласть обязанностей нормируемых правовыми актами, в том числе и связанных с необходимостью охраны данныхправа собственника по мониторингу системы доступа третьими лицамиответственность в области инсталляции, а также обслуживания оборудования и программного обеспеченияправа аудита соответствия договоровправа в области копирования и раскрытия информациифизическая безопасность информациисообщение и надзор за случаями мошенничеств.
Соответствующая часть договора между клиентом и кредитной организацией обязывает к охране средств, депонируемых в кредитной организации, сохранению банковской тайны, получению услуг, надлежащего качества, оговоренных договором и нормативными документами, а также взаимными обязательствами сторон.
Мониторинг за соблюдением договорных условий (в особенности анализ клиентов, имеющих доступ к информационным системам), должен быть утвержден как обязательная процедура в данной области.
Клиенты кредитной организации, перед получением доступа к терминалу (модему и т. п.), должны подписать свидетельство о конфиденциальности информации.
3.2.2.2.6. Обучение пользователей.
Пользователи должны быть обучены в области знаний процедур безопасности и надлежащего использования оборудования и информационных систем. Сфера тематических занятий должна позволить обстоятельно познакомиться с процедурами использования оборудования и программного обеспечения, а также процедурами, принятыми в области безопасности систем, обеспечивающими конфиденциальность, целостность и доступность.
В период обучения пользователи должны на примерах ознакомиться с ситуациями, которые могут иметь влияние на безопасность систем, получить знания в области формально-правовых процедур действия в случаях фактической (либо подозрительного характера) угрозы безопасности системы, а также правилами немедленного сообщения руководству кредитной организации об инцидентах. Порядок подачи служебных рапортов касается всех случаев работы систем не в соответствии с их назначением.
Персонал кредитной организации должен быть обучен в области профилактических мер по избежанию вирусов в информационных системах, с акцентом на изучение новых носителей информации, используемых в работе и тщательным отслеживанием всех сообщений и информации, появляющейся на экранах мониторов. В случае обнаружения вирусов, внутренними процедурами должно быть предусмотрено прекращение использования системы, изолирование средств, имеющих подозрение на наличие вируса, и, немедленное, информирование технической службы по обслуживанию компьютеров и руководства.
Для сохранения безопасности системы, кредитная организация должна разработать формализованный процесс дисциплинарных действий с лицами не соблюдающими процедуры и ознакомить с ними пользователей в период обучения.
3.2.2.2.7. Физическая безопасность информационных систем.
Обеспечение физической безопасности в кредитной организации должна быть адекватна масштабу и типу информационных систем, а также предоставляемым клиентам услугам Значительные по размеру хозяйствующие организации, каковыми являются многофилиальные кредитные организации, имеющие территориально развитую сеть, обладающие собственным центром обработки данных, могут потребовать обеспечения высшей степени физической и информационной безопасности.
Следует определить уровень физической безопасности, а также процедуры противопожарной безопасности пропорционально стоимости оборудования и величине потенциальных потерь, которые могут наступить в случае повреждения оборудования.
Для компьютерного оборудования и носителей информации, безопасность должна быть обеспечена путём определения пространства, усиленно охраняемого. Центр обработки данных должен обладать физической безопасностью, равно как перед стихийными бедствиями (пожар, наводнение, взрыв и т. п.), так и злоумышленных действий. Рекомендуется, чтобы центры информационных услуг и центр систем организации, были расположены в физически выделенных зонах, предотвращающих возможность пребывания в них лиц на то не уполномоченных. Размещение информационного центра должно обеспечить невозможность широкого доступа посторонних лиц в виде, а именно: отдельный вход, выделенная часть здания (без доступа лица на то не уполномоченных), особой, закрытой комнаты, физические барьеры, делающие невозможным доступ к компьютерному оборудованию и т. п.
Следует обратить внимание на соответствующий уровень безопасности соседствующих помещений. Рекомендуется отказаться от идентифицирующих дверных табличек, указателей, информационных сообщений и т. п., а также указания телефонных номеров в телефонных справочниках, то есть всего того, что легко позволяет определить местонахождение внутренних и внешних помещений, в которых происходит обработка данных. Цель — ограничить распространение информации среди персонала кредитной организации, не связанного с работой информационных систем, о местах обработки информационных данных.
Необходимо соответствующее оборудование помещений датчиками тепла и дыма, установки сигнализации, противопожарного оборудования, эвакуационных выходов, и т. п. Процедуры действий в чрезвычайных ситуациях должны быть разработаны в письменном виде и периодически проверяемы на соответствие условиям угроз, а сотрудники обучены в области правил противопожарной обороны. Небезопасные и легковоспламеняемые материалы должны находиться на безопасном расстоянии от компьютерного оборудования. Легковоспламеняемые материалы следует хранить с соблюдением правил противопожарной безопасности. В случаях временного отсутствия сотрудников в помещении, окна и двери должны быть закрыты, а системы сигнализации включены.
Контроль за физическим доступом в помещение информационного центра должен быть регламентирован соответствующими процедурами и параметрами доступа, указанных ситуаций и лиц, допущенных к пребыванию в специально выделенных помещениях. Следует определить метод установления, регистрации и контроля: прав доступа и их актуализации (например, исключение доступа сотрудников, уволенных с работы) — идентификации персоналавремени входа и выхода.
Кредитная организация должна располагать процедурами действий, в отношении лиц, выявленных в зонах, исключенных для доступа посторонних.
По оставлению сотрудниками выделенных помещений, должна быть обеспечена физическая безопасность (соответствующий вид блокирования) и контроль. Вспомогательный персонал и лица, имеющие необходимость на осуществление ремонтных работ, могут иметь доступ к выделенному информационному центру только, если существует на то необходимость, после получения соответствующей авторизации их доступа и под пристальным наблюдением ответственных лиц. Процедуры поведения в информационном центре не должны допускать фотографирования, проигрывания магнитофонных лент, видеокассет, и т. п., иначе как лицами на то уполномоченным и получившим разрешение на такую деятельность.
Анализируя обеспечение конфиденциальности и доступности данных в информационном центре, следует иметь в виду использование таких средств как: принтеры, сканеры и факсы. Для охраны данных от их несанкционированного копирования, необходимо создание условий контроля за использованием вышеуказанных средств.
3.2.3. Внутренний контроль и надзор. 3.2.3.3.1. Внутренний контроль.
Руководство кредитной организации ответственно за создание в рамках службы внутреннего контроля сектора, отвечающего за организацию контроля за безопасностью информационных систем. В служебные обязанности службы внутреннего контроля должно входить: оценка уровня охраны данныхоценка качества и эффективности используемого в кредитной организации оборудования и программного обеспечениямониторинг и контроль риска.
Должен быть установлен особый контроль службой внутреннего контроля, если кредитная организация имеет: письменные правила политики и процедуры безопасности, а также управления безопасностью информационных систем (если они существуют, то насколько точно они выполняются) — список данных представленный в бухгалтерских книгах учёта тому, что существует на магнитных носителяхдокументацию на систему электронной обработки данных, на соответствие принятым правилама также, насколько обеспечивается: правильность оценки активов и пассивовполнота и надёжность выполнения программ текущего контроляскорость доступа к данным для операционных целейадекватность информации, поступающей руководству кредитной организацииправильность и срочность представления информации для внешних учрежденийархивирование и охрана данных в соответствии с принятыми правилами. Инспекторы, аудиторы или специалисты должны систематически проводить независимое тестирование системы безопасности и контроль процедур. Периодичность и глубина изучения тестируемых параметров связана с существующей областью деятельности и должна быть соответствующе приспособлена к уровню риска, обеспечения и надёжности существующих контрольных процедур.
Большинство программных продуктов кредитной организации содержит контрольные инструменты, а также создают отчёты, служащие обеспечению и охране информации. Внутренние инструменты контроля должны обеспечивать возможность идентификации слабых мест обеспечения систем, используемых в кредитной организации, и случаев отступления от требований входящего контроля, особенно операций с высоким уровнем риска. Собранные данные и программное обеспечение должны строго сохраняться от неавторизованных изменений. Следует обратить внимание на то, чтобы персонал, занятый в области принятия решений по безопасности всей системы, был психически и морально устойчив, соответственным образом обучен, и служебные обязанности должны быть распределены так, чтобы, осуществляемая, работа не была монополизирована с точки зрения текущего контроля за их законностью.
Правление кредитной организации может рекомендовать внешним аудиторам в период проведения анализа финансового состояния кредитной организации (либо в виде отдельной проверки) дать оценку слабых сторон информационных систем. Планирование, подготовка и проведение контроля специальным сектором службы внутреннего контроля, также рекомендации независимых специалистов и профессиональным внешним организациям, осуществляющим анализ надлежащего выполнения стандартов в области охраны данных, является одним из факторов усиления безопасности информационных систем.
3.2.3.3.2. Требования надзорных органов.
С точки зрения надзорных органов, имеющих целью обеспечение стабильности банковской системы, защиты интересов вкладчиков и кредиторов (в частности, сохранности денежных средств, размещенных на банковских счетах, соблюдение банковской тайны и т. д.), необходимым является оценка информационных систем на предмет безопасности, которая включает в себя: конфиденциальность, достоверность и доступность. Также надзорные органы интересует: имеет ли кредитная организация и как реализует имеющиеся правила политики безопасности, процедуры идентификации пользователей, однозначного подтверждения и регистрации использования ресурсов системыкак и насколько выполняются, установленные методы, а также процедуры обеспечения соответствующей оценки риска и управления им. Существенна также оценка эффективности деятельности сектора службы внутреннего контроля, ответственной за безопасность информационных систем. Область изучения должна включать в себя также способность программного обеспечения электронной обработки данных для достоверной реализации уставных положений кредитной организации, а также влияния развития банка, принятое разделение компетенции, доступа пользователей и т. п. на предмет безопасности системы.
В каждом конкретном случае необходимым условием реализации надзорных функций является использование экспертных данных внешних аудиторов.
В ходе инспекционных проверок кредитной организации, осуществляемых специалистами Банка России (комплексные инспекционные проверки либо тематические) проводится оценка на предмет построения системы, программного обеспечения и контрольных функций. На все возникающие в ходе проверки вопросы, должна предоставляться исчерпывающая информация на предмет процедур, архитектуры системы, безопасности, а также набору параметров, содержащихся в программном обеспечении кредитной организации (например, установленные лимиты риска и методы оценки для транзакций и т. п.).
В акт инспекционной проверки кредитной организации могут быть включены записи, протоколы, заключения внешних аудиторов, иллюстрирующие уровень понимания кредитной организацией проблем обеспечения безопасности, конфиденциальности, целостности и доступности, используемых информационных систем.
Представленная методика внутрибанковского контроля за уровнем риска использования информационных и телекоммуникационных систем является первой в нашей стране разработкой в области Организации контроля за состоянием информационных и телекоммуникационных систем на уровне кредитной организации. Эффективность данной модели Организации контроля за состоянием информационных и телекоммуникационных систем, подтверждена использованием предложенных автором подходов в деятельности ряда кредитных организаций Санкт-Петербурга, а именно: ООО КБ «Инвест-Экобанк».
Внедрение предложенной модели в практическую деятельность российских кредитных организаций обеспечит повышение эффективности их деятельности в области идентификации, оценки и контроля за операционным риском, что, окажет влияние на общий уровень эффективности деятельности и стабильности российских кредитных организаций.
Заключение
.
1. Риск использования информационных и телекоммуникационных систем — это сложное понятие, в котором выражен комплекс операций кредитных организаций. Быстрое развитие научно-технического прогресса в области компьютерных и телекоммуникационных систем ставит перед кредитными организациями новые задачи в области обеспечения надежности и безопасности использования информационных и телекоммуникационных систем.
Это обусловлено, в первую очередь, стремлением кредитных организаций удовлетворить потребности клиентов, возникающие с развитием их бизнеса, в особенности, переходящего национальные границы и требующего осуществления широкого спектра банковских операций с использованием информационных систем. Проведение операций с использованием компьютерных технологий позволяет кредитным организациям создавать наиболее благоприятные условия для привлечения новых клиентов и поддерживать конкурентные преимущества для уже существующей клиентской базы.
В настоящее время кредитные организации экономически развитых стран осуществляют широкий спектр банковских операций с использованием новых информационных технологий. Возникающий при этом операционный риск — это проблема, с которой столкнулась банковская система и Российской Федерации. В условиях глобализации финансовых рынков управление операционным риском становится важным элементом стабильности банковской системы Российской Федерации.
Регулирование риска использования информационных и телекоммуникационных систем — это один из важнейших факторов обеспечения стабильности банковской системы. Основной целью регулирования риска использования информационных и телекоммуникационных систем является минимизация его отрицательного влияния на результаты деятельности кредитной организации. В настоящее время разработка систем оценки и мониторинга операционного риска находится в начальной стадии, что не даёт возможности органам надзора утвердить положения, обязывающие соблюдать конкретные методики оценки или количественные ограничения уровня риска. Кредитные организации Российской Федерации только начинают применять инструменты регулирования данного риска, позволяющие строить процесс управления операционным риском в зависимости от принятой в кредитной организации стратегии.
Контролирующие органы в настоящее время не осуществляют контроль за операционным риском в рамках банковского регулирования.
В настоящее время комплексное изучение проблем идентификации, анализа и регулирования риска использования информационных и телекоммуникационных систем в кредитных организациях, его роли в обеспечении стабильности банковской системы в условиях Российской Федерации до сих пор отсутствует.
Всё вышеперечисленное свидетельствует об актуальности и необходимости теоретического осмысления экономической сущности риска использования информационных и телекоммуникационных систем в кредитных организациях и факторов его определяющихобобщения имеющегося практического опыта и разработки методологических рекомендаций по ведению и контролю за данным видом риска и определяет актуальность избранной темы диссертационного исследования.
Важность понятия риска использования информационных и телекоммуникационных систем для теории и практики банковской деятельности обусловлена тем, что данный риск означает для кредитной организации подверженность операционному риску и является его концентрированным выражением. Знание данного риска даёт возможность:
• кредитной организации — оценить уровень операционного риска, которому он подвергается в определенный момент времени, но и управлять этим видом риска банковской деятельности;
• контролирующим органам — оценивать и контролировать уровень операционного риска, которому подвергаются кредитные организации и банковская система, а также осуществлять реализацию политики, направленной на ограничение и контроль внутрибанковских рисков в целях обеспечения устойчивости банковской системы.
В данной работе определено место операционного риска в системе банковских рисков и уточнено его определение, как особого вида банковского риска. Общепринятого понятия операционного риска, в настоящее время не существует, однако, в практической деятельности банков операционный риск, с одной стороны, включает риск возможных денежных потерь в результате технических проблем, а с другой стороны возможных убытков при осуществлении банковских операций со стороны человеческого фактора. Таким образом, особенность операционного риска состоит в том, что ему присущи свойства как внешних, так и внутренних банковских рисков.
2. Общемировые тенденции развития экономики и в том числе банковского сектора Российской Федерации требуют фундаментального и многофакторного подхода к вопросам определения, контроля и управления риском использования информационных и телекоммуникационных систем, и, в свою очередь, операционным риском, которому подвержены кредитные организации и банковская система России в целом. Перед кредитными организациями стоит задача выявления наиболее существенных факторов, оказывающих влияние на риск использования информационных и телекоммуникационных систем, а также выработки действенных способов регулирования ее величины. Проведенный в данной работе анализ показал, что основными факторами, влияющим на риск использования информационных и телекоммуникационных систем кредитных организаций являются: мошенничество, т. е. противоправное использование информации, с которой оперирует система, в целях, противоречащих интересам кредитной организациисовершение ошибкириск сбоев в работе программного и аппаратного обеспечения информационных и телекоммуникационных системнеэффективное планирование (эффективность и качество банковских услуг в настоящее время во многом зависят от информационных и телекоммуникационных систем и потому любой просчет в планировании или развитии новых систем может иметь серьезные последствия для кредитной организации) — неадекватное исполнение обязанностей.
3. Основная цель регулирования риска использования информационных и телекоммуникационных систем заключается в том, чтобы минимизировать отрицательное влияние операционного риска которому подвергается кредитная организация, результаты её деятельности. Следует выделить две составляющие: 1) создание условий для кредитных организаций, способствующих пониманию важности и необходимости управления банковским операционным риском 2) регулирование риска использования информационных и телекоммуникационных систем в целях недопущения нарушений установленных контролирующими органами требований к операционному риску. Особенность управления операционным риском связана с тем, что он может принести банку не только убытки, но и доход.
Используя инструменты регулирования риска использования информационных и телекоммуникационных систем, кредитная организация может организовать процесс управления операционным риском. Автором диссертационного исследования выделены пять разделов управления операционным риском: управленческий надзороценка риска, мониторингправила и процедурывнутренний контрольорганы надзора.
Управленческий надзор является основным условием эффективности управления риском в кредитной организации и участие высшего руководства банка. Качественный надзор за операционным риском должен осуществляться Советом Директоров или управленческим комитетом. Важна также и роль Службы внутреннего контроля.
Основная ответственность за управление операционным риском должна быть возложена на операционные подразделения. В сферу обязанностей руководителей соответствующих подразделений должно входить обеспечение необходимых систем контроля операционного риска. Усиление контроля возможно путём распределение риска и ответственности, а также и операционных убытков по соответствующим линейным или функциональным подразделениям.
Оценка риска. Многие кредитные организации в настоящее время только начинают проводить работу по оценке операционного риска. Немногие имеют формализованные системы оценки или активно приступили к их разработке: методики имеют экспериментальный характер, в основном, разработанные на основе анализа предшествующих ошибок. Для кредитных организаций необходимо измерение операционного риска и оценка вероятности операционного убытка и его потенциального размера для использования данных для идентификации подразделений и областей деятельности, наиболее подверженных его влиянию. Подход к учету факторов риска, служащих индикаторами вероятности возникновения операционного убытка, должен иметь количественное выражение, а также должны использоваться качественные и субъективные оценки, выраженные в баллах по определенной шкале.
Мониторинг риска. В соответствии с нормативными документами Банка России — все кредитные организации обязаны иметь Службу внутреннего контроля, которая должна, — в силу своих служебных обязанностей, -осуществлять мониторинг операционного риска. Наиболее адекватным подходом к мониторингу операционных убытков является анализ каждого случая, описание его характера и причин убытков, с направлением результатов анализа высшему руководству кредитной организации.
Контроль риска использования информационных и телекоммуникационных систем. Для контроля за данным риском могут использоваться различные методы. Основным и наиболее эффективным средством контроля за данным риском является деятельность служб внутреннего контроля и внутреннего аудита.
Правила и процедуры. В условиях расширения риска использования информационных и телекоммуникационных систем, необходимо постоянное обновление и разработка адекватных правил и процедур контроля. Данные правила и процедуры должны быть основаны на принципах, общих для всех видов риска.
Внутренний контроль. Большинство случаев риска использования информационных и телекоммуникационных систем связано с недостатками внутреннего контроля или несогласованностью с действующими процедурами внутреннего контроля.
Рассматривая понятие и место информационного риска в системе рисков банковской деятельности, следует отметить, что, достаточно мало уделяется внимания к проблеме возникновения и реализации данного риска, на современном этапе в трудах отечественных и зарубежных экономистов не существует единого подхода (позиции) в отношении этого вопроса, в нормативных документах Банка России существует определенный пробел в области регулирования данного риска, возникающего в деятельности кредитной организации.
Инструменты управления риском использования информационных и телекоммуникационных систем являются важным фактором межбанковской финансовой интеграции на национальном и международном уровне, так как отвечают потребностям управления операционным риском кредитных организаций большинства стран мира.
4. В рыночной экономике кредитным организациям отводится одновременно роль ведущих хозяйственных агентов и важнейших каналов воздействия на макроэкономические процессы. Поэтому во всех экономически развитых странах регулирование банковской системы имеет приоритетное значение. Проведенный анализ роли контроля за риском использования информационных и телекоммуникационных систем в системе банковского регулирования, показал, что в экономически развитых странах мира, риск использования информационных и телекоммуникационных систем является предметом регулирования. Главной задачей, с точки зрения банковского регулирования, является установление и ограничение максимального уровня операционного риска, которому может быть подвержена банковская система.
Во многих экономически развитых странах мира операционный риск является объектом регулирования, которое осуществляется как в интересах поддержания стабильности банковской системы, так и в целях недопущения убытков и банкротства кредитных организаций, что может подорвать доверие к кредитной системе страны в целом. Таким образом, регулирование риска использования информационных и телекоммуникационных систем кредитных организаций является существенным фактором стабильности банковской системы и показателем ее эффективности.
5. С момента становления банковской системы рыночного типа в Российской Федерации и развития банковской конкуренции, операционный риск стал неотъемлемой частью банковской деятельности. До настоящего времени вопросам операционных рисков (в том числе, риску использования информационных и телекоммуникационных систем) не уделялось должного внимания.
В связи со слабой разработанностью теории управления рисками, и, как следствие, практически не существующей целостной системы анализа банковских рисков, в данной диссертационной работе обобщён существующий международный опыт. Проведенный в работе анализ методологических подходов к идентификации, оценке и управлению риском использования информационных и телекоммуникационных систем показал, что на настоящий момент существует методологическая не разработанность, оторванность от реалий банковской практики. Следует отметить, что наиболее успешной попыткой в решении проблемы создания целостной системы анализа банковских рисков принадлежит Базельскому комитету, который выпустил соответствующие рекомендации по оценке банковских рисков.
Операционные риски для российских кредитных организаций обусловлены не только изменениями, происходящими при осуществлении банковских операций, но также и информационных технологий, применяемых банками, что отражается на объёмах риска.
Следует отметить, что информационные системы кредитных организаций подвержены различным воздействиям, приводящим к снижению информационной безопасности кредитных организаций, и, в итоге, к тем или иным убыткам. Разработанная автором методика идентификации, оценки и управления отражает: а) постоянно возрастающий уровень общего банковского менеджмента, в том числе управления филиалами и операциями, а также усложнение операций кредитных организацийб) повышение внимания к проблеме банковских операционных рисков со стороны кредитных организаций, а также, в перспективе, контролирующих органов (прежде всего Банка России).
Разработанные методические рекомендации обеспечивают преемственность теоретических положений в практической деятельности кредитных организаций и позволяет осуществлять управление риском использования информационных и телекоммуникационных систем с учетом накопленного в данной области опыта банками ведущих экономически развитых стран мира.
6. Проведенный автором диссертационного исследования анализ свидетельствует о необходимости внедрения в повседневную практику деятельности кредитных организаций методических указаний по идентификации, оценке и управлению за риском использования информационных и телекоммуникационных систем кредитных организаций в целях повышения эффективности: управления данным риском на уровне кредитных организаций, контроля со стороны Банка России за состоянием операционного риска, а также надзора за банковской деятельностью, использования информации о данном риске для мониторинга проводимых кредитными организациями операций в целом.
В данной диссертационной работе предложены, сформулированы и обоснованы методологические подходы, реализация которых будет способствовать повышению эффективности регулирующего воздействия Центрального Банка Российской Федерации на операционный риск, которому подвержена банковская система страны.
7. Внутрибанковская система идентификации, оценки и управления риском использования информационных и телекоммуникационных систем является одним из существенных факторов, оказывающим влияние как на состояние данного риска, так и на процесс управления операционным риском в кредитных организациях.
В диссертации предложена методика Организации контроля за риском использования информационных и телекоммуникационных систем в кредитных организациях, состоящая из системы идентификации, оценки и мониторинга за риском использования информационных и телекоммуникационных систем, а также мероприятий внутрибанковского контроля за данным риском. Внедрение предложенной методики в практическую деятельность российских кредитных организаций будет способствовать повышению эффективности их деятельности в области идентификации, оценке и управления операционным риском, что, может оказать существенное влияние на общий уровень эффективности деятельности и стабильности российских кредитных организаций.
Эффективность и работоспособность методики Организации контроля за риском использования информационных и телекоммуникационных систем в кредитных организациях подтверждена использованием предложенных автором подходов в деятельности ООО КБ «Инвест-Экобанк».
В заключении, хочется предположить, что реализация выводов и рекомендаций настоящего диссертационного исследования на практике окажет помощь специалистам, занимающимся вопросами идентификации, оценки и контроля за операционными рисками, а также представит проблему регулирования риска использования информационных и телекоммуникационных систем с позиции комплексного экономического подхода, который предполагает глубокое знание теории и практики банковского дела и определяет их дальнейшее развитие.
