Л. Лямин - Применение технологий электронного банкинга: риск-ориентированный подход

Очевидно, и практика изучения применения технологий электронного банкинга в кредитных организациях подтверждает это, что сама собой упомянутая выше модернизация произойти не может, так что вместе с принятием решения о переходе к ДБО клиентов в кредитной организации целесообразно принятие адекватных мер по адаптации прежде всего устоявшихся (в традиционных вариантах) внутрибанковских процессов управления и контроля к новым условиям банковской деятельности, которые в свою очередь обусловлены внедрением новых способов ее осуществления. Для этого (как, впрочем, и при внедрении любой новой информационной технологии начиная с так называемого «электронного документооборота») требуется разработка некой идеологии, принятой на уровне кредитной организации в целом и реализуемой ее органами управления, причем происходить это должно, вообще говоря, при каждом технологическом (и техническом) «перевооружении» этой организации независимо от его масштабов (даже если изменения кажутся не слишком значительными, чтобы об этом вообще задуматься). Надо отметить, что такие технологии, особенно в части ТЭБ и ППР, того стоят.

Важно подчеркнуть, что роль корпоративного управления в адаптации внутрибанковских процессов при внедрении ТЭБ двоякая : во-первых, собственно «корпоративность» должна проявляться в определении состава подлежащих модернизации процессов в их комплексе (на основе определения перекрестных связей, с помощью которых согласуются отдельные процедуры [86] Например, распределение функций администрирования автоматизированных систем и вычислительных сетей и контроля реализации этого распределения (обязанностей, ответственности, прав и полномочий, порядков и должностных инструкций), проведения проверок службой внутреннего контроля и службой обеспечения информационной безопасности и т. п. ), во-вторых, обеспечение согласованности адаптации возможно только централизованное, иначе проявятся все негативные характеристики 3-го уровня развития процессного подхода (зависимость результата от квалификации исполнителей в условиях неполного административного контроля). Сказанное относится к так называемым «линейкам подчиненности», которыми определяется доведение управленческих воздействий до исполнителей, но то же самое относится и к организации «линеек подотчетности», обеспечивающих контролируемость исполнения указаний — результатов этих воздействий. В условиях применения в кредитной организации сложных банковских информационных технологий, когда уровни многих компонентов банковских рисков прямо зависят от своевременности принятия и качества управленческих решений, их передачи по иерархии организации, равно как и от способности менеджмента проконтролировать их исполнение в форме специально организованных компьютеризованных процедур, решение таких вопросов целесообразно ставить «во главу угла» ввиду их принципиальной значимости [87] В качестве одного из наиболее очевидных примеров можно привести определение требований к настройке брандмауэров (сетевых экранов) кредитной организации, которые являются основными средствами защиты ее вычислительных сетей. В этом случае необходима разработка корпоративной политики такой защиты (в том числе допустимых для использования сетевых протоколов, ограничений на доступное внешнее и внутреннее адресное пространство и т. п.), доведение ее до технических исполнителей и проверка соответствия выполненных настроек установленным требованиям специалистами подразделения ИТ, обеспечение информационной безопасности и внутреннего контроля, которые при их проведении должны руководствоваться соответствующими положениями о подразделениях и должностными инструкциями. .

В отсутствие официально принятого в кредитной организации (в связи с внедрением ТЭБ) методологического подхода, адекватного изменению ее бизнес-процессов, вновь внедряемые информационные технологии, помимо отсутствия предполагаемых выгод, могут неожиданно стать «головной болью» как для операционных и обеспечивающих подразделений кредитной организации, так и для ее руководителей. Необходимо отметить, что в ходе изучения применения технологий такого рода нередко приходится сталкиваться со своеобразным «руководящим мнением», что любая ТЭБ — это не более чем разновидность упоминавшегося электронного документооборота (или «транспорта» между кредитной организацией и ее клиентами, как уже отмечалось), и доля истины в этом, безусловно, есть. Однако наличие ИКБД, в котором реализуется такой документооборот, взаимная анонимность кредитной организации и клиентов ДБО и использование «высоких технологий» для обеспечения гарантий идентичности агентов информационного взаимодействия, аутентичности его содержания и верификации полномочий оказываются слишком серьезными факторами возникновения дополнительных источников компонентов банковских рисков, чтобы можно было занимать такую «безразличную» позицию в отношении применения этих технологий.

Важно осознавать, что перевод банковской деятельности в виртуальное пространство, сулящий кредитным организациям заметные выгоды, а их клиентам ни с чем не сравнимые удобства, требует принятия «грамотных» решений относительно формирования пруденциальных условий применения технологий и систем электронного банкинга, адекватных их сложности и специфике формируемого при этом ИКБД (с позиций управления и контроля). Для выработки таких решений требуется не только наличие специальной достаточно высокой квалификации (желательной и у менеджмента кредитной организации высшего звена), но и нетрадиционная организация подконтрольности и подотчетности в рамках типовых внутрибанковских процессов [88] Еще одним простым примером может являться формирование механизма доведения до менеджеров разных уровней информации о сетевых и вирусных атаках, случаях НСД, отказах серверного оборудования разного назначения и т. п. Известно, что если проблема не «докладывается», то она повторяется, причем в кредитных организациях это может продолжаться до тех пор, пока сокрытие негативной информации не приведет к весьма серьезным финансовым потерям их самих или их клиентов (чему немало примеров из российской и зарубежной банковской деятельности). Чтобы создать такие «механизмы» и контролировать их функционирование (допустим, через анализ содержания тех же системных логов и аудиторских трейлов), также необходима специальная квалификация. . Следует отметить также, что эти процессы, оставаясь типовыми по своему существу , в условиях электронного банкинга приобретают многочисленные новые , нетипичные для традиционной банковской деятельности характеристики, как это будет показано в главе 5. Эти характеристики целесообразно определять для каждой ТЭБ и отражать во внутрибанковских документах начиная с тех, которые регламентируют процесс УБР.