Применение технологий электронного банкинга: риск-ориентированный подход

включая возможные сетевые, хакерские и вирусные атаки.

Учет состава ИКБД и ассоциируемых с ним источников компонентов банковских рисков, распределенных по зонам их концентрации, может оказаться непростой задачей, хотя, безусловно, решаемой. Поэтому и разветвлений в указанных планах может быть довольно много уже потому, что любой удаленный клиент должен, во-первых, быть предупрежден о возникновении чрезвычайных обстоятельств, во-вторых, получить какими-либо резервными способами доступ к необходимым ему ресурсам кредитной организации и, в-третьих, представлять себе, чем гарантирована целостность и конфиденциальность его данных. Поэтому руководству такой организации, переходящей к ДБО, целесообразно оценивать свою ресурсную базу с точки зрения ее достаточности для обеспечения выполнения упомянутых обязательств в условиях ДБО и инициировать адаптацию планов действий в обеспечение их выполнения в чрезвычайной ситуации. То же самое относится к «плану действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности» при ДБО.

Справедливости ради следует отметить, что подобные планы имеются в большинстве отечественных кредитных организаций, однако качество их во многих случаях не выдерживает критики потому, что само их содержание не свидетельствует о полном и адекватном учете всех потенциальных наиболее серьезных (т. е. приводящих к форсмажорным событиям) источников компонентов банковских рисков, а также вследствие очевидной ориентации на принятие решений исполнительным персоналом на месте, вместо следования заблаговременно четко и однозначно определенным процедурам. Если просто говорить о влиянии внедрения в банковскую деятельность любой

СЭБ, то зачастую этот факт не приводит к пересмотру содержания рассматриваемых планов, прежде всего потому, что отсутствуют необходимые руководящие решения, ориентированные на конкретные подразделения кредитной организации, а если такие решения имеются, то часто «не срабатывает» соответствующая контрольная функция (в обеспечение их выполнения), что свидетельствует о недостатках в процессе ВК.

Внедрение каждой новой СЭБ (не говоря уже о ТЭБ) должно, в общем случае, приводить в рамках мета-процесса к пересмотру содержания и разработке новых редакций как самих планов, так и порядков их тестирования. Тем самым каждый раз будет совершаться очередной виток соответствующего цикла, за счет чего и сможет быть обеспечена надежность банковской деятельности (в ее технологической и технической части). Важно при этом не забывать, что задачи обеспечения доступности банковских автоматизированных систем и восстановления их штатного функционирования в условиях ДБО являются комплексными и решать их целесообразно с позиций оптимизации процесса УБР.

5.10. Организация отношений с провайдерами

Кредитные организации все чаще передают выполнение тех или иных технологических процедур, связанных с обработкой, передачей и хранением банковских данных, сторонним организациям, т. е. провайдерам услуг, вследствие чего оказываются в той или иной мере зависимыми от этих провайдеров, как и клиенты этих организаций. Зависимости, возникающие в ИКБД, могут быть достаточно разнообразными, и по этой причине управление отношениями с провайдерами требует организации специального внутрибанковского процесса (как совокупности процедур, ориентированных на различные сегменты этого контура ДБО). Несмотря на то что аутсорсинг [180] может улучшить банковское обслуживание, способствовать его оптимизации и контролю над стоимостью, а также обеспечить техническое содействие, требуемое для поддержания и расширения предлагаемых услуг, он привносит в банковскую деятельность дополнительные рисковые компоненты, которые целесообразно учитывать кредитным организациям в процессе УБР. Кроме того, возрастает подверженность самих кредитных организаций банковским рискам, компоненты которых связаны с состоянием и характеристиками деятельности провайдеров (поскольку зависимость означает уязвимость) в части источников компонентов операционного, правового и репутационного рисков, начиная с отказов оборудования этих организаций, продолжая раскрытием конфиденциальной информации, сетевыми атаками и заканчивая визитом налоговой инспекции[181].

Что касается особенностей применения аутсорсинга в целом и организации отношений с провайдерами, то одним из наиболее важных вопросов становится организация взаимодействия с теми провайдерами, с которыми ранее никакие отношения кредитными организациями не поддерживались в силу отсутствия у них необходимости в такого рода услугах. Тем не менее внедряемые в кредитной организации бизнес-процессы, связанные с ДБО и реализующие отношения в рамках соглашений на аутсорсинг, также логично было бы рассматривать с позиций внутрибанковского «метапроцесса», поскольку, во-первых, ключевые требования к ним аналогичны, — все они связаны с выполнением ею обязательств перед клиентами, во-вторых, каждая новая ТЭБ может потребовать привлечения дополнительных сторонних организаций к формированию нового или модернизации уже используемого ИКБД в обеспечение предоставления клиентам ДБО новых сервисов.

При определении содержания договоров с такими провайдерами целесообразно четко определять права и обязанности сторон исходя прежде всего из состава обязательств перед клиентами кредитной организации. Одновременно желательно прорабатывать те или иные запасные варианты (в зависимости от вида аутсорсинга), в которых предусматриваются дополнительные маршруты или способы информационного взаимодействия с клиентами, способы оповещения их о тех или иных проблемных ситуациях вместе с подтверждением гарантий соблюдения их интересов, объяснением причин возникновения таких ситуаций и предложениями конкретных действий, позволяющих это взаимодействие продолжить и т. п. Необходимо упомянуть также возможную зависимость от поставщиков АПО систем электронного банкинга (вендоров), хотя такого рода зависимости обычно аутсорсингом не считаются, но, с точки зрения автора, если компания-разработчик комплекса ДБО по каким-либо причинам уйдет с этого рынка, то СЭБ кредитной организации останется без сопровождения, а вместе с ним исчезнут и возможности для ее развития и расширения соответствующего направления банковской деятельности. Мало того, при этом не исключена и реализация компонентов стратегического риска, поскольку если СЭБ приобретена «под ключ» или заказана, то с течением времени может возникнуть потребность замены этой АС (в силу ее устаревания), а значит, возникнут расходы на вывод ее из эксплуатации и на приобретение другой СЭБ (те же финансовые потери).

Помимо изложенного, если говорить о возможных проблемах с представительствами кредитной организации в Сети, без которых уже не обойтись, необходимо помнить, что любой web-сайт может стать объектом атак хакеров, так что его содержание в общем случае уязвимо, причем, возможно, далеко неблагоприятным для самой организации образом (например, разрушение содержимого сайта, внедрение антирекламы, порочащих изображений, ссылок, баннеров и пр.). Эта проблематика рассматривается в главе 6, здесь же уместно отметить, что вследствие наличия этих и других негативных факторов кредитной организации оказывается необходим и соответствующий компонент плана действий в чрезвычайных обстоятельствах (параграф 5.9). Такой компонент в силу множественности негативных факторов и источников компонентов операционного, правового и репутационного рисков неизбежно также оказывается комплексным, тем самым его составление предполагает проведение если и не всестороннего, то достаточно объемного анализа, который могут провести совместно подразделения автоматизации (информатизации), ОИБ, ФМ и УБР (если оно выделено в отдельную службу), желательно под руководством представителя совета директоров или исполнительных органов кредитной организации (ввиду значимости интернет-сегмента для любой организации в настоящее время).

Содержание упомянутого раздела плана действий в чрезвычайных обстоятельствах может быть различным в зависимости от политики кредитной организации относительно использования собственных и сторонних представительств в Сети, назначения и конкретного размещения web-сайтов. Если web-сайт