Кибербезопасность в условиях электронного банкинга. Практическое пособие

В последующих разделах каждый из перечисленных принципов обсуждается более подробно в той мере, в какой он относится к ЭБ и базовым принципам управления рисками. Там, где уместно, предлагаются дополнительные примеры правильной организации работы, которые могут рассматриваться как эффективные способы управления этими рисками.

5.2.1. Наблюдение со стороны совета директоров и высшего руководства банка (Принципы 1–3)

Совет директоров (СД) и высшее руководство банка (ВРБ) отвечают за разработку деловой стратегии кредитной организации. Должны приниматься четкие стратегические решения относительно того, хочет ли СД, чтобы банк предоставлял обслуживание транзакций в рамках ЭБ, до начала предложения таких услуг. В частности, СД следует убедиться в том, что планы внедрения ЭБ точно соответствуют корпоративным стратегическим целям кредитной организации. Одновременно должны быть организованы процессы смягчения и мониторинга рисков. Также необходимо убедиться, что осуществляется текущий контроль для оценивания результатов деятельности в рамках ЭБ в сопоставлении с деловыми планами и целями кредитной организации.

Кроме этого, СД и ВРБ следует удостовериться, что факторы риска, относящиеся к функционированию и безопасности в части деловых стратегий учреждения в рамках ЭБ, рассматриваются и учитываются должным образом. Обеспечение финансовых услуг через интернет может существенно изменить и (или) даже увеличить традиционные банковские риски (например, стратегический, репутационный, операционный, кредитный риски и риск ликвидности). Поэтому следует принимать меры, чтобы существующие в банке процессы управления рисками, контроля безопасности, наблюдения и обеспечения выполнения обязательств в отношениях с третьими сторонами должным образом оценивались и модифицировались в интересах приспособления к видам обслуживания в рамках ЭБ.

Принцип 1: СД и ВРБ следует установить эффективное управленческое наблюдение над рисками, связанными с деятельностью в рамках ЭБ, включая организацию специального учета, политики и средств контроля для управления этими рисками.

Бдительное управленческое наблюдение принципиально важно для обеспечения эффективного внутреннего контроля деятельности в рамках ЭБ. В дополнение к специфическим характеристикам канала предоставления услуг через интернет к значительным проблемам с традиционными процессами управления рисками могут привести следующие аспекты ЭБ:

– основные компоненты канала предоставления услуг (собственно интернет и связанные с ним технологии) не поддаются непосредственному контролю со стороны банка;

– интернет открывает неограниченные возможности оказания услуг через множественные национальные юрисдикции, включая те страны, в которых учреждение физически не присутствует;

– вопросы, ассоциируемые с ЭБ и предполагающие использование концепций и описаний в терминах высоких технологий, во многих случаях оказываются незнакомыми для СД и ВРБ, имеющих традиционный опыт.

Ввиду уникальных характеристик ЭБ новые проекты в этой области, которые могут оказывать значительное влияние на профиль риска конкретного банка и его стратегию, должны изучаться СД и ВРБ и подвергаться стратегическому и затратно-доходному анализу. Без адекватного непредвзятого изучения и текущей деятельности по планированию процедур оценивания банки рискуют недооценить затраты и (или) переоценить доходы от своих инициатив в области ЭБ.

Помимо этого, СД и ВРБ следует удостовериться, что их банк не включается в новый бизнес в сфере ЭБ и не внедряет новые технологии без наличия компетенций, необходимых для обеспечения наблюдения за управлением рисками. Знания руководства и персонала должны быть соразмерны технической природе и сложности применяемых банком технологий ЭБ и соответствующих приложений.

Адекватная квалификация принципиально важна независимо от того, находятся ли СЭБ и соответствующие виды обслуживания под собственным управлением банка или эти функции переданы третьим сторонам. Процессы наблюдения со стороны ВРБ следует вести на динамической основе, чтобы осуществлять эффективное вмешательство и коррекцию любых материальных проблем с СЭБ или недостатков в обеспечении безопасности. Повышенный репутационный риск, связанный с использованием технологии ЭБ, приводит к необходимости непрерывного мониторинга системной функциональности и удовлетворения требований пользователей, как и должного информирования ВРБ о происшествиях.