Применение технологий электронного банкинга: риск-ориентированный подход - Л. Лямин

14) перераспределение функциональных ролей, обязанностей и ответственности в иерархической структуре организации;

15) достижение согласованности взаимосвязанных внутрибанковских процессов на уровне процедур, включая новые (например, для провайдеров);

16) оценку изменений, которые потребуется внести в информационные системы управления (ИСУ) или системы ППР.

Это только основные компоненты нового внутрибанковского процесса, причем в зависимости от специфики деятельности конкретной коммерческой организации они тоже могут варьироваться по содержанию отдельных процедур. Желательно, кстати, учитывать, что в сфере современной банковской деятельности наибольшее значение имеет именно информационное обеспечение, т. е. необходимо быть уверенным в гарантиях полноты, целостности и своевременности предоставления данных, необходимых для реализации эффективного управления и контроля, независимо от специфики той или иной технологии ДБО. Излишне говорить, что с переходом значительного количества процедур, составляющих банковскую деятельность, в виртуальное киберпространство получение таких гарантий может оказаться весьма затруднительным. Поэтому бывают ситуации, когда может быть лучше даже не торопиться с внедрением многообещающих, но «мало понятных» с позиций традиционных процессов управления и контроля технологий ДБО, а сначала подготовить как следует надежную почву для их внедрения и результативного (в том числе безопасного!) использования. Что, собственно, и имеется обычно в виду под «пруденциальной» организацией условий применения таких технологий.

Очевидно, что все перечисленные выше составные элементы нового внутрибанковского бизнес-процесса представляют собой в свою очередь достаточно специфические процедуры, которые сами требуют специальных решений и мероприятий, организация которых и контроль над которыми являются прерогативой органов управления кредитной организации. Очевидно, что самым важным фактором адекватной реализации этих процедур является осознание их необходимости. В качестве примера, взятого из зарубежной практики банковского регулирования и надзора, можно привести основания для этого: считается, что в составе совета директоров высокотехнологичной кредитной организации должны находиться руководители, имеющие подготовку в области, как говорят, «электронных банковских технологий», обеспечения информационной безопасности и других связанных с ними дисциплин[75]. При этом «во главу угла» ставится обеспечение адекватности системы управления и контроля в таких организациях сложности и масштабам их деятельности с учетом используемых технологий банковского обслуживания, в первую очередь технологий ДБО.

Рассматриваемый бизнес-процесс должен, естественно, опираться на реальные внутрибанковские ресурсы, так что если говорить о его практической интерпретации, то органам управления кредитной организации логично организовать его как подобие своего рода научно-исследовательской работы. Для ее выполнения необходимы прежде всего специалисты в области ИТ, причем из состава как минимум пяти служб[76]: информатизации (автоматизации), операционной (включая маркетинг), обеспечения информационной безопасности, внутреннего контроля и юридической. Каждый из них должен получить и выполнить свое «задание»:

первые — решение вопросов ТЭО, первого, второго, четвертого, пятого, седьмого, девятого и тринадцатого направлений;

вторые — решение вопросов по второму, третьему, одиннадцатому и двенадцатому направлениям;

третьи — решение вопросов по первому, четвертому, пятому и тринадцатому направлениям;

четвертые — решение вопросов по первому, четвертому — шестому и восьмому направлениям;

пятые — решение вопросов по первому, шестому, десятому — тринадцатому направлениям.

Направления с 14 по 16 требуют участия руководства кредитной организации (ее исполнительных органов) и всех перечисленных служб. Приведенное перечисление охватывает опять-таки лишь основных специалистов и функции, которые целесообразно было бы включать в обеспечение нового внутрибанковского бизнес-процесса в кредитной организации.

Далее требуются конкретные финансовые средства на внедрение и развитие новой технологии ДБО, причем здесь уместно задуматься и о некотором резервировании, поскольку все возможные затраты изначально предусмотреть невозможно. Считается, что изначально внедрение системы ДБО, такой, как, например, интернет-банкинга, может потребовать существенных инвестиций, однако они быстро себя окупают, и кредитная организация вместе с ростом клиентской базы ДБО начинает получать ощутимую прибыль. Это соответствует действительности (как по данным зарубежных исследований, так и по информации, полученной в ряде российских кредитных организаций). Тем не менее на практике такое внедрение нередко означает реализацию различных как бы «мелких» рисковых компонентов, которые, впрочем, могут оказаться вполне значимыми в смысле стратегического, правового и репутационного рисков, а иногда и операционного, и неплатежеспособности. Ясно, что процессы управления в кредитных организациях, так или иначе связанные с внедрением, эксплуатацией, сопровождением, модернизацией банковских информационных технологий, логично строить с учетом соответствующих прямых и обратных связей в ПСУ или системе ППР. Типичными примерами в этой проблемной области являются:

— «стыковка» действующих и новых банковских автоматизированных систем (они проявляются, как правило, в так называемых «информационных сечениях», и эти сечения должны являться предметом самого пристального внимания специалистов кредитных организаций по информационным технологиям, обеспечению информационной безопасности и внутреннему контролю особенно в случае заказных разработок или приобретения системы ДБО «под ключ», что вполне типично[77]);

— несоответствие функциональных возможностей заказанной или приобретенной «под ключ» системы ДБО реальным деловым потребностям кредитной организации и (или) ее клиентов (следствием чего практически всегда является «заплаточный» способ подгонки уже проданной (приобретенной) системы за счет переписывания и замены программных модулей, «дописывания» (в смысле программирования) дополнительных функций, ошибки в преобразовании (конвертировании) форматов передаваемых файлов и т. п., причем все это чаще всего делается без должного документарного оформления, тестирования и (или) приемо-сдаточных испытаний и т. д.);

— неправильный расчет производительности систем ДБО, что часто связано с недостатками как в маркетинговой политике (реализация стратегического риска), так и в ТЭО (операционный и репутационный риски), а также отсутствие контроля динамики развития данного бизнес-направления (в широком смысле, о котором говорилось в предыдущем разделе) и прогнозирования его дальнейшего развития (или наоборот, что тоже случается);

— наличие недостатков в обеспечении информационной безопасности и защите банковской и клиентской информации (кстати, такие факты нередко являются следствием пренебрежения органами управления кредитной организации реальными ее потребностями в средствах защиты внутрибанковских локальных вычислительных сетей и, возможно, зональных сетей такого рода, а также недостаточного внимания к контролю над распределенными компьютерными системами провайдеров, через которые могут осуществляться разного рода сетевые атаки);

— несовершенство системы внутреннего контроля и функционирования службы внутреннего контроля, выражающееся в том прежде всего, что модернизация ее деятельности отстает от развития и совершенствования банковской деятельности, особенно от изменений, вносимых в ее аппаратно-программное и информационное обеспечение (в настоящее время известно уже много случаев использования систем ДБО для финансовых преступлений и разного рода противоправной деятельности).

Настало время понимания того, что, поскольку каждое внедрение любого из вариантов технологий электронного банкинга способно существенно изменить бизнес-модели кредитной организации, оно неизбежно влияет на ее внутрибанковские процессы, обеспечивающие банковскую деятельность. Поэтому целесообразно на основе понятия «жизненного цикла» (ЖЦ), как отмечалось в параграфе 2.1, адаптировать к новым способам и условиям осуществления банковской деятельности (как минимум) следующие процессы:

— документарного обеспечения банковской деятельности (требуются новые порядки, регламенты, внесение изменений в положения о структурных подразделениях и должностные инструкции и пр.);