Кибербезопасность в условиях электронного банкинга. Практическое пособие

В соответствии с требованиями Положения № 242-П СВА должна осуществлять контроль эффективности мер, принятых подразделениями и органами управления по результатам проверок и обеспечивающих снижение уровня выявленных рисков, и кредитная организация должна установить порядок контроля (включая проведение повторных проверок) за принятием мер по устранению выявленных СВК нарушений.

Один из возможных вариантов реализации СВА выполнения подразделениями кредитной организации плана мероприятий заключается в том, что после окончания проверки подразделение предоставляет в СВА отчет о выполнении плана мероприятий. В случае невыполнения отдельных мероприятий по объективным причинам подразделению рекомендуется своевременно информировать СВА о ходе выполнения плана до наступления сроков исполнения.

При необходимости руководитель СВА может назначить внеплановую тематическую проверку выполнения подразделением плана мероприятий.

Перечисленные выше мероприятия могут быть использованы для оценки качества работы СВА и СВК (в части функционирования СЭБ), при этом основными и минимально необходимыми являются следующие вопросы:

– установлен ли порядок доведения результатов проверок до сведения руководства и совета директоров кредитной организации?

– установлен ли кредитной организацией порядок контроля выполнения подразделениями мероприятий по результатам проверок в части снижения уровня выявленных рисков?

– принимаются ли подразделениями меры по результатам проверок в части снижения уровня выявленных рисков в области ЭБ?

– контролируют ли СВА и СВК выполнение подразделениями мероприятий по результатам проверок в области ЭБ?

– проводит ли СВА оценку эффективности принимаемых мер по устранению выявленных нарушений и недостатков?

7.1.4. Организация управления рисками, связанными с использованием системы электронного банкинга

К банковским рискам, связанным с применением СЭБ, относятся операционный, правовой, стратегический риски, риск потери деловой репутации (репутационный риск) и риск ликвидности.

Распределение подчиненности и подотчетности в рамках управления рисками ЭБ рекомендуется организовывать таким образом, чтобы обеспечить своевременность, полноту и адекватность информирования органов управления кредитной организации:

– о состоянии и характеристиках аппаратно-программного обеспечения СЭБ;

– выявленных недостатках в функционировании информационного контура ЭБ;

– связанных с ЭБ источниках (факторах) рисков;

– результатах выполнения принятых решений по управлению банковскими рисками;

– процедурах реагирования на возможные события, которые могут негативно повлиять на безопасность, финансовую устойчивость или деловую репутацию кредитной организации, и результатах их выполнения.

Хорошей практикой является назначение в кредитной организации лица (лиц), ответственного (ответственных) за реализацию процессов управления рисками ЭБ и их мониторинг.

К этим процессам целесообразно привлекать структурные подразделения (службы, служащих), прямо или косвенно участвующие в функционировании СЭБ или отвечающие за внедрение и применение информационных технологий, обеспечение информационной безопасности, правовое обеспечение деятельности кредитной организации, соблюдение правил внутреннего контроля в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, а также за операционную работу с клиентами.

Кредитной организации рекомендуется оказывать методологическую и консультационную помощь клиентам ЭБ, доводить до них информацию о принимаемых ими рисках, а также необходимом комплексе мер по защите информации.

Во внутренних документах кредитной организации, связанных с управлением ЭБ и контролем за функционированием реализующих его систем, рекомендуется определить роль органов управления и структурных подразделений кредитной организации:

– в распределении полномочий между органами управления кредитной организации (советом директоров, единоличным и коллегиальным исполнительными органами);

– распределении прав и обязанностей, ответственности, подчиненности и подотчетности структурных подразделений и служащих, в обязанности которых входят выполнение функций в рамках ЭБ и управление рисками, связанными с данным видом ДБО;

– реализации учетной политики кредитной организации во внутрибанковских автоматизированных системах с учетом особенностей применения СЭБ;

– определении допустимых уровней банковских рисков, принимаемых кредитной организацией при использовании СЭБ;

– определении порядка информирования органов управления кредитной организации о выявленных источниках (факторах) банковских рисков и принятии мер, обеспечивающих снижение уровня рисков.