Применение технологий электронного банкинга: риск-ориентированный подход

организации и отдельных ее подразделений, так или иначе имеющих отношение к применению ТЭБ. Под эффективным наблюдением можно понимать лишь такой контроль, при котором полностью осознаются и учитываются системные взаимосвязи отдельных процедур, входящих в состав, возможно, разных внутрибанковских процессов.

На практике руководители перечисленных выше служб нередко не получают всех необходимых для адаптации реализуемых процедур указаний от курирующих вице-президентов или аналогичных должностных лиц кредитных организаций. Достаточно часто встречаются ситуации, когда даже в документарное обеспечение этих подразделений не вносится никаких изменений и дополнений несмотря на то, что кредитная организация внедряет одну систему ДБО за другой (как правило, это две и более системы интернет-банкинга, ориентированные на разную клиентуру или работающие через разные информационные контуры, системы интернет-трейдинга, мобильного банкинга, банкоматов и т. п.). Очевидно, что в подобных ситуациях ни о каком корпоративном управлении говорить не приходится, что бы при этом ни декларировалось кредитной организацией.

Вместе с тем не менее очевидно, что в условиях применения нескольких систем ДБО целесообразно использовать комплексный подход к организации деятельности перечисленных выше служб, а такая комплексность заведомо является прерогативой высших органов управления кредитной организацией, что, кстати, также постулируется БКБН. Фактически речь идет о принятии согласованных решений относительно одновременного внесения изменений в работу не одной, но ряда служб кредитной организации, что обусловлено именно радикальными изменениями в способах и условиях банковского обслуживания, привносимых ТЭБ, и мысль об этом упорядочении должна по идее стать превалирующей для этих органов управления.

Прежде всего такие изменения касаются работы службы автоматизации (информатизации) кредитной организации, которой неизбежно потребуется осознание особенностей нового ИКБД и к тому же обладание новой квалификацией в связи с внедрением новой для нее ТЭБ. Это может быть связано с возникновением необходимости изменения конфигурации внутрибанковской вычислительной сети (локальной или зональной), включая внедрение новых серверных мощностей для обслуживания расширяющейся клиентской базы и обработки направляемых клиентами ордеров. Это в свою очередь означает выделение дополнительного финансирования (а поскольку такое финансирование часто осуществляется по остаточному принципу, то потребуется еще и доказательная база, а доказывать надо известно кому — «корпоративным управляющим» и главному бухгалтеру); далее идут выбор поставщиков аппаратно-программного обеспечения, заключение контрактов, поставки, испытания, опытная эксплуатация и т. д. В то же время сама кредитная организация заинтересована в том, чтобы независимо от того, какие именно новые технологии внедряются, они не оказали негативного влияния на ее функционирование и опять-таки на выполнение взятых на себя обязательств перед клиентами и контролирующими органами.

При организации бизнес-процессов основными факторами надежности функционирования кредитной организации становятся именно программно-алгоритмическое обеспечение и обслуживание банковских автоматизированных систем и систем электронного банкинга. Этот постулат не является «открытием», но он приведен здесь потому что от этих факторов прямо зависит целостность клиентских и банковских данных и доступность банковского обслуживания. Под целостностью здесь уместно понимать соответствие информации установленным требованиям и невозможность ее несанкционированного изменения (искажения), а под доступностью — наличие возможности получения доступа авторизованными пользователями к требуемому им АПО — автоматизированным системам и приложениям (прикладным программам). Вопросы доступности сервисов кредитной организации и целостности передаваемых, обрабатываемых и хранимых банковских и клиентских данных в условиях ДБО становятся актуальными и для самой организации, и для ее клиентов, а следовательно, АПО БАС и СЭБ должны быть организованы таким образом, чтобы не оставалось незакрытых «дыр» в информационном обеспечении претензионной работы, финансового мониторинга, а также контролирующих, правоохранительных и судебных органов.

Следом за этим новая квалификация потребуется и службе внутреннего контроля, поскольку появятся новые (и не самые простые) подлежащие контролю процедуры. При этом возникают новые информационные сечения в БАС и (или) между нею и каждой СЭБ, новые информационные потоки, которые тоже необходимо контролировать, дополнительные массивы банковских и клиентских данных (начиная с бухгалтерского учета и заканчивая финансовым мониторингом, для которого установлен специальный набор правил и программ[98]), равно как и новые формы банковской отчетности (внутренней и внешней, например, по форме 0409251). С точки зрения финансового мониторинга условия ДБО специфичны в первую очередь тем, что кредитная организация не всегда может быть уверена в том, что работает с официально зарегистрированным ею, легитимным клиентом (поскольку возникает непростая проблема обнаружения передачи средств (т. е. прав и полномочий) доступа к банковским счетам и управления ими при совершении противоправных действий, например финансовых преступлений). Следовательно, должен однозначно решаться вопрос: доступность для кого? Банк России, кстати, в свое время обратил на это внимание, выпустив соответствующие документы: Положение Банка России от 19 августа 2004 г. № 262-П «Об идентификации кредитными организациями клиентов и выгодоприобретателей в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее — Положение 262-П) и Письмо Банка России от 30 августа 2006 г. № 115-Т «Об исполнении Федерального закона „О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма“ в части идентификации клиентов, обслуживаемых с использованием технологий дистанционного банковского обслуживания (включая интернет-банкинг)». В свою очередь клиент не всегда может быть уверен в том, что он действительно работает со «своим банком» (это проблема обнаружения, к примеру, «фишинга» и предотвращения соответствующих негативных для клиентов последствий).

Кроме того, добавляются вопросы пруденциальной организации взаимоотношений с провайдерами, входящими в ИКБД, которых тоже желательно контролировать с позиций обеспечения непрерывности процессинга, финансового состояния, доступности систем ДБО и т. п. Этот факт свидетельствует о целесообразности разработки и внедрения нового внутрибанковского процесса, в котором должны участвовать несколько структурных подразделений кредитной организации: информатизации, внутреннего контроля, информационной безопасности, правового обеспечения и т. д.

Если говорить конкретно об обеспечении информационной безопасности, то с ним возникает наибольшее количество проблемных вопросов, обусловленных возникновением того же ИКБД, следствием чего оказываются прежде всего расширение периметра информационной безопасности и возникновение новых зон концентрации источников рисков, а также расширение некоторых зон ответственности кредитной организации (хотя есть и другие аспекты). Необходимо отметить, что «сводить» решение всех проблем ДБО в рамках комплексного подхода с учетом вопросов информационной безопасности (в совокупности, кстати, с тем же внутренним контролем, проверяющим, как с ней обстоят дела) все равно приходится высшему руководству кредитной организации. Само «комплексирование» такого рода представляет собой отдельную задачу охватывающую синхронное видоизменение сразу нескольких внутрибанковских процессов с позиций обеспечения информационной безопасности кредитной организации, электронного банкинга и ее клиентов. Конечно, с внедрением ТЭБ ничего страшного не происходит при условии принятия грамотных и адекватных ситуации решений, но их еще надо принять, и обоснованно.

Специальное внимание целесообразно уделить также работе юридической службы кредитной организации, ведь отношения организации с клиентами в условиях ДБО меняются радикально. С одной стороны, целесообразно предусмотреть в текстах договоров с клиентами положения, которые взаимно обезопасили бы обе стороны от возможных конфликтных ситуаций, которые могут возникнуть в связи с отмечавшейся взаимной анонимностью. Следует подчеркнуть, что это не такая простая проблема, как может показаться, ввиду ряда сопутствующих негативных факторов. Типичными примерами являются обеспечение невозможности отказа от операции (взаимной), т. е. придание операции бесспорного характера в условиях документарного обмена в электронной форме, и распределение ответственности между сторонами в ситуациях прерывания обслуживания, как