Применение технологий электронного банкинга: риск-ориентированный подход

Л. В. Лямин, 2011

Эта книга содержит анализ недостатков в использовании кредитными организациями электронного банкинга, на основе которого предлагается новый подход к обеспечению их технологической надежности. Современная банковская деятельность полностью зависит от распределенных компьютерных систем, в состав которых все чаще входят системы электронного банкинга. В то же время недостатки российского гражданского, финансового и, в том числе банковского законодательства ставят высокотехнологичные кредитные организации в сложные условия в плане обеспечения надежности предоставления банковских услуг и защиты интересов клиентов. Использованный в книге риск-ориентированный подход позволяет исключить негативное влияние таких недостатков на организацию дистанционного банковского обслуживания с учетом рекомендаций зарубежных органов банковского регулирования и надзора. Книга может быть полезна представителям высшего руководства и менеджерам среднего звена кредитных организаций, а также студентам и аспирантам, интересующимся современными подходами к управлению банковскими рисками в условиях электронного банкинга.

Глава 2

Типичные банковские риски, ассоциируемые с применением технологий электронного банкинга

Не то важно, может что-либо произойти или не может, — все может произойти. Важно значение происходящего.

Суфийская мудрость

Проблематика банковских рисков привлекает внимание органов банковского регулирования и надзора разных стран уже довольно давно, и попытки их подробного описания и анализа имели место задолго до начала эры ДБО. Значимость потенциальных угроз надежности банковской деятельности в целом осознавалась в банковском сообществе, что выражалось, к примеру, даже в таких оригинальных формулировках, как «банковское дело — это принятие на себя риска с получением компенсации за него»^[23], однако, как это ни парадоксально, до настоящего времени в публикациях, посвященных банковскому делу и сопутствующим рискам, отсутствует единый теоретический подход к определению, интерпретации и практическому применению даже базовых понятий, связанных с этой теорией. Внедрение в банковскую деятельность технологий и систем ДБО усугубило ситуацию в том плане, что на этой волне стали возникать как бы все новые и новые виды банковских рисков, из-за чего и без того не законченная методология, охватывающая выявление, оценивание, анализ, мониторинг банковских рисков и управление ими, стала размываться, затрудняя ее практическое использование.

Оборот «как бы» употреблен здесь не случайно. Несмотря на то что теоретические разработки в области рисков банковской деятельности ведутся уже более 20 лет (первые публикации систематического характера относительно отдельных компонентов таких рисков относятся еще ко второй половине 80-х гг. прошлого века), законченной или даже сколько-нибудь полной «теории» этих рисков до настоящего времени не создано — проработаны только отдельные направления. В основном такие разработки были посвящены кредитному, процентному, ценовому, валютному рискам или совокупности последних, определяемых как рыночный риск, а также риску ликвидности. Мало того, практически каждый из зарубежных органов банковского регулирования и надзора^[24] до последнего времени формировал свою собственную теорию, причем общее число банковских рисков варьировалось от полутора десятков до одного (операционного, поглощавшего все остальные). Одна из таких теоретических разработок Базельского комитета по банковскому надзору (БКБН) нашла отражение в упомянутом ранее Указании оперативного характера Банка России от 23 июня 2004 г. № 70-Т «О типичных банковских рисках». В этом материале фигурируют следующие 11 банковских рисков: кредитный, страновой, рыночный, фондовый, валютный, процентный, ликвидности, операционный, правовой, потери деловой репутации и стратегический. Между тем, с течением времени и развитием банковских информационных технологий этим дело не ограничилось, поскольку возникли новые компоненты банковских рисков, уже технологического характера, которые стали вносить существенные коррективы в теоретические подходы к анализу рискованности банковской деятельности.

Вследствие этого в последних по времени выпуска материалах БКБН, посвященных основным принципам управления рисками в условиях применения электронного банкинга^[25], стали фигурировать еще и такие риски, как:

— деловой;

— безопасности;

— хищений идентификационных данных;

— мошеннических действий со счетами;

— отмывания денег;

— обезличивания индивидуальности;

— отрицания транзакций,

несмотря на то что в этой же работе отмечалось «отсутствие возникновения принципиально новых рисков» и что «деятельность в области электронного банкинга не приводит к возникновению рисков, которые не были бы уже идентифицированы в предыдущих работах Базельского Комитета». Вместе с тем было также указано, что фундаментальные характеристики ДБО и факторы, которые ассоциируются «с видами обслуживания в рамках электронного банкинга… увеличивают и модифицируют некоторые из традиционных рисков, связанных с банковской деятельностью, в особенности стратегический, операционный, правовой и репутационный риски, тем самым влияя на общий профиль риска в банковском деле». Мало того, в некоторых других материалах БКБН говорится еще и о так называемых рисках, «характеризующих электронную обработку данных в банках», а именно:

— риск непредусмотренного раскрытия информации;

— риск ошибок;

— риск мошенничества;

— риск прерывания операций;

— риск неэффективного планирования;

— риски, связанные с действиями клиентов.

В более ранних документах БКБН, посвященных типичным банковским рискам и считавшихся основополагающими в этой области, перечисленные выше разновидности рисков не упоминались и не рассматривались. Также в этих документах отсутствуют указания на совокупности «новых» банковских рисков как на компоненты типичных банковских рисков, а это, с точки зрения автора, неточность, имеющая принципиальный характер. Очевидно, что нагромождение дополнительных разновидностей банковских рисков может привести только к размыванию границ методологии, которую вряд ли когда-нибудь можно будет считать законченной.

Не лучше, чем в этом общеевропейском методическом органе банковского регулирования и надзора, обстоят дела с теоретическими исследованиями в области банковских рисков в условиях электронного банкинга и в отдельных странах. Чтобы не перегружать изложение, уместно ограничиться только двумя примерами попыток преодоления ограничений, свойственных традиционному подходу к описанию банковских рисков при переходе к анализу их специфики, обусловленной эффектами виртуального пространства, в котором осуществляется современная банковская деятельность.

В частности, Банк Нидерландов в рассматриваемом отношении выделяет следующие «нетрадиционные» риски^[26]:

— риск управляемости (обусловленный недостаточной гибкостью и обеспечением банковских информационных технологий);

— риск эксклюзивности (обусловленный недостаточной защитой против несанкционированного доступа к банковским автоматизированным системам и отдельным средствам в их составе);

— риск целостности (обусловленный неточностью, неполнотой банковской информации или несвоевременностью ее поступления);

— риск контролируемости (обусловленный недостаточными функциональными характеристиками средств контроля);

— риск непрерывности (обусловленный возможной недостаточной доступностью для работы самих информационных технологий);

— риск пользователя (обусловленный возможным неправильным использованием информационных технологий).

Легко заметить некорректность приведенных формулировок, которые семантически должны были бы строиться совершенно иначе, учитывая, что при рассмотрении рисков речь всегда идет о возможности наступления событий, характеризуемых неким негативным влиянием на результаты той или иной деятельности. Эти же формулировки должны были бы строиться, например, таким образом:

— риск неуправляемости (или потери управляемости);

— риск потери конфиденциальности (или несанкционированного доступа);

— риск нарушения целостности (или искажения данных);

— риск неконтролируемости (или потери контроля);

— риск недоступности (или прерывания функционирования) и т.п.

Важно подчеркнуть, что подобные отмеченные семантические смещения во внутрибанковских документах, относящихся к организации и содержанию управления банковскими рисками, и проистекающие из общепринятого подхода, выражаемого словами «все все понимают», недопустимы, так как «затуманивают» существо негативного явления. Следствием этого, как правило, становятся просчеты в содержании составляющих данный процесс процедур, а также пробелы в их понимании, организации и выполнении.

Наконец, в материалах одного из основных органов банковского регулирования и надзора США и старейшего из них, созданного еще в середине XIX в. — Управления контролера денежного обращения^[27], — такие банковские риски определяются как «ключевые риски, связанные с электронными банковскими операциями», а именно это:

— риски, связанные с зависимостью от поставщиков и провайдеров;

— риски, связанные с обеспечением безопасности, целостности и конфиденциальности банковских данных;

— риски, связанные с авторизацией, аутентификацией и подтверждением достоверности и прав пользователя;

— риски, связанные со стратегией ведения бизнеса и деловыми операциями;

— риски, связанные с планированием непрерывности деловых операций;

— риски, связанные с допустимостью проведения тех или иных операций и правовыми вопросами;

— риски, связанные с компьютерными преступлениями и отмыванием денег.

При этом в более ранних и также считающихся базовыми материалах ОСС, посвященных организации банковского регулирования и надзора на основе рисков^[28], перечисляются 9 банковских рисков (совпадающих с формулировками БКБН за исключением странового и фондового)^[29], к которым только что перечисленные риски как будто никакого отношения не имеют.

Очевидны как сходство, так и различия в интерпретации аналогичных угроз надежности банковской деятельности, осуществляемой с использованием кредитными организациями новых компьютерных информационных технологий. Кстати, можно заметить, что при анализе рисков электронного банкинга зарубежные специалисты исключают из ИКБД собственно банковские автоматизированные системы (причем это свойственно специалистам и США, и некоторых стран Западной Европы)^[30]. В трактовке систем электронного банкинга как виртуальных «ворот», открывающих доступ к информационно-процессинговым ресурсам кредитной организации, такой подход представляется в значительной мере упрощенным, поскольку все подверженные влиянию источников риска ресурсы такого рода сконцентрированы в так называемом «бэк-офисе» кредитной организации. Вследствие этого и анализ содержания компонентов банковских рисков логично осуществлять на всем протяжении ИКБД, который замыкается в хранилище банковских и клиентских данных, используемых для операционной и информационной деятельности кредитной организации, включающей также предоставление информации ее клиентам по счетам и операциям, равно как и подготовку регламентной банковской отчетности для контролирующих органов.

В российской литературе, посвященной рискам банковской деятельности, также часто встречаются «новые» банковские риски, упоминаемые в связи с разными сторонами информатизации этой деятельности. Наиболее «популярными» из них стали «информационные», «технологические», «технические» риски (или их комбинации) и некоторые другие. Дело не в новых названиях как таковых, а в том, что предметная область банковских рисков как бы становится шире вместе с каждой новой банковской информационной технологией, а значит, размывается и становится безграничной и соответствующая методология (как область знаний); вместе с тем она постоянно устаревает, вследствие чего использовать ее на практике почти невозможно. На самом деле новые технологические и технические решения сами собой не приводят к возникновению новых видов банковских рисков, которые необходимо учитывать в процессе управления ими (кстати, традиционно считается, что в него входят также процедуры выявления, анализа, мониторинга и оценки уровней этих рисков) и в «изобретении» этих видов рисков необходимости нет. Противоречия, подобные приведенному, свидетельствуют, по мнению автора, о неперспективности такого «экстенсивного» подхода к описанию и анализу банковских рисков. Понимая, что увеличение «множественности видов» банковских рисков препятствует поддержанию целостности и обеспечению преемственности методологии анализа банковских рисков с течением времени и технического прогресса, логичнее было бы более детально изучать и анализировать их структуру. Следовательно, имея в виду возможное развитие их с течением времени, все перечисленные выше новые риски целесообразно интерпретировать как компоненты типичных банковских рисков, уделяя им внимание при внедрении каждой новой ТЭБ.

С одной стороны, наличие некоторого хаоса в рассматриваемой области неудивительно, поскольку осознание рассматриваемых рисков оказалось непосредственно и почти исключительно связано с долгим эмпирическим путем развития и освоения банковского дела как такового. С другой стороны, быстрое внедрение и распространение банковских информационных технологий привело к таким системным изменениям в банковской сфере, которые создали условия для неожиданных и крупных трансформаций профилей рисков, обусловленных варьирующимися факторами риска как для отдельных кредитных организаций, независимо от их размеров, так и для финансовых систем в разных странах (в силу эффекта лавинного распространения рисков). Поэтому понятие риска как вероятности каких-либо потерь (включая упущенную выгоду) повсеместно становится предметом изучения и с эвристических, и с математических позиций^[31], а для высокотехнологичных кредитных организаций отсутствие единой теории банковских рисков создает дополнительные проблемы с учетом их специфических компонентов, вносимых ДБО, в процессе управления банковскими рисками (УБР).

Анализ причин возникновения технологических и технических компонентов типичных банковских рисков приводит к выводу, что основным фактором для этого (опять-таки системного характера) является превращение банковской деятельности в своего рода «информационную дисциплину», которая в современном мире естественным образом оказалась «замкнута» на компьютерные технологии и вычислительные сети. Это означает, что все угрозы надежности банковской деятельности, порождающие источники указанных компонентов, можно свести в два небольших перечня:

1) данные (банковские и клиентские), передаваемые, обрабатываемые и хранимые в ИКБД, могут быть:

— похищены,

— изменены,

— уничтожены,

2) операции, совершаемые с этими данными, могут быть:

— имитированы,

— искажены,

— блокированы.

Поэтому становится необходимым постоянное обеспечение кредитной организацией авторизации, верификации и контроля получаемых, передаваемых и обрабатываемых финансовых и других (банковских, клиентских) данных, равно как и операций, осуществляемых с этими данными. Для этого в условиях применения электронного банкинга требуются дополнительные специальные процедуры, необходимости в которых при традиционной банковской деятельности не было в силу отсутствия такого явления, как ИКБД.

Эта проблематика до сих пор не считалась значимой и актуальной, по-видимому, из-за того, что автоматизация деятельности кредитных организаций, включая ДБО, не воспринималась как системный феномен, влияющий на эффективность и качество данной деятельности и превративший эти организации в аппаратно-программные комплексы информационных систем, состоящие из двух основных частей: БАС (в широком смысле) и хранилища банковских данных. Одновременно изменился и характер целого ряда типичных банковских рисков, в которых все более значимую роль стали играть их компоненты технологического и технического характера. Отсутствие такого восприятия объясняется, вероятно, несоответствием традиционного, устоявшегося понимания содержания банковской деятельности ее радикально изменившемуся характеру, обусловленному возникновению новых вариантов ДБО. Из-за этого в кредитных организациях возникли многочисленные недостатки в осуществлении УБР, негативное влияние которых на характеристики банковской деятельности и интересы клиентов этих организаций усугубляются опережающими темпами внедрения новых банковских информационных технологий и систем электронного банкинга по сравнению с совершенствованием процесса УБР.

Чтобы не «нагромождать» все новые и новые риски в ситуациях применения кредитными организациями разнородных технологий электронного банкинга, предлагается простая модификация традиционного подхода, ориентированная на анализ состава компонентов типичных банковских рисков, который неизбежно усложняется за счет возникновения их дополнительных источников, обусловленных в свою очередь действием рассмотренных выше новых факторов риска в ИКБД. Таким образом, в предлагаемой методологии риск-ориентированного подхода постулируется, что внедрение кредитными организациями новых информационных технологий, в том числе технологий электронного банкинга, не приводит к возникновению новых видов банковских рисков, но расширяет состав факторов и порождаемых ими источников компонентов типичных банковских рисков и вызывает смещения профилей рисков, сопутствующих банковской деятельности.

Здесь уместно также подчеркнуть различие между традиционными системами «Банк — Клиент» так называемого «закрытого» типа, которые предлагались только для юридических лиц и оказывались удобны лишь в тех случаях, когда «точка входа» в такую систему оставалась стационарной (в виде АРМ), и быстро распространяющимися системами ДБО с вариативным доступом к ним. Их разновидности продолжают появляться, что связано преимущественно с развитием мобильных средств связи и сопутствующих им компьютерных систем, а значит, возникают специфические для последних источники компонентов банковских рисков, которые существенно отличают их от систем со стационарными автоматизированными рабочими местами для ДБО. В свою очередь общность рассмотрения данной предметной и проблемной области предполагает ее инвариантность к особенностям среды информационного взаимодействия, в которой действуют элементы ИКБД.

В число основных факторов системного уровня, которые принципиально повышают уровни ряда типичных банковских рисков при использовании технологий электронного банкинга, входят также следующие:

— «виртуальный» характер дистанционных банковских операций;

— доступность «открытых» телекоммуникационных систем;

— чрезвычайно высокая скорость выполнения транзакций в виртуальном пространстве;

— глобальный характер межсетевого операционного взаимодействия;

— участие компаний-провайдеров в реализации банковского обслуживания;

— возможности использования систем электронного банкинга для противоправной деятельности.

Недостатки в учете этих факторов при внедрении технологий электронного банкинга приводят к росту вероятностей реализации компонентов банковских рисков как для кредитных организаций, так и для их клиентов. В свою очередь необходимость учета этих факторов в УБР приводит к требованию уточнения понятия и содержания собственно «банковской деятельности».

Это понятие стало существенно шире за последние годы, охватывая процесс применения банковских информационных технологий, а также новые способы и средства информационного взаимодействия кредитных организаций со своими клиентами и контрагентами. Соответственно в процессе УБР необходимо учитывать это расширение, поскольку результаты банковской деятельности стали в значительной мере, если не полностью, зависеть от того, могут ли считаться условия применения таких технологий пруденциальными и каким образом обеспечивается и гарантируется технологическая и техническая надежность кредитных организаций, равно как и эффективность процессов управления и контроля в них.

2.1. Особенности риск-ориентированного подхода к внедрению и применению технологий электронного банкинга

Как показывает анализ изменений, происходящих в составе и содержании банковских бизнес-процессов (в оптимальном варианте подлежащих внесению кредитными организациями вместе с внедрением ими технологий электронного банкинга — независимо от их общего количества и функциональных особенностей), вслед за такими изменениями могут (а лучше бы должны) следовать и изменения в организационно-штатной структуре кредитной организации. Фактически подразумевается требование адаптации распределения функциональных ролей, ответственности, обязанностей, прав, полномочий, подконтрольности и подотчетности конкретных руководителей и исполнителей на различных уровнях иерархии управления этой организации к новым банковским технологиям. Это положение относится к целому ряду специальных служб в структуре кредитной организации. Прежде всего к подразделениям, отвечающим за процесс УБР, применение информационных технологий (ИТ) и (или) автоматизацию, внутренний контроль и финансовый мониторинг (в настоящее время эти два процесса нередко реализует одно подразделение), обеспечение информационной безопасности, ведение претензионной работы, а также сервис-центр и некоторые другие. Вместе с тем все сопутствующие и адекватные складывающейся в кредитной организации ситуации изменения должны коснуться и документарного обеспечения деятельности перечисленных подразделений. Такие изменения инициируются, как правило, органами управления этой организации и реализуются соответствующими (достаточно специфическими по сути) внутрибанковскими процессами и процедурами.

На сегодняшний день полнота, адекватность и качество бизнес-процессов в кредитной организации фактически стали определяться соответствием их новому, к сожалению, не получившему пока правильного осознания принципу: «Знай свои технологии»^[32]. Без преувеличения можно сказать, что большинство процедур, входящих в состав внутрибанковских процессов, реализуется в современных условиях не столько персоналом кредитной организации, сколько ее банковскими автоматизированными системами. Да и сама кредитная организация, если говорить о собственно выполнении банковских операций «и других сделок», о которых сказано в ст. 5 Федерального закона от 2 декабря 1990 г. № 395-I «О банках и банковской деятельности», в значительной своей части представлена теперь не зданием с обозначающей ее вывеской, а БАС и хранилищем данных, доступ к которым во все большем числе случаев обеспечивают системы ДБО^[33]. Таким образом, привычный «Банк» оказывается для клиента кредитной организацией не более чем «кирпичным интерфейсом», служащим для официального оформления и инициации доступа к той БАС, которая выполняет все банковские операции и совершает другие сделки (причем не обязательно в самой кредитной организации). В дополнение к этому клиент может в ряде случаев осуществлять доступ к бэк-офису кредитной организации через ИКБД, выступая фактически в роли «операциониста», взаимодействующего с ее БАС удаленно, что радикально меняет и характер отношений с ним кредитной организации, и состав так называемых «зон ответственности» этой организации, и ее «периметр безопасности»^[34]. Приведенные наблюдения оказываются тем более справедливыми, что по состоянию на февраль 2009 г. большинство кредитных организаций применяет от двух до десяти систем ДБО разного или вариативного функционального назначения (пик соответствующей диаграммы приходится на 3 — 4 системы такого рода). Одновременно, как правило, задействуются и 2 — 4 web-сайта (по той же статистике — даже до 12!).

Внедрение любых технологий электронного банкинга не должно негативно сказываться на надежности и устойчивости высокотехнологичных кредитных организаций, т.е. уровень совокупного или агрегированного банковского риска^[35] повышаться не должен. Это означает, что изменения в структурах профилей отдельных типичных банковских рисков должны происходить таким образом, чтобы профиль агрегированного риска, пусть даже меняясь, оставался контролируемым в смысле установленных для его компонентов пределов с учетом их возможного взаимного влияния. При этом подразумевается, что в кредитной организации существует описание этих компонентов в форме определений основных типичных банковских рисков, имеющих компоненты технологического и технического характера, причем в эти описания своевременно (в оптимальном варианте) вносятся коррективы, определяемые особенностями вновь внедряемой ТЭБ и реализующей ее СЭБ.

В этой книге используется иерархическая модель для профилей банковских рисков, представленная на рис. 2.1, которая была апробирована в процессе проводившихся в течение нескольких лет исследований организации банковской деятельности, осуществляемой технологиями электронного банкинга. В ней фигурируют три уровня: помимо уровня известных типичных банковских рисков (ТБР) рассматриваются также нижележащий уровень так называемых «элементарных» банковских рисков (ЭБР) и вышележащий уровень «системных» банковских рисков (СБР). Это в известной степени условные понятия, призванные лишь подчеркнуть различия между уровнями анализа состава компонентов агрегированного банковского риска: каждый ЭБР соответствует некоему недостатку в формировании организационно-технической базы банковской деятельности или, иначе, «просчету» в управлении рисками банковской деятельности в смысле превентивного воздействия на потенциальные источники компонентов этих рисков. Каждый СБР характеризует возможные последствия влияния неконтролируемого изменения профиля и повышения отдельного ТБР или их совокупности, что в итоге может привести к негативным событиям системного характера^[36]: отзыву лицензии на осуществление банковских операций, банкротству, ограничению выполняемых операций и т.п. На средней условной плоскости ТБР показан профиль риска в форме Пентагона с указанием уровней пяти типичных банковских рисков.

Рис. 2.1. Пример профиля банковских рисков при использовании иерархического подхода

Чтобы удерживать уровни банковских рисков в допустимых пределах, необходимо осуществлять выявление их компонентов, анализировать причины их возникновения — источники указанных компонентов, определять меры воздействия на эти источники (осуществлять собственно УБР) и контролировать результаты такого воздействия. В свою очередь для эффективной организации и реализации перечисленных процедур в составе процесса УБР целесообразно учитывать уже разработанные и апробированные подходы к его формированию, кратко рассматриваемые ниже.

В одном из основных материалов БКБН, посвященных проблематике УБР в новых условиях^[37], отмечается: «При выборе технологии электронного банкинга руководству кредитной организации следует анализировать сопутствующие ей факторы и источники рисков, а также оценивать возможности управления данной технологией и контроля ее использования». При этом специально в отношении ДБО через Интернет, учитывая способность технологий такого рода стимулировать взаимную анонимность кредитных организаций и их клиентов (скрытых средой информационного взаимодействия), говорится, что «предоставление финансовых услуг через Интернет может существенно изменить и (или) даже увеличить традиционные банковские риски (например, стратегический, репутационный, операционный, кредитный и ликвидности)». На самом деле состав банковских рисков, на изменение профилей и уровней которых влияют технологии электронного банкинга, непосредственно зависит от особенностей банковского законодательства, действующего в той или иной стране. Поэтому перечни банковских рисков, приводимые в различных руководствах зарубежных органов банковского регулирования и надзора, отвечают условиям только конкретной страны (или так называемой «объединенной Европы»), а в широком смысле они, конечно, вариативны. Кроме того, в этом же смысле рассматриваемый риск-ориентированный подход не ограничивается только рисками, которые принимают на себя кредитные организации, а распространяется и на их клиентов, что в условиях электронного банкинга приобретает, так сказать, «особую значимость», потому что риски, которым подвергаются такие клиенты, могут непосредственно преобразоваться в компоненты типичных банковских рисков (о чем чаще всего просто забывают).

В число основных характеристик современных условий осуществления банковской деятельности (которые целесообразно учитывать при стратегическом планировании использования электронного банкинга) входят:

— активная разработка и внедрение новых вариантов банковского обслуживания и сопутствующих им новых банковских технологий;

— внесение изменений в законодательство, ориентированных на повышение надежности и транспарентности банковской деятельности^[38];

— дефицит специалистов в области технологий электронного банкинга на фоне их быстрого развития и распространения;

— многообразныезависимости эффективности банковскойдеятельности от сторонних организаций (разного рода аутсорсинга);

— усложнение контроля над процессами, протекающими в виртуальном пространстве банковской деятельности («киберпространстве»).

При этом наблюдается принципиальное противоречие между темпами развития банковских информационных технологий и законодательной базы осуществления банковской деятельности и ее обеспечения. Эти условия никак не зависят от кредитных организаций, поэтому учитывать их целесообразно как факторы возникновения потенциальных проблем, с которыми вполне вероятно им придется столкнуться при внедрении ТЭБ. Здесь уместно сделать краткое отступление, чтобы отметить некоторые особенности проявления таких факторов, о которых целесообразно подумать еще до начала этого внедрения при принятии решения относительно выбора конкретной технологии.

Прежде всего руководству кредитной организации уместно оценить, насколько хорошо известна, распространена и апробирована предлагаемая ТЭБ, поскольку история развития банковского дела знает немало примеров использования недостаточно хорошо освоенных технологий и систем такого рода, что всегда приводило к реализации компонентов всех имеющих отношение к делу типичных банковских рисков. «Пробелы» в законодательстве обычно приводят к несовпадениям в интерпретации правил и условий использования ДБО разными сторонами, оказывающимися в спорных ситуациях, связанных с недостатками в организации условий применения конкретной ТЭБ (в самом широком смысле), равно как в содержании обязанностей и ответственности лиц, от которых оно зависит, и определении степени ответственности сторон — участников конфликта. Здесь следует отметить и то, что российским кредитным организациям до настоящего времени приходится самим парировать недостатки отечественного финансового, и в частности банковского законодательства, что относится в значительной мере к содержанию текстов договоров с клиентами ДБО и контрактов с провайдерами, действующими в соответствующем ИКБД: положения этих документов подвергаются наиболее тщательному анализу в арбитражных судах.

В более узком смысле для того чтобы руководству кредитной организации определить состав факторов риска, способных негативно повлиять на процесс и результаты банковской деятельности, удобно разбить ИКБД на так называемые «зоны концентрации источников риска» (как минимум — известные специалистам кредитной организации и предполагаемые ими) и проанализировать особенности каждой из них. Первой такой зоной является клиент ДБО, последней — компоненты локальной вычислительной сети (ЛВС) этой организации, между которыми располагаются зоны, относящиеся к ее провайдерам, телекоммуникационным системам и пр., включая зональные вычислительные сети (ЗВС) в распределенных или многофилиальных структурах крупных кредитных организаций. Затем, при необходимости, отдельные факторы или источники рисков можно сгруппировать по признакам их возможного проявления в тех или иных типичных банковских рисках. Это может оказаться полезным, например, при организации управления банковскими рисками по их типам: операционный, правовой, репутационный и др. Как бы то ни было, указанные зоны подлежат описанию во внутренних документах кредитной организации, относящихся к управлению банковскими рисками, вместе с общими мерами по парированию их потенциального влияния.

В связи с этим можно определить основные подлежащие оперативному решению проблемы, связанные с новыми факторами, повышающими уровни банковских рисков при использовании технологий электронного банкинга, с чем сталкиваются соответствующие кредитные организации при создании пруденциальных условий банковской деятельности (с учетом всех зон ответственности и концентрации источников компонентов банковских рисков):

для кредитных организаций:

а) возможно снижение надежности (а вслед за этим и устойчивости) банковской деятельности из-за неадекватного учета новых факторов и источников банковских рисков, обусловленных спецификой новой ТЭБ и сложностью контроля реализующих их внутрибанковских и системных процессов;

б) из-за различий в практической реализации кредитными организациями технологии электронного банкинга возникает необходимость в точном учете конкретного состава реально действующих факторов риска в каждом отдельном случае (варианте архитектуры БАС и систем электронного банкинга);

для клиентов кредитных организаций:

а) возможен ущерб их интересам из-за реализации неизвестных или малоизвестных им факторов и источников банковских рисков при отсутствии у них достаточной квалификации в части ТЭБ (включая понимание функционирования конкретного ИКБД в выбранном ими варианте ДБО);

б) освоение выбранной СЭБ может оказаться серьезно затруднено из-за несоответствия характеристик собственной личности (возраст, социальное положение, образование, сфера деятельности и т.п.), следствием чего станет повышение уровней принимаемых на себя «клиентских» рисков.

Поэтому, в частности, в ряде своих материалов БКБН отмечает необходимость разработки кредитными организациями «эффективной внутрибанковской политики и практики управления проектами, жизненным циклом систем, контроля над изменениями и гарантией обеспечения требуемого качества банковской деятельности и обслуживания клиентов»^[39]. Одновременно подчеркивается, что план внесения адаптационных изменений в перечисленные компоненты банковской деятельности (и внутрибанковские процессы) высшему руководству кредитных организаций целесообразно составлять еще до перехода к практической эксплуатации систем ДБО. Причем план этот должен «эффективно доводиться» до всех менеджеров структурных подразделений кредитной организации, которые будут иметь отношение к использованию новой банковской технологии.

Наиболее значимой особенностью организации процесса УБР в условиях электронного банкинга является вариативность ИКБД, компоненты которого и их потенциальное негативное влияние необходимо учитывать. При этом приходится помнить о том, что каждая ТЭБ и реализующая ее СЭБ создают свой собственный контур такого рода, и эти информационные контуры могут не только не совпадать (даже при использовании однородных технологий электронного банкинга), но и существенно различаться подмножествами источников компонентов риска, концентрирующихся в тех или иных зонах. Сами эти зоны также могут оказаться неявно выраженными, скажем, в случаях использования кредитной организацией так называемых «виртуальных частных сетей»^[40], формирующих в общедоступных сетях передачи данных защищенные «туннели» передачи информации, сетевых экранов (брандмауэров) и прокси-серверов, требующих весьма тщательной настройки своего программно-информационного обеспечения, с помощью которого организуется сетевая защита. Недостатки в организации применения информационных технологий такого рода, которые известны, как правило, только узким специалистам, могут оказаться теми «виртуальными воротами» к информационно-процессинговым ресурсам бэк-офиса кредитной организации, на которые обычно нацелены хакерские, вирусные и прочие сетевые атаки.

Очевидно, что риск-ориентированный подход требует не только составления схем ИКБД, определения и описания зон концентрации источников компонентов банковских рисков, но и комплексного анализа их потенциального влияния на указанные ресурсы. При этом важно постараться охватить процессом УБР все каналы информационного взаимодействия кредитной организации с клиентами или, при неблагоприятном стечении обстоятельств, — со злоумышленниками, имея в виду, что в условиях развитых филиальных структур необходима организация мониторинга влияния источников компонентов банковских рисков во всей структуре подразделений кредитной организации и для всех ее систем электронного банкинга (особенно в ситуациях, когда услуги электронного банкинга предоставляются филиалами), охватывая также и БАС (о чем нередко забывают).

2.2. Классификация банковских рисков и их компонентов

Основной акцент при рассмотрении факторов и источников компонентов банковских рисков необходимо делать на выполнении кредитной организацией своих обязательств перед клиентами ДБО и на защите их интересов. Безусловно, это не означает, что кредитные организации забудут о своих коммерческих интересах, но, с точки зрения автора, риск-ориентированное рассмотрение проблематики ДБО может считаться полноценным только в том случае, если оно одновременно и «клиент-ориентированное». В банковской сфере сосредоточены интересы огромного числа клиентов кредитных организаций, которые всегда будут оставаться зависимыми от доверия к ним со стороны таких клиентов. Отсутствие доверия, как справедливо подчеркивается в материалах БКБН, способно вызвать кризисные явления в этой сфере. Достаточно заметить, что количество клиентов ДБО у разных кредитных организаций, действующих на территории Российской Федерации, варьируется от нескольких сотен до нескольких сотен тысяч, так что процессы УБР и претензионной работы целесообразно рассматривать как не менее важные, чем собственно операционная деятельность кредитных организаций (к сожалению, такой подход пока еще нельзя считать распространенным в отечественном банковском секторе).

Как бы то ни было, кредитным организациям, переходящим к ДБО, целесообразно осуществлять упреждающий анализ влияния описанных выше основных факторов возникновения новых компонентов банковских рисков на эффективность банковской деятельности в целом. Типичные банковские риски, в составе которых имеются сопутствующие ДБО компоненты административно-организационного, технологического и технического характера, перечислены в упоминавшемся ранее Письме Банка России от 31 марта 2008 г. № 36-Т (далее — Письмо 36-Т). То, что акцент в этом документе сделан на технологии интернет-банкинга, не сказывается на общности рассмотрения, поскольку практически все изложенное в этом документе можно непосредственно соотнести со всеми остальными технологиями ДБО. К числу банковских рисков, с которыми ассоциируются указанные компоненты, в Письме 36-Т отнесены: стратегический, операционный, правовой, репутационный риски и риск ликвидности (который в условиях электронного банкинга модифицируется в риск неплатежеспособности^[41]).

Прежде чем перейти к дальнейшему изложению, следует сделать некоторые пояснения относительно отбора типичных банковских рисков для последующего анализа. Дело в том, что из общего числа этих рисков в зависимости от особенностей действующего банковского законодательства некоторые себя никак не проявляют, тем не менее это не означает, что с внесением изменений в законодательство они не заявят о себе в будущем. Поэтому ниже приводятся выдержки из материала Управления контролера денежного обращения США (ОСС)^[42], в котором рассматриваются все классифицированные этой организацией банковские риски, рассматриваемые на примере ДБО в варианте интернет-банкинга и приводимые здесь в качестве наиболее полного варианта анализа такого рода. Эти выдержки (как, впрочем, и сам цитируемый документ) могут оказаться полезными при принятии в кредитной организации руководящих решений относительно содержания ДБО и организации пруденциальных условий его применения. В этих рекомендациях речь идет о следующих девяти (основных?) банковских рисках^[43]:

— кредитном;

— операционном;

— ценовом;

— ликвидности;

— процентном;

— валютном;

— правовом;

— репутационном;

— стратегическом.

Затем кратко излагаются описания факторов возможного повышения уровней каждого из перечисленных банковских рисков (свойственные, естественно, американской действительности).

В качестве причин повышения уровня кредитного риска в рассматриваемом материале упоминаются следующие: «Отсутствие личного контакта с клиентами при взаимодействии через Интернет может привести к возникновению проблемы верификации истинности личностей клиентов и в дальнейшем к ошибочным решениям в части кредитования. Могут возникнуть трудности при подтверждении залога и выполнении соглашений по обеспечению безопасности совершения операций интернет-банкинга.

При отсутствии правильного управления [кредитованием]^[44] использование интернет-банкинга может привести к концентрации кредитов у заемщиков или кредитов в отдельной отрасли производства.

Возможно недостаточное осознание советом директоров и руководством [кредитной организации] дополнительных факторов кредитного риска в связи с применением технологии интернет-банкинга».

Очевидно, что в российских условиях приведенные соображения пока еще не стали актуальными в силу известных законодательных ограничений.

В отношении операционного риска в цитируемом материале ОСС отмечается, что «возможны ошибки при выполнении и (или) отказы в предоставлении услуг интернет-банкинга в связи со сбоями в функционировании системы или программного обеспечения. Клиенты, осуществляющие деловые операции через Интернет, скорее всего не потерпят ошибок или промахов со стороны финансовых учреждений, которые не обладают специальными средствами внутреннего контроля для управления проведением операций в рамках интернет-банкинга. Подобным образом клиенты ожидают непрерывной доступности конкретной услуги и web-страниц с простой навигацией (ориентацией) по ним.

В дополнение к операционному риску ошибки в клиринге могут повысить репутационный риск, риск ликвидности и кредитный риск».

Здесь следует отметить, что в условиях электронного банкинга операционный риск характеризуется существенно большей вариативностью, нежели предусмотрено в материале ОСС, поскольку в его состав входят компоненты, относящиеся ко всему ИКБД, включая не только web-сайты кредитных организаций, но и разнообразные каналы (линии) связи, системы основных и суб-провайдеров, возможные сетевые атаки, а также самих клиентов указанных организаций, о чем в рассматриваемом материале вообще не упоминается (возможно, в силу более высокой компьютерной грамотности населения США, хотя это в данном случае не принципиально).

О ценовом риске сказано следующее:

«Банки могут оказаться подвержены ценовому риску, если они начинают или расширяют депозитный брокеринг, торговлю кредитами или программу страхования от риска в результате деятельности в рамках интернет-банкинга. При осуществлении интенсивного трейдинга активов возможно наличие недостатков в действующих системах управления для измерения и мониторинга ценового риска, а также управления им».

Этот риск для отечественных кредитных организаций, применяющих технологии электронного банкинга, пока что не актуален.

В части риска ликвидности отмечается только то, что: «Возможно значительное увеличение изменчивости в депозитах, поступающих от клиентов, которые держат свои счета только из соображений [наиболее выгодных] ставок или сроков.

Системы управления активами/пассивами и кредитным портфелем должны соответствовать услугам, предлагаемым в рамках интернет-банкинга».

Надо отметить, что с понятием «ликвидность» здесь связан лишь традиционный смысл, т.е. используемая семантика не учитывает давно уже ставших традиционными проблем не столько с наличием у кредитной организации финансовых средств (ликвидных активов), сколько с их получением клиентами в требуемые им моменты времени. Это актуально во всех случаях так называемых «электронных переводов»^[45], в том числе когда клиентами кредитной организации являются не только физические лица, но и юридические, включая другие кредитные организации. Об этом подробнее будет сказано ниже при рассмотрении полных формулировок банковских рисков и «заложенных» в этих формулировках причинно-следственных связей между негативными событиями и их последствиями для кредитных организаций, предлагающих ДБО, и соответствующих клиентов.

Учет особенностей изменения процентного риска также представляется пока что не актуальным, однако в интересах полноты изложения следует привести относящуюся к нему цитату: «Интернет-банкинг может способствовать формированию депозитных, кредитных и других отношений с более широким кругом потенциальных клиентов, чем другие формы маркетинга. Доступ более широкого круга клиентов, заинтересованных преимущественно в наиболее высоких процентных ставках или сроках, усиливает потребность руководства [кредитной организации] в поддержании на должном уровне систем управления активами/пассивами, включая способность быстрого реагирования на изменяющиеся рыночные условия».

Также в плане ДБО пока неактуально повышение уровня валютного риска, о причинах которого сказано, что: «Возможны недостатки в системах контроля для приема депозитов от клиентов-нерезидентов или открывающих счета, номинированные в валютах, отличных от доллара США».

Что касается правового риска, то его возникновение связывается с такими проблемами, как «недостаточно развитая нормативная база, применимая к операциям электронного финансового обслуживания, включая интернет-банкинг. Возможны недостатки в контроле над выполнением требований, применимых к электронному обслуживанию и предоставлению услуг через Интернет или отсутствие такого контроля. Возможно невыполнение правила"знай своего клиента"и нарушение запретов, наложенных на некоторых из них».

Сказанное здесь вполне справедливо, но это не все, что желательно учитывать в процессе УБР: практика свидетельствует, что структура этого риска значительно усложняется.

То же самое относится к репутационному риску (или, иначе, риску потери деловой репутации^[46]), причем он оказывается тесно связан с правовым и операционным банковскими рисками. Относительно него сказано, что «репутации банка может быть нанесен ущерб при обслуживании в рамках интернет-банкинга, если оно плохо организовано, не соответствует требованиям рынка или как-то иначе отталкивает клиентов и общественность».

Наконец, в части стратегического риска акцент сделан на том, что «возможно недостаточное осознание руководством рисков, связанных с применением интернет-банкинга, до принятия решения о внедрении этого вида деятельности. Возможно несоответствие технологии внедрения системы интернет-банкинга деловым целям в стратегическом плане и установленным границам для рисков. Возможны недостатки в уровне развития технологий и информационных систем управления для внедрения системы интернет-банкинга. Возможен недостаток ресурсов в банке для идентификации, мониторинга и контроля рисков в деловых операциях интернет-банкинга и нехватка квалификации персонала. Требуется учет изменений, которые электронные финансовые технологии, такие как интернет-банкинг, вносят в конкуренцию».

Необходимо заметить, что анализ этого банковского риска также не совсем полон, тем более что из-за взаимного влияния рисков он также связан с другими: операционным, правовым и репутационным. Кроме того, акцент на технологии интернет-банкинга представляется несколько устаревшим, тем более что и во время выхода рассмотренного материала применялись разнообразные системы электронного банкинга; тем не менее все цитированное в американских условиях своей актуальности не утратило, а в отечественных такая актуальность постепенно возникает.

Возвращаясь к Письму 36-Т, надо сказать, что оно является первым документом, в котором проведен детальный анализ как собственно типичных банковских рисков, явно связанных с ДБО, так и подхода к организации ряда внутрибанковских процессов, не только непосредственно имеющих отношение к управлению рисками, но подлежащих модернизации в связи с изменениями в профиле риска кредитной организации, обусловленными ее переходом к ДБО. Вместе с тем этот документ являет собой первый пример того, как проблематика ДБО фактически вынуждает российские кредитные организации учитывать смещение своих профилей рисков, чтобы удерживать эти риски в допустимых пределах и тем самым предотвратить возможное негативное влияние их реализации на выполнение обязательств перед своими клиентами и Банком России как органом банковского регулирования и надзора. В этом документе выделены пять типичных банковских рисков, в структуре которых явно присутствуют компоненты технологического и технического характера, которые целесообразно учитывать в процессе УБР:

— операционный;

— неплатежеспособности (ликвидности);

— правовой;

— репутационный;

— стратегический.

Следует заметить, что этот перечень справедлив на время написания настоящей книги, и практические исследования подтвердили его адекватность ситуации, складывающейся в отечественном банковском секторе вместе с интенсивным внедрением и развитием кредитными организациями технологий электронного банкинга, однако он вполне может оказаться недостаточным по мере развития банковских информационных технологий.

К примеру, в число подлежащих дополнительному анализу типичных банковских рисков может войти страновой риск, если речь зайдет о трансграничном банковском обслуживании или так называемом оффшоринге. В одном из своих материалов БКБН делает на этом специальный акцент, хотя по состоянию на сегодняшний день только определена собственно предметная область, вследствие чего говорить о каких-либо конкретных рекомендациях пока еще преждевременно, за исключением таких, как определения базовых принципов, служащих наиболее общими ориентирами^[47]:

«Принцип 1: до того как начать деятельность в рамках трансграничного электронного банкинга, кредитной организации следует провести должное оценивание риска и принимаемых на себя обязательств, в результате которого в ней будет внедрена эффективная программа управления рисками данной деятельности.

Принцип 2: кредитной организации, собирающейся приступить к обслуживанию в рамках трансграничного электронного банкинга, следует разместить на своем web-сайте информацию, достаточную для того, чтобы ее потенциальные клиенты могли получить достоверные сведения об этой организации как юридическом лице, включая страну дислокации и лицензионные данные».

В основном в материалах такого рода обсуждаются вопросы учета несоответствия содержания законов о банковской деятельности разных государств, проблемы расследования подозрительной банковской деятельности, в которой участвуют коммерческие банки разных стран, и вопросы международного взаимодействия органов банковского надзора.

В любом варианте электронного банкинга, чтобы исключить факторы повышения уровней банковских рисков и неконтролируемые смещения их профилей из-за влияния на банковскую деятельность особенностей виртуального киберпространства, которое служит средой взаимодействия кредитных организаций со своими клиентами и контрагентами, в кредитных организациях целесообразно адекватно модифицировать подходы к управлению этими рисками. Это означает учет прежде всего невозможности непосредственного контроля человеком процессов, происходящих в любой компьютеризованной среде (включая телекоммуникационные системы), и отсутствия разработанного законодательства, которое регламентировало бы предоставление финансовых услуг в электронной форме, т.е. основных принципиальных проблем УБР, сопутствующих эксплуатации систем ДБО. Однако помимо них имеется еще значительное число проблемных вопросов, которые хотя и не являются принципиальными в условиях пруденциальной организации применения кредитными организациями ДБО, но становятся таковыми при отсутствии указанных условий, приводя к возникновению отнюдь не неизбежных источников компонентов банковских рисков.

В то же время эффективное УБР вряд ли возможно без полного понимания изменений, которые могут происходить в структурах типичных банковских рисков, и вызывающих их причин. Соответствующие описания целесообразно включать в такой внутрибанковский документ, как «Положение об управлении банковскими рисками» или аналогичный ему. Ниже приводятся с учетом положений Письма 36-Т некоторые соображения о том, с какими изменениями в указанных структурах могут сталкиваться кредитные организации, переходящие к ДБО.

2.3. Изменение профиля стратегического риска

Наиболее серьезные негативные последствия для кредитной организации, внедряющей какую-либо ТЭБ и соответствующую СЭБ, связаны с реализацией компонентов стратегического риска. Это нисколько не противоречит тому факту, что многие организации российского банковского сектора успешно прошли этапы внедрения и опытной эксплуатации систем ДБО, которые стали для них весьма прибыльными. Другое дело, что неудачные проекты, естественно, не приобретают известности, а не окупившиеся затраты на разработку сложных и дорогостоящих систем электронного банкинга становятся физической оценкой этого вида риска.

В общем случае компоненты стратегического риска связаны с возможными текущими и перспективными финансовыми потерями, обусловленными неправильными бизнес-решениями и (или) несоответствующей реализацией ключевых решений такого рода в кредитной организации, что приводит к невозможности достижения ею своих бизнес-целей и (или) чрезмерным затратам на внедрение и сопровождение используемых банковских технологий и автоматизированных систем. К ним относятся также неправильное распределение ресурсов, ошибки в выборе (способах, комбинации) видов предоставляемых банковских услуг, неадекватные принятым или планируемым бизнес-моделям технологические и организационно-технические решения, а также неоправданные вложения крупных средств в неперспективные проекты или банковские автоматизированные системы, ошибки, допущенные в маркетинговой, рыночной, конкурентной, технической политике и т.п. Важно учитывать также, что с этим видом банковского риска могут быть связаны все остальные четыре риска, которые рассматриваются здесь в приложении к технологиям электронного банкинга.

Такие связи неизбежно возникают и между компонентами стратегического риска, относящимися к ошибочным решениям. Тогда их негативный эффект может усилиться, поскольку сделанные в рамках проекта СЭБ затраты могут недостаточно контролироваться, особенно в тех случаях, когда неудачный проект затрагивает несколько внутрибанковских процессов и соответствующих структурных подразделений кредитной организации. Поэтому даже в тех случаях, когда преимущества нового бизнес-направления очевидны, нецелесообразно отказываться от типовых этапов внедрения автоматизированных систем, важнейшим из которых является подготовка и обсуждение технико-экономического обоснования (ТЭО). Тем не менее зачастую этот и другие связанные с ним документы в кредитных организациях просто отсутствуют, так что даже удачный проект может оказаться связан в итоге с существенными непредвиденными дополнительными расходами.

В зарубежной практике банковского регулирования и надзора считается уместным контролировать не только содержание планов информатизации (автоматизации) банковской деятельности, но также достаточность их обоснования и ход поэтапного выполнения, включая связанные с ними процедуры. Например, вновь внедряемая технология должна быть ориентирована на совершенно конкретную клиентуру, которая по данным, скажем, маркетинговых исследований воспользуется новыми сервисами, предлагаемыми кредитной организацией и реализуемыми с помощью той или иной СЭБ. Вместе с этим должны быть четко определены порядок ее внедрения, взаимодействия тех или иных специалистов кредитной организации с клиентами ДБО, вопросы поддержки со стороны сервис-центра, содержание возможной претензионной работы и т.д. Если речь идет о предполагаемом массовом продукте, то необходимо рассчитывать производительность СЭБ и БАС, организовать процедуры контроля динамики развития новых сервисов, роста клиентской базы и количества ордеров, поступающих в кредитную организацию, и пр.

Следует специально отметить, что при внедрении проектов электронного банкинга необходимо уделять внимание взаимным связям между внутрибанковскими процессами, без учета которых реализуются такие компоненты стратегического риска, которые нередко считаются косвенными или просто не учитываются. Например, внедрение СЭБ, реализующей принципы открытых систем и универсального протокола сетевого взаимодействия, приводит к необходимости пересмотра периметра безопасности кредитной организации, который заметно расширяется и вместе с клиентом ДБО «уходит за горизонт» и принятию серьезных новых мер по его защите, а также по контролю использования ТЭБ. На том и другом всегда делается акцент зарубежными органами банковского регулирования и надзора^[48], о чем пойдет речь в параграфе, посвященном адаптации УБР. Между тем вносить изменения в связанные внутрибанковские процессы следует согласованно и не упуская из виду суть происходящих изменений, поскольку неадекватность организации процесса ФМ может привести к тому, что внедрение дорогостоящей СЭБ негативно скажется на «имидже» кредитной организации в глазах правоохранительных органов и неожиданно окажется стратегической ошибкой.

Уже этих примеров достаточно для того, чтобы охарактеризовать многообразие проявлений стратегического риска, особенно в связи с другими банковскими рисками. В этом плане недостаточная, с точки зрения клиентов кредитной организации функциональность банковских автоматизированных систем и (или) систем электронного банкинга, равно как неудобство в работе с ними, приводит, как правило, к негативной реакции пользователей СЭБ, которые либо отказываются от предлагаемых сервисов, либо переходят на обслуживание в другую кредитную организацию. Это приводит к неокупаемости такой автоматизированной системы по причинам репутационного плана, но результат всегда один, и только в лучшем случае он связан для кредитной организации с упущенной выгодой.

В российской практике электронного банкинга, пусть и не такой продолжительной, уже было немало случаев просчетов даже по приведенному выше небольшому перечислению проблемных вопросов. Типичная ситуация, связанная с реализацией компонентов стратегического риска, может развиваться как неумышленная атака типа «наводнение» (flood-attack), при этом ее причинами становятся и недостаточная производительность БАС и СЭБ, и отсутствие контроля характеристик динамики ДБО, и ошибки в расчетах требуемой пропускной способности каналов (линий) связи.

В качестве одного из примеров такого рода можно привести историю, произошедшую не так давно с российской кредитной организацией, в свое время являвшейся одним из лидеров ДБО: после того как в какой-то момент времени к ее системам электронного банкинга одновременно подключились около тысячи клиентов, направляемые ими ордера вызвали перегрузку производственных мощностей и организация была вынуждена остановить ДБО. Следствием этого, также непредвиденным, стало массовое обращение клиентов в ее сервис-центр, который не был рассчитан на такую нагрузку, так что получить объяснения относительно прерываний в обслуживании большинству клиентов оказалось невозможно. Этой кредитной организации пришлось в авральном порядке несколько дней заниматься техническим перевооружением, чтобы избежать реализации правового и репутационного рисков, но компоненты стратегического риска уже реализовались в незапланированных расходах на осуществление технической реорганизации. Всего этого можно было бы избежать, если бы в организации были бы заблаговременно приняты организационно-технические меры по оперативному (или, если не в режиме реального времени, то регламентному) контролю производительности банковских автоматизированных систем и приведению ее в соответствие с потребностями клиентов ДБО.

Аналогичная ситуация, но связанная уже с компонентами правового риска, возможна, если функциональные характеристики СЭБ и поддерживающей ее БАС недостаточны для гарантированного обеспечения информационной безопасности. При этом просчеты нередки не только из-за того, что имеются неконтролируемые информационные сечения между теми или иными системами и подсистемами в кредитной организации или в ИКБД, но часто из-за того, что не прогнозировались ошибки, допускаемые клиентами.

Руководству кредитной организации, принимая решение о переходе к ДБО через открытые системы (в том числе — через Интернет), целесообразно, по сути, провести некоторые специализированные исследования, в том числе в части оценки зависимости этой организации от «третьих лиц», присутствующих в ИКБД, прежде всего от провайдеров разного рода. Организация отношений с ними также может относиться к стратегическим решениям, так как известно, скажем, немало примеров сетевых атак, ориентированных на финансовые учреждения, но осуществлявшихся через компьютерные системы других компаний. Такая атака типа «распределенный отказ в обслуживании»^[49] имела место и в отношении уже упоминавшейся кредитной организации, причем обращение ее специалистов к провайдерам с просьбой помочь парировать ложный трафик нашли отклик далеко не у всех таких компаний. Те, кто отказался помочь, ссылались на контрактные обязательства, которые касались только обеспечения конкретных каналов (линий) связи, их пропускной способности, поддержки серверов и т.п., но не содействия в организации сетевой защиты и участия в ней. В итоге этой кредитной организации пришлось пересматривать, а точнее, строить заново свою «политику отношений» с провайдерами. Кстати, это до настоящего времени «больной» вопрос для многих кредитных организаций, особенно тех, кто работает в условиях недостаточно развитой региональной инфраструктуры и отсутствия конкуренции между различными провайдерами (но тем не менее берется за ДБО!).

Таким образом, возможны существенно различные сценарии возникновения угроз надежной банковской деятельности в части компонентов стратегического риска, связанных с применением ДБО, и такие сценарии целесообразно рассматривать, разрабатывая модели потенциальных угроз эффективной реализации ключевых решений, принимаемых руководством кредитной организации по направлению внедрения информационных технологий. Тем более принятию недостаточно продуманных руководящих решений в части перехода к ДБО должно препятствовать ТЭО (почему это в основном и важно). Впрочем, следует заметить, что разработка систем поддержки принятия решений или, как иногда говорят, информационных систем управления^[50] пока не стала распространенной практикой в российском банковском секторе.

2.4. Изменение профиля операционного риска

Причины, приводящие к возникновению компонентов операционного риска при ДБО, наиболее разнообразны по сравнению с другими видами банковских рисков. От них зависят возможные текущие и перспективные финансовые потери, обусловленные ошибками при выполнении банковских операций (что может привести к неправильной реализации учетных и расчетных процедур), мошенническими действиями в отношении кредитной организации (включая несанкционированные транзакции, хищения финансовых средств в электронной форме и пр.), нарушением непрерывности (доступности) и (или) переходом автоматизированных систем кредитной организации, используемых для осуществления банковской деятельности, в «нештатные» режимы функционирования (вследствие возможных аварий, отказов и сбоев оборудования как самой кредитной организации, так и ее провайдеров, в каналах связи и т.п., из-за чего возможны потери клиентских транзакций, данных и невыполнение ею обязательств перед своими клиентами). К этому же примыкают случаи несанкционированного сетевого доступа злоумышленников к информационно-процессинговым ресурсам кредитной организации.

Независимо от того, что именно является причиной нарушения штатного функционирования банковских автоматизированных систем кредитной организации и ее систем электронного банкинга, результатом этого всегда будет являться невыполнение ею тех или иных взятых на себя перед клиентами ДБО обязательств, т.е. снижение ее надежности по причине невыполнения положений соответствующих договоров. Базовых обязательств такого рода пять — они относятся к следующим понятиям:

— доступность обслуживания (непрерывности функционирования);

— состав функций («полнофункциональность»);

— финансовые операции (денежные обязательства);

— временные характеристики (своевременность обслуживания);

— конфиденциальность информации (информационная безопасность).

Только выполнение всех перечисленных обязательств без каких-либо отклонений от установленных договорами уровней обслуживания (в отношении клиентов) при дистанционном предоставлении банковских услуг свидетельствует о надежности как банковской деятельности, осуществляемой кредитной организацией, так и ее самой (впрочем, как показывает практика, в текстах таких договоров подобное перечисление можно встретить крайне редко). Речь здесь идет, естественно, о технологической и технической стороне понятия надежности^[51].

Вследствие этого наличие или отсутствие разнообразных источников компонентов операционного риска зависит и от того, как кредитная организация решает «типовые» вопросы обеспечения надежности функционирования компьютерного оборудования, и от решения ею специфических для ДБО вопросов. В различных источниках, отечественных и зарубежных, приводятся статистические данные относительно влияния угроз штатному функционированию компьютерных систем на этот показатель банковской деятельности: в среднем можно считать, что 60% случаев прерываний бизнеса обусловлено сбоями в работе автоматизированных систем организаций. При этом наиболее частой общей причиной сбоев в их работе считаются внедрение или изменение информационных технологий и (или) программных приложений, которые не были:

— правильно спланированы (включая «откат» в исходное штатное состояние);

— полностью протестированы (включая модели и сценарии развития угроз).

Прерывания функционирования автоматизированных систем в целом обусловлены различными ошибками/сбоями в соотношении:

— технологические сбои — 20%;

— ошибки процессов — 40%;

— ошибки персонала — 40%.

Все перечисленное здесь наглядно характеризует степень зависимости результатов современной банковской деятельности от надежности компьютерных систем кредитной организации, что должно полностью осознаваться ее руководством и адекватно учитываться при распределении ресурсов. Для многих средних и небольших организаций выделение достаточных ресурсов на обеспечение надежности внедряемых банковских информационных технологий становится непростой задачей, если такие технологии, как ДБО, внедрялись недостаточно обоснованно, или в силу недостаточного осознания значимости указанных технологий и реализующих их автоматизированных систем финансирование осуществляется по «остаточному принципу».

Ошибки при выполнении банковских операций — явление уже относительно редкое, в этом случае имеются в виду преимущественно неточности, связанные с информационными сечениями ИКБД, в которых происходит какой-то перенос данных из одной среды хранения в другую (ошибки операционистов кредитной организации или клиентов при заполнении интерфейсных полей, преобразование форматов, переписывание из одной базы данных в другую и пр.). Тем не менее если СЭБ и БАС совместно с ней не подвергаются тщательным испытаниям (включая результаты неправильных действий пользователей), то все непроверенные варианты будут «проверены» уже в реальной эксплуатации этих систем^[52], что приведет к неизбежным дополнительным затратам на поиск пропавшего контента ордеров клиентов, отладку программно-информационного обеспечения этих систем, лишней претензионной работе и т.д. Во многих российских кредитных организациях подобные ситуации не редкость, особенно когда речь заходит о противоправной деятельности, связанной с искажениями в полях записей баз данных кредитной организации или хищением средств со счетов клиентов, что обычно происходит из-за недостатков в обеспечении информационной безопасности.

Последнее может иметь место в тех случаях, когда в СЭБ и (или) БАС остаются «лазейки», позволяющие осуществлять несанкционированный доступ (НСД) к массивам данных и банковскому программному обеспечению. В ряде практических случаев такого рода операторы, находящиеся в информационных сечениях между СЭБ и БАС, располагают возможностями, к примеру, подмены реквизитов платежных документов клиентов ДБО или имитации поступления от них соответствующих ордеров^[53] и т.п. Кстати, даже такой НСД к информационно-процессинговым ресурсам кредитной организации, который не приводит к чьим-либо финансовым потерям, вполне может обернуться утечкой конфиденциальной информации, а прямым следствием этого станут опять-таки хищения денежных средств, возникновение возможностей для шантажа клиентов или более серьезные последствия для них, поскольку в условиях криминализованной экономики сведения о банковских операциях «и других сделках» могут оказаться более значимыми, чем суммы денег, фигурировавшие в скомпрометированных транзакциях.

Что касается нарушений непрерывности функционирования (доступности) автоматизированных систем кредитной организации и (или) переходов в «нештатные» режимы функционирования, а также сбоев в каналах (линиях) связи, то следствием их могут являться и прерывания сеансов ДБО с потерей или искажением клиентской информации, и невозможность выполнения финансовых и других обязательств кредитной организацией перед клиентами, и в наихудшем случае несанкционированные списания средств с их счетов и другие негативные явления. То же самое с учетом вирусных, сетевых и хакерских атак^[54] можно отнести к распределенным компьютерным системам провайдеров кредитной организации и т.п.

Последние годы характеризуются множеством случаев разнообразных атак на системы электронного банкинга и банковские автоматизированные системы кредитных организаций. Упоминавшаяся выше атака типа «отказ в обслуживании» изначально организовалась с помощью программ, осуществлявших генерацию очень большого количества запросов, передаваемых через вычислительные сети на сервер — объект атаки, обычно в короткие интервалы времени. Тем самым превышалась производительность сервера и он прекращал функционирование, «не в силах» справиться с таким количеством запросов^[55]. В современных условиях применяется «распределенный» вариант этой атаки, осуществляемой через промежуточные сетевые компьютерные системы с целью многократного усиления негативного эффекта (повышения «мощности атаки»). Для этого могут использоваться ложные сетевые обращения (ping^[56]), программы-черви (worm), распространяющиеся по вычислительным сетям и инсталлирующиеся на каждом доступном АРМ, чтобы в заданный момент времени начать генерацию ложных запросов, и пр. Это происходит в фоновых режимах, почему задействованные компьютеры иногда называются «зомби», а сеть, которая из них состоит, — «ботнет»^[57]. На рисунке 2.2 показана общая схема сетевых атак рассматриваемого типа (представляющая собой модифицированный рисунок из книги Crume J. Inside Internet Security).

Рис. 2.2. Инициация атаки типа DDoS

Возвращаясь к проблемам применения кредитными организациями информационных технологий (ИТ), надо отметить, что нередко незначительным или даже не существующим источником компонентов операционного риска их специалисты считают процедуры оперативного внесения небольших по масштабам изменений в программно-информационное обеспечение ДБО и БАС (упоминавшихся выше «заплаток»). Такая необходимость возникает обычно в тех случаях, когда:

— клиенты кредитной организации совершают действия, непредусмотренные алгоритмами, реализованными в автоматизированной систем, что приводит к непредсказуемым результатам («зависанию» и пр.);

— функционирование принятой в эксплуатацию автоматизированной системы не совпадает с ее техническим проектом, так что требуется оперативная доработка отдельных функциональных модулей;

— выявляются ошибки в проекте автоматизированной системы и требуется ее временный вывод из эксплуатации (отключение сервисов) для перепрограммирования, перенастройки отдельных модулей и т.п.;

— автоматизированная система оказывается скомпрометирована сетевыми или вирусными атаками, действиями хакеров или инсайдеров кредитной организации, из-за чего требуется ее усовершенствование.

Все перечисленные причины, за исключением последней, служат, как правило, признаками недостаточно полного тестирования БАС и СЭБ. Однако, поскольку сложившуюся ситуацию всегда необходимо оперативно исправлять, специалисты кредитной организации вынуждены принимать экстренные меры по устранению недостатков, внедряя в автоматизированную систему программные или библиотечные модули, нередко написанные наспех, не прошедшие типовых процедур проверки и приемо-сдаточных испытаний и содержащие ошибки, потому что отсутствие оперативности играет в таких случаях негативную роль. Для кредитной организации следствием такого «подхода», не соответствующего принятой инженерной практике разработок, всегда становятся новые источники компонентов этого риска.

Любое упомянутое выше мошенничество, несанкционированное вмешательство, функциональный сбой или отказ (т.е. нарушение штатного режима работы) компьютерных систем (неважно по какой причине) повлекшие за собой невозможность получения клиентом установленного договором на ДБО сервиса или выполнения им своих финансовых обязательств перед третьими сторонами, связано с возникновением компонентов как минимум правового и репутационного рисков, а в некоторых случаях риска неплатежеспособности и стратегического риска (имеется в виду негативная общественная реакция). Реализация компонентов операционного риска изначально становится возможна преимущественно (хотя и не только) по причине несоблюдения установленных когда-то государственными стандартами (начиная с ГОСТ 34.602-89) порядков разработки автоматизированных систем — неважно, банковских или нет, а потребовать этого (и проследить за исполнением) в кредитной организации оказалось некому, и это становится для нее еще одним существенным фактором операционного риска. Кстати, такие стандарты утверждались как раз для того, чтобы автоматизированные системы работали так, как требуется, а не так, как получится.

2.5. Изменение профиля правового риска

Повышение уровня правового риска приводит к возможным финансовым потерям, являясь следствием возможных нарушений кредитной организацией положений нормативно-правовых документов, которые регламентируют банковскую деятельность, и (или) законодательной неопределенности отдельных аспектов предоставления банковских услуг. Реализация компонентов этого риска имеет форму санкций, которые могут быть наложены на кредитную организацию за нарушение ею правил выполнения банковских операций, несоответствие требованиям ведения бухгалтерского учета и, как следствие, недостоверность банковской отчетности, за потерю значимых банковских данных, утечку конфиденциальной банковской и (или) клиентской информации, включая нарушение банковской тайны, возможную скрытую противоправную деятельность, в которую оказывается вовлечена кредитная организация из-за слабого контроля использования ее СЭБ, а также за недостатки, обусловленные несовершенством организационно-технического, аппаратно-программного или же программно-информационного обеспечения банковской деятельности, как самой кредитной организации, так и ее провайдеров, что может вызывать претензии со стороны клиентов ДБО.

Первой же задачей, подлежащей решению при внедрении кредитной организацией любой ТЭБ, становится серьезное усиление «общебанковских» функций управления и контроля с тем, чтобы особенности СЭБ, реализующей конкретную технологию, не вызвали сомнений у контролирующих органов в выполнении правил бухгалтерского учета и подготовке регламентной отчетности (в широком смысле). Кредитной организацией должна быть гарантирована фиксация в базах данных и правильная обработка всех ордеров клиентов, которые имеют отношение к этим процедурам, независимо от канала ДБО и информационных сечений между системами электронного банкинга и БАС кредитной организации. К отмеченному тесно примыкают проблемы обеспечения доказательной базы электронного банкинга и обеспечения юридической силы так называемых «электронных документов», которые в традиционной форме не существуют, а их распечатки также требуют удостоверения подлинности (эта проблематика еще будет подробно обсуждаться в других разделах, в том числе в плане организации последующей претензионной работы в части ДБО).

Далее целесообразно предусмотреть возможности нарушения непрерывности функционирования ИКБД (неожиданное прекращение сеанса ДБО) в плане вероятных правовых последствий реализации соответствующих компонентов операционного риска (еще одного варианта проявления взаимного влияния банковских рисков). Здесь возникает несколько основных вопросов, подлежащих рассмотрению специалистами кредитной организации:

— организация оперативного предоставления клиенту другого маршрута или варианта ДБО (в случае недоступности системы или прерывания сеанса, к примеру, интернет-банкинга это может быть другой web-сайт или вообще другая СЭБ);

— оперативная реализация соответствующего ситуации раздела плана действий на случай чрезвычайных (иногда говорят «непредвиденных») обстоятельств, для чего требуется наличие схем резервирования и резервных ресурсов, отработанное распределение обязанностей и т.п.;

— включение в текст договора с клиентом на ДБО положений, определяющих порядок действий сторон в форс-мажорных обстоятельствах, их обязанности, ответственность, порядок разрешения спорных ситуаций и компенсации потенциального ущерба интересам клиента и т.п.;

— организация оперативного восстановления массивов банковских и клиентских данных, целостность которых может оказаться нарушенной из-за прерывания сеанса ДБО, для чего требуется формирование и поддержание соответствующего архива и порядок его использования;

— включение в текст контрактов с провайдерами, от которых зависит непрерывность функционирования ИКБД, положений, устанавливающих порядок действий сторон в форс-мажорных обстоятельствах, их обязанности, ответственность, порядок разрешения спорных ситуаций и компенсации ущерба.

Точный перечень указанных вопросов, связанных с компонентами правового риска, как и для операционного риска, определяется специалистами кредитной организации с учетом специфики ее БАС, систем электронного банкинга, видов провайдеров, состава услуг, предоставляемых в рамках ДБО, возможных сетевых и вирусных атак, средств защиты от них и т.п.

Потенциальное влияние тех компонентов правового риска, которые сопутствуют компрометации банковских информационных ресурсов, обусловлено недостатками в обеспечении информационной безопасности кредитной организации. Они могут иметь место из-за новизны/сложности ТЭБ или недостаточного освоения внедренной в ней СЭБ. На практике его причины кроются в неполноте предусмотренных моделей и сценариев развития угроз, предполагаемых для конкретного ИКБД, связанного с этой технологией. Одним из наиболее серьезных факторов риска при этом является квалификационный «разрыв» между специалистами подразделений ИТ и обеспечения информационной безопасности кредитной организации: первые отвечают за непрерывность и функциональность БАС и СЭБ и могут не располагать полным знанием сопутствующих последней из них угроз, последние же могут не полностью представлять технические механизмы реализации этих угроз. Результатом становятся «дыры» в периметре безопасности кредитной организации, который, кстати, в условиях электронного банкинга может приобретать весьма сложную форму — если эксплуатируется несколько разнородных систем ДБО и имеется несколько видов пользователей их и БАС.

Действие упомянутого разрыва проявляется не только в несоответствии квалификаций. Часто во избежание этого в условиях бюджетных и ресурсных ограничений практически все полномочия системного уровня вынужденно концентрируются в подразделении ИТ кредитной организации. Это относится к таким специализациям, как администрирование банковских автоматизированных систем и систем ДБО, локальных вычислительных сетей, баз данных и информационной безопасности. Тем самым создается опасность чрезмерной концентрации системных полномочий в руках очень небольшого контингента высококвалифицированных специалистов. Подобная ситуация осложняется тем, что контролировать возможные негативные проявления так называемого «человеческого фактора» при этом становится практически невозможно (в организации отсутствуют независимые специалисты с сопоставимой или более высокой квалификацией в области ИТ, чем у таких «супер-админов»), так что не может идти и речи о выполнении принципа «четырех глаз»^[58]. В условиях осуществления банковской деятельности в виртуальном пространстве это может оказаться весьма серьезным фактором и операционного, и правового, и репутационного, а вслед за ними и стратегического рисков (а для клиентов такой организации, как следствие, — риска неплатежеспособности по их счетам в какой-то момент).

Проблемы организационно-технического плана, приводящие к реализации компонентов правового риска в условиях ДБО, также разнообразны и варьируются от невыполнения клиентом платежей из-за того, что, как говорят, «платежка не прошла», до невозможности оплаты покупок через POS-терминал или получения денег через банкоматы из-за неполадок в обеспечивающей их функционирование ЗВС, к последнему варианту относятся также разнообразные «банкоматные» мошенничества с пластиковыми картами и несвоевременное денежное подкрепление. Причиной возникновения перечисленных угроз надежности банковской деятельности является недостаточный контроль со стороны специалистов кредитной организации работоспособности или безопасности обслуживаемых ею удаленных специализированных банковских терминалов. В свою очередь изначальным фактором риска может быть отсутствие адекватного потребностям ДБО внутреннего порядка в кредитной организации или контроля его выполнения.

К проблематике правового риска могут примыкать прямые или косвенные санкции со стороны тех учреждений, которые контролируют отдельные стороны банковской деятельности, не имеющие непосредственного отношения к выполнению банковских операций и не связанные с возникновением компонентов правового риска до внедрения технологий ДБО. Имеется в виду, что для защиты трафика между клиентом и кредитной организацией используются разнообразные средства криптозащиты. Не касаясь вопросов их достоинств, недостатков и надежности, следует отметить, что их использование (включая распространение среди клиентов ДБО) требует получения специальных разрешений у компетентных органов и сертификации. В последние годы активность проверок по указанным вопросам выросла и они оказались связаны для кредитных организаций с новыми компонентами правового риска. То же самое относится к проведению проверок соблюдения требований Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

2.6. Изменение профиля репутационного риска

Следствиями повышения репутационного риска являются возможные финансовые потери, обусловленные формирующимся негативным общественным мнением в отношении кредитной организации из-за невыполнения (нарушения) ею обязательств перед клиентами, что приводит к их потере, оттоку заемных средств и упущенной выгоде, судебным искам, появлению общедоступных сведений о нарушениях банковской тайны (конфиденциальности информации) и т.п. Причинами этого становятся недоступность, неработоспособность, неполная функциональность, ненадежность, небезопасность автоматизированных систем кредитной организации, включая хакерские воздействия на используемые ею web-сайты. Из-за реализации перечисленных угроз и связанных с ними компонентов банковских рисков происходят потеря (искажение) банковских и (или) клиентских данных (в том числе из-за отказов аппаратно-программного обеспечения как самой кредитной организации, так и ее провайдеров), компьютерные преступления, сетевые атаки.

Сказанное во многом относится к проявлениям операционного, правового и стратегического рисков, о чем уже говорилось выше и что характеризуется как взаимное влияние рисков, однако с репутационным риском связан еще один существенный аспект, обусловленный сложностью практического освоения технологий и систем электронного банкинга. Когда-то среди американских работников рекламы бытовала поговорка «А теперь давайте встанем на четвереньки и посмотрим на проблему с позиции клиента». Если привыкший к традиционному обслуживанию в операционном зале «средний» клиент ДБО не разберется с функционированием интерфейса предоставляемой ему СЭБ кредитной организации, не сможет управлять сеансом информационного взаимодействия (например в рамках интернет-банкинга), не получит требуемой ему информации или, что хуже всего, из-за своих ошибок потеряет какие-то денежные средства (в том числе и из-за нарушений информационной безопасности), то он, как правило, выскажет свои претензии в адрес кредитной организации, а то и доведет их до судебного разбирательства. При этом клиенту вряд ли придет в голову мысль, что он в чем-то не прав, невзирая на текст договора на ДБО.

Поэтому, если при заключении договора на ДБО сотрудники кредитной организации не потрудятся убедиться в понимании клиентом содержания этого документа (а другого ГК РФ, вообще говоря, не предусматривает), в том, что он понимает, допустим, как работает аналог собственноручной подписи (о котором сказано в ст. 160 ГК РФ, но требования к нему не определены, т.е. неясно, какое средство идентификации может считаться таковым, а какое нет), в освоении им интерфейса выбранной СЭБ, в понимании требований информационной безопасности и т.п., то впоследствии им придется выполнять существенно больший объем претензионной работы, чем в противоположном случае. Таким образом, речь идет о том, что об обеспечении необходимой и достаточной квалификации клиента можно не заботиться (что и встречается на практике), но тем самым кредитная организация только осложнит жизнь самой себе.

К повышению уровня репутационного риска ведут любые неудобства, которые испытывают клиенты ДБО при работе с СЭБ, начиная с запутанного интерфейса систем интернет-банкинга или малофункционального меню системы мобильного банка и заканчивая несанкционированным снятием денег с их счетов через банкоматы посредством так называемого «белого пластика» и других мошеннических приемов. Разнообразие вариантов хищений привело к тому, в частности, что Банк России начал выпуск своего рода письма-предупреждения для кредитных организаций и их клиентов (например, Письмо от 7 декабря 2007 г. № 197-Т «О рисках при дистанционном банковском обслуживании»^[59]). Негативная реакция клиентов на любой из таких вариантов может начинаться словами: «Почему вы меня не предупредили о том, что…» Можно привести и другие примеры, когда специалисты кредитной организации вынуждены объяснять клиенту, что его претензии относительно пропажи денег с его счета неосновательны, потому что он:

— не обеспечил должного ограничения доступа к своему АРМ, которое использовалось для ДБО, и с этого компьютера мог отправлять ордера кто угодно (а его идентификаторы могли быть написаны снизу на клавиатуре);

— хранил идентификационную информацию на жестком диске своего АРМ, с которого имеется доступ в Интернет, поэтому хакер смог осуществить взлом и скопировать ее, после чего похитил деньги со счета;

— сознательно перевел 500 000 руб. со счета, а не 5000 и не тому контрагенту, как утверждается в претензии, а то, что «залипла» клавиша или реквизиты платежа были подменены, — это не основания для возврата денег;

— передал свою пластиковую карту неустановленному лицу, которое вылетело в Лондон (Париж, Абу-Даби и т.п.) и там осуществило снятие денег через банкоматы и оплату покупок в дорогих бутиках, а сам ждал дома;

— скомпрометировал данные персональной идентификации, совершая покупки в интернет-магазинах, играя в интернет-казино или храня деньги в электронных кошельках;

— вообще сам во всем виноват и надо внимательно читать договор, в котором «русским по белому» написано, что PIN-код считается аналогом собственноручной подписи.

И тому подобное. При этом ни служба безопасности кредитной организации, ни специалисты по ИТ, ни сотрудники сервис-центра АРМ клиента никогда не видели, не знают, что он, допустим, доктор философии, а не компьютерщик, и оснований для возмещения исчезнувших средств, к сожалению, не имеется. Множество историй такого рода произошло с пользователями систем ДБО (www.banki.ru).

2.7. Изменение профиля риска ликвидности (неплатежеспособности)

Как уже кратко отмечалось ранее, риск ликвидности в условиях применения технологий электронного банкинга трансформируется в риск неплатежеспособности, приводящий к возможным финансовым потерям, обусловленным неспособностью кредитной организации своевременно и полностью выполнить свои финансовые обязательства перед клиентами из-за изменения характеристик управления ликвидностью в условиях открытого сетевого взаимодействия, проявления которого не всегда предсказуемы. Как правило, сам этот риск реализуется опосредованно через репутационный, правовой и стратегический риски, поскольку для него характерны такие явления, как непредвиденный отток средств, финансовые хищения в крупных размерах (включая несанкционированные переводы денежных средств), другие потери высоколиквидных активов, сбои и отказы в работе БАС, СЭБ и другого аппаратно-программного обеспечения, которое используется для осуществления банковского обслуживания как кредитной организации, так и ее провайдеров, «стоящих на пути» в ИКБД, а также недостатки организационно-технического характера, следствием которых становится невыполнение кредитной организацией своих обязательств перед клиентами.

Простейшим примером является невозможность получения наличных денег в банкомате по причинам, обсуждавшимся выше, т.е. кредитная организация сама по себе остается абсолютно «ликвидна» и денег на так называемой «зарплатной карте» достаточно, однако получить их невозможно, потому что на дисплее устройства высвечивается надпись: «С вашим банком нет связи» или еще проще: «Выполнение операции невозможно. Извините» либо «Банкомат не работает», — конечно, без каких-либо объяснений, но кредитная организация оказывается в глазах клиента фактически неплатежеспособна, а на ее деловую репутацию влияют обстоятельства, в которых находится клиент ДБО (сказанное относится и к POS-терминалам).

В условиях ДБО клиент может взаимодействовать с кредитной организацией лишь опосредованно, через ИКБД, который ему «не виден», поэтому установить, по какой именно причине «не проходят» финансовые операции, клиент не в состоянии (тем более что оперативно связаться с кредитной организацией не всегда возможно). Вследствие этого возникают дополнительные компоненты упомянутых рисков, непосредственно ассоциируемых с риском неплатежеспособности, без учета которых при организации ДБО (в связи с потенциальными проблемами: аварийными ситуациями, сбоями в работе программного обеспечения различных компьютерных систем, сетевыми атаками, перекрывающими каналы связи или «подавляющими» процессинговые мощности, и другими) претензии клиентов ДБО неизбежны. В то же время предвидеть их возникновение и возможные последствия (варианты ущерба), причем в связи с конкретными факторами возникновения этих компонентов, сложно в отсутствие заранее разработанных сценариев, так что такие компоненты этого риска реализуются.

2.8. Возможности учета компонентов типичных банковских рисков

Вопрос проведения расчетов уровней банковских рисков в условиях отсутствия законченной теории их определения и анализа также остается до настоящего времени дискуссионным^[60], тем более проблематично доведение его решения до точного учета влияния технологий электронного банкинга. В классических определениях собственно понятия банковского риска, которые можно найти в публикациях зарубежных органов банковского регулирования и надзора, также наблюдается некоторое несоответствие. Если обобщить такие определения, то можно сформулировать два его «интегральных» варианта. Один из вариантов использует своего рода абсолютное исчисление, и в такой трактовке базовое определение выглядит следующим образом: «Банковский риск — это возможный финансовый ущерб для капитала или доходов кредитной организации, который может иметь место вследствие ее банковской деятельности».

В рекомендациях зарубежных органов банковского регулирования и надзора^[61] для отдельных видов банковских рисков определения такого рода обычно уточняются за счет указания состава негативных внутренних факторов, действующих в кредитных организациях, которые вообще приводят к возникновению источников банковских рисков.

С другой стороны, принципиально важным является то, что одни и те же негативные последствия могут по-разному влиять на финансовое состояние кредитных организаций ввиду различий в их размерах, масштабах и специфике банковской деятельности, структуре финансовых ресурсов и технологическом обеспечении выполнения банковских операций. Проще говоря, один и тот же по абсолютной величине убыток один банк не заметит, другой сможет парировать, а третий банк «не переживет». Следовательно, подчеркивают специалисты упомянутых учреждений, необходимо оценивать уровни банковских рисков в терминах их значимости для конкретных коммерческих банков (кстати сказать, только тогда уместно использование определений качественного характера, относящихся к оценкам уровней банковских рисков). При таком подходе обобщенная формулировка понятия банковского риска может быть представлена в другом интегральном виде, предполагающем использование уже относительной шкалы: «Банковский риск — это оценка значимости возможного ущерба финансовым ресурсам и доходам коммерческого банка, обусловленного применяемыми им способами ведения банковского дела».

Интересно отметить, что в рассматриваемых зарубежных материалах для определения собственно риска в подавляющем большинстве случаев используется первая формулировка, однако, когда речь идет об интерпретации выявляемых факторов риска в приложении к оценке ситуации в кредитной организации, семантика выводов полностью относится ко второму варианту.

Суть подхода от описанных выше различий в классификации рисков не изменяется и заключается в попытках качественного оценивания, точнее сказать, описания степени или «серьезности» возможного финансового ущерба, который может быть нанесен коммерческому банку. При этом вводятся от трех до пяти градаций степени или уровня оцениваемого риска. Ниже приведена таблица определений уровней агрегированного риска, устанавливаемых в указанных источниках по двум «осям координат» — оценок уровней типичных банковских рисков и качества управления этими рисками (табл. 2.1).

Таблица 2.1

Оценки уровня агрегированного риска

В оригинале использованы понятия: Lowest, Low, Moderate, High, Highest

Для выбора подходящей оценки используются совокупности экспертных заключений по «параметрам» деятельности руководства кредитной организации по разным бизнес-направлениям, от которых зависят и состав подмножества источников, и влияние компонентов типичных банковских рисков^[62].

Учет всех источников компонентов типичных банковских рисков при использовании кредитной организацией множественных систем электронного банкинга может оказаться невозможным в силу их разнообразия и сложности структур задействуемых ею ИКБД, ЛВС или ЗВС, что подразумевает чрезмерные затраты ресурсов этой организации. Вследствие этого ее руководство вполне может согласиться с существованием незначительных по уровню компонентов банковских рисков, потенциальный ущерб от реализации которых будет оцениваться в меньшую сумму, чем затраты на их мониторинг и парирование. В этом случае может оцениваться так называемый «чистый риск», определяемый как разница между неизбежным риском, присущим самой банковской деятельности, и корректирующим эффектом, достигаемым в рамках внутрибанковского мониторинга уровней типичных банковских рисков и УБР (в том числе сотрудниками служб внутреннего контроля и аудита).

Однако здесь следует проявлять известную осторожность: такой подход может быть оправдан только проведением тщательного анализа потенциальных последствий существования «остаточных рисков» в ИКБД. Следует, кстати, отметить возможность резкого роста цены любых, даже незначительных на первый взгляд, нарушений целостности банковских данных, которые могут лавинообразно тиражироваться в базах банковских данных и клиринговых системах. Важно отметить, что процедуры УБР осуществляются именно в отношении источников риска, а не самих рисков, поскольку в такой абстрактной формулировке исчезает физический смысл процесса, из-за чего и возникают разногласия между авторами публикаций по этой тематике.

Примечания

23

Guiding Principles in Risk Management for U.S. Commercial Banks. The Financial Services Roundtable, A Report of the Subcommittee and Working Group on Risk Management Principles; Washington, DC, USA, June 1999.

24

Автор располагает материалами таких учреждений только из США, Канады, Западной Европы и Великобритании, а также Сингапура и Южной Кореи, однако это не умаляет общности рассмотрения.

25

Например, Risk Management Principles for Electronic Banking.

26

Цитируются материалы семинара, проводившегося для специалистов Банка России в 2004 г.

27

Office of the Comptroller of the Currency — OCC, в составе которого служба банковского инспектирования была создана еще в 1863 г., а в 1874 г. — банковский надзор, этой истории посвящена книга Robertson R.M. The Comptroller and Bank Supervision. OCC, Washington, DC, USA, 1995.

28

В терминологии документов ОСС.

29

Large Bank Supervision. Comptroller's Handbook. ЕР-LB. Office of the Comptroller of the Currency, Washington, DC, USA, May 2001.

30

По информации, полученной автором на ряде международных семинаров по вопросам обеспечения надежности банковской деятельности, проводившихся под эгидой органов банковского регулирования и надзора.

31

Guiding Principles in Risk Management for U.S. Commercial Banks. June 1999.

32

По аналогии с принципами «Знай своего клиента» и «Знай своего работника», которые часто фигурируют в литературе в связи с исследованиями банковских рисков.

33

Это тем более справедливо в ситуациях территориального разнесения официально зарегистрированной кредитной организации или ее филиала и процессингового центра, а также в условиях так называемого «оффшоринга» — трансграничного аутсорсинга процессинга.

34

Эти понятия подробно поясняются ниже.

35

Large Bank Supervision.

36

Имея в виду интерпретацию банковского сектора страны как некой системы, состоящей из взаимодействующих кредитных организаций, их клиентов и контрагентов, функции которых известны и унифицированы за счет регламентации, которая, впрочем, охватывает лишь часть банковской деятельности.

37

Risk Management Principles for Electronic Banking.

38

В качестве примера можно привести принятый еще в 1962 г. Федеральный закон США «О компаниях, обслуживающих банки», в котором речь идет о контроле над провайдерами кредитных организаций.

39

Risk Management Principles for Electronic Banking.

40

Virtual Private Network — VPN.

41

Как ни странно, в обширной литературе, посвященной банковским рискам, автору не удалось найти упоминания весьма важного акцента, значительно отличающего практическую интерпретацию понятия ликвидности в новых, высокотехнологичных условиях банковской деятельности от традиционно принятой.

42

Internet-Banking. Comptroller's Handbook.

43

Здесь излагается подход только одного органа банковского регулирования и надзора. Позиции других аналогичных по функциям учреждений США от этого подхода несколько отличаются как по количеству учитываемых банковских рисков, так и по составу их компонентов.

44

Здесь и далее в квадратных скобках приводятся слова, поясняющие контекст, поскольку полные переводные выдержки из текста документа, которые содержат необходимые в каждом случае пояснения, заняли бы слишком много места.

45

В зарубежной терминологии — Electronic Funds Transfer.

46

Как это определено в Письме Банка России от 30 июня 2005 г. № 92-Т «Об организации управления правовым риском и риском потери деловой репутации в кредитных организациях и банковских группах».

47

Management and Supervision of Cross-Border Electronic Banking Activities. Basel Committee on Banking Supervision, BIS, Basel, July 2003.

48

Risk Management Principles for Electronic Banking.

49

Наиболее «популярный» в последние годы вид сетевых атак — Distributed Denial of Service (DDoS), представляющий расширенный вариант DoS-атаки за счет задействования компьютеров, находящихся в сетевых структурах сторонних организаций за счет «заражения» их специальными вирусами-червями (см. ниже).

50

Decision Support System/Management Information System.

51

Интерпретируемой как свойство сохранять значения установленных параметров функционирования в определенных пределах, соответствующих заданным режимам и условиям в течение установленного времени.

52

Это касается и практики так называемых «заплаток» (patches) для программного обеспечения.

53

Это понятие определено Банком России в упоминавшемся ранее Письме № 36-Т.

54

Приведенное разделение несколько условно, оно основано на различиях в моделях соответствующих угроз для БАС кредитной организации.

55

Crume J. Inside Internet Security. Addison-Wesley, Pearson Education Ltd., 2000.

56

От термина Packet Internet Groper.

57

Комбинация из английских слов robot и net.

58

Под этим понимается осуществление двойного параллельного независимого контроля (в том числе при принятии «ответственных» решений, т.е. значимых для финансового состояния кредитной организации).

59

Лямин Л.В. К вопросу о рисках, связанных с применением технологий дистанционного банковского обслуживания // Управление в кредитной организации. 2008. № 2. С. 20-31.

60

Guiding Principles in Risk Management for U.S. Commercial Banks.

61

Large Bank Supervision; Community Bank Supervision. Comptroller's Handbook. EP-CBS. Office of the Comptroller of the Currency, Washington, DC, USA, July 2003.

62

Лямин Л.В. Принципы риск-ориентированного банковского контроля в области интернет-банкинга // Оперативное управление и стратегический менеджмент в коммерческом банке. 2003. № 5. С. 36 — 38; № 6. С. 35 — 49. Описанный подход справедлив для технологий электронного банкинга в целом.