Введение. 
Оценка эффективности системы управления рисками кредитной организации в области информационных технологий

В настоящее время широкое использование передовых информационных технологий является отличительной чертой финансово-кредитной системы всего мира, в том числе и нашей страны. Применение информационных технологий, с одной стороны, расширяет возможности информационного обслуживания деятельности банков, а с другой стороны, приводит к появлению новых банковских услуг и видов банковского обслуживания клиентов кредитных организаций.

Вместе с тем, использование информационных технологий связано с изменениями в структуре основных банковских рисков и выделением специфических рисков, что ставит перед кредитными организациями задачу построения системы управления рисками в области информационных технологий. Очевидно, что вопросы внедрения, использования и развития информационных технологий, а также подходы к управлению рисками в этой области должны определяться самими кредитными организациями с учетом требований действующего законодательства Российской Федерации и нормативных актов Банка России. Эффективная система управления рисками в области информационных технологий призвана обеспечить информационную безопасность — состояние защищенности интересов и целей кредитной организации в информационной сфере.

При этом, задачей органов банковского надзора является, на взгляд автора, оценка эффективности системы управления рисками кредитных организаций в области информационных технологий. Представляется, что такая оценка может быть осуществлена в ходе проверки, а ее результат следует учитывать при формировании оценки всей системы управления рисками кредитной организации.

Поставленная задача осложняется тем, что существующая на сегодняшний день в нашей стране нормативно-правовая база в области обеспечения информационной безопасности в основном охватывает только технические стороны вопроса защиты информации. В значительно меньшей степени затрагиваются меры организационного обеспечения информационной безопасности — стратегия и тактика применения защитных мер, концепция и политика безопасности, планы защиты информационных ресурсов организаций в штатных и нештатных условиях функционирования. В этой связи, важным и необходимым шагом в направлении обеспечения информационной безопасности отечественной банковской системы явилось введение в действие в 2004 году Стандарта Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения». Однако, в настоящее время в ряде кредитных организаций осуществляется лишь опытное внедрение данного стандарта, в рамках которого определяются пути практического применения его положений.

На сегодняшний день задачу оценки эффективности системы управления рисками кредитной организации в области информационных технологий можно решить, наряду с использованием положений Стандарта Банка России, с помощью сложившейся практики обеспечения информационной безопасности, которая обсуждается в отечественных средствах массовой информации. Подобная практика использует, главным образом, международный опыт — разработанные в экономически развитых странах стандарты обеспечения информационной безопасности, представляющие признанные подходы к вопросам управления рисками в области информационных технологий, которые позволяют осуществить надлежащее построение и функционирование в организации системы менеджмента информационной безопасности.

В настоящее время, как показывает практика инспекционной деятельности, в ряде территориальных учреждений Банка России в ходе проведения проверок кредитных организаций предпринимаются попытки анализа банковских информационных технологий и управления возникающими в связи с их использованием рисками. При этом, отсутствие единых подходов к оценке управления рисками кредитных организаций в области информационных технологий негативно сказывается на качестве надзорной информации, отражаемой в актах проверок, поскольку круг проверяемых вопросов и содержательная сторона их описания значительно различаются в том или ином территориальном учреждении Банка России, что в конечном итоге не позволяет составить целостную картину состояния обеспечения информационной безопасности отечественных кредитных организаций.

Указанные обстоятельства определяют актуальность настоящего исследования, целью которого является разработка подхода к оценке системы управления рисками кредитной организации в области информационных технологий в виде практических рекомендаций для использования в ходе проведения проверки.

Поставленной автором цели предполагается достигнуть в представленной работе с помощью решения ряда задач, к которым относятся, во-первых, анализ отечественной нормативной базы, а также использование международного опыта, систематизированного в зарубежных стандартах, определяющих принципы организации обеспечения информационной безопасности, и во-вторых, обобщение результатов инспекционной деятельности ряда территориальных учреждений Банка России, посвященной вопросам оценки управления рисками кредитных организаций в области информационных технологий.