Кибербезопасность в условиях электронного банкинга. Практическое пособие

Кредитной организации рекомендуется разработать программу мер, направленную на снижение и минимизацию риска потери ликвидности при использовании СЭБ, включающую в том числе меры:

– по противодействию хищениям денежных средств;

– снижению вероятности возникновения сбоев в работе автоматизированных систем кредитной организации (или меры на случай возникновения таких ситуаций);

– снижению вероятности возникновения сбоев в работе автоматизированных систем провайдеров и других поставщиков услуг (или меры на случай возникновения таких ситуаций).

Во внутренних документах по управлению правовым риском и риском потери деловой репутации с учетом применения СЭБ целесообразно учесть рекомендации, изложенные в Письме Банка России от 30.06.2005 № 92-Т «Об организации управления правовым риском и риском потери деловой репутации в кредитных организациях и банковских группах».

Во внутреннем документе по управлению правовым риском в области применения ЭБ рекомендуется предусмотреть процедуры выявления, идентификации и оценки рисков, в том числе возникающих по причине:

– несоблюдения требований нормативно-инструктивных документов, регламентирующих банковскую деятельность;

– несовершенства правовой системы;

– несоответствия внутренних документов кредитной организации законодательству Российской Федерации;

– неэффективной организации правовой работы, приводящей к ошибкам в действиях служащих и органов управления кредитной организации при разработке и внедрении новых технологий ЭБ;

– нарушения условий договоров кредитной организацией (включая договоры с клиентами на обслуживание с применением СЭБ и договоры с провайдерами услуг);

– нарушения условий договоров клиентами кредитной организации;

– нарушения условий договоров провайдерами услуг.

В целях снижения риска потери деловой репутации кредитной организации следует предусмотреть процедуры выявления, идентификации и оценки данного риска, в том числе:

– с учетом принципа «знай своего клиента»;

– с учетом принципа «знай своего работника»;

– связанные с содержанием и ведением веб-сайта кредитной организации;

– связанные с обеспечением защиты конфиденциальности клиентской и банковской информации;

– связанные с обеспечением непрерывности функционирования СЭБ.

Во внутренних документах по управлению стратегическим риском в условиях применения СЭБ рекомендуется учесть рекомендации, изложенные в Письме Банка России от 13.09.2005 № 119-Т «О современных подходах к организации корпоративного управления в кредитных организациях».

Кредитным организациям, планирующим оказание клиентам трансграничных банковских услуг посредством СЭБ, рекомендуется предварительно изучить дополнительные источники (факторы) банковских рисков, связанные с нарушением законодательства зарубежных государств, а также возможности учета факторов риска, относящихся к той или иной стране или юрисдикции.

7.2. Организация (адаптация) процедур внутреннего аудита и контроля в части системы электронного банкинга

– Почему собака виляет хвостом?

– Потому что собака умнее хвоста.

Если бы хвост был умнее, то он бы сам вилял собакой.

Цитата из фильма Wag the Dog («Хвост виляет собакой»)

Относительно рекомендаций об организации (адаптации) процедур внутреннего аудита и контроля в части использования технологий ЭБ необходимо учитывать, что они основываются на рекомендации БКБН о непригодности единого подхода к решению вопросов управления рисками в области ЭБ по причине специфичности архитектуры внутрибанковских распределенных компьютерных систем, а соответственно и профиля сопутствующих рисков для каждой кредитной организации, методов и средств внутреннего контроля.

Существенной необходимостью для кредитных организаций является самостоятельный индивидуальный учет всех особенностей реализации своих или приобретенных и интегрированных в уже имеющиеся банковские автоматизированные системы программно-аппаратных комплексов ЭБ.

В большинстве кредитных организаций, применяющих СЭБ, обобщенное описание совокупности процедур внутреннего контроля должно учитывать основные особенности содержания и выполнения функций внутреннего контроля в данной кредитной организации.

Такая обобщенная реализация (адаптация) процедур внутреннего контроля может базироваться на модели непрерывного циклического процесса менеджмента (модели Деминга)[125] и предполагать разбиение стадий модели на этапы жизненного цикла СЭБ, часто выделяемые при разработке и использовании таких систем. Составляющие комплекса процедур внутреннего контроля могут быть реализованы на следующих этапах жизненного цикла СЭБ (рис. 40):

– этапе обоснования проекта СЭБ;

– этапе принятия решения о новом проекте СЭБ;

– этапе планирования реализации СЭБ;

– этапе проектирования СЭБ;

– этапе разработки СЭБ;

– этапе испытаний, сдачи и приемки в эксплуатацию СЭБ;