Зміст
Введення
1.Банковскіе ризики, роль і місце ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях РФ
1.1 Поняття і сутність операційного ризику
1.2 Управління банківськими ризиками
2. Оцінка і аналіз ризиків використання інформаційних і телекомунікаційних систем у ВАТ "АКІБАНК"
2.1 Загальна характеристика ВАТ "АКІБАНК"
2.2 Аналіз управління ризиками у ВАТ "АКІБАНК"
3. Регулювання інформаційних та телекомунікаційних ризиків в системі управління операційним ризиком кредитних організацій
3.1. Методика управління ризиками, пов'язаними з використанням інформаційних і телекомунікаційних систем
3.2. Рекомендації щодо організації управління операційним ризиком
у ВАТ "АКІБАНК"
Висновок
Список використаної літератури
Введення
Що спостерігається в останні роки швидкий розвиток науково-технічного прогресу в області комп'ютерних і телекомунікаційних систем ставить перед кредитними організаціями нові завдання у сфері розвитку інформаційних технологій, забезпечення їх надійності та безпеки. Це обумовлено, в першу чергу, прагненням кредитних організацій задовольнити потреби клієнтів, що виникають з розвитком їх бізнесу, особливо, що переходить національні межі і вимагає здійснення широкого спектру банківських операцій з використанням інформаційних систем. Проведення операцій з використанням комп'ютерних технологій дозволяє кредитним організаціям створювати найбільш сприятливі умови для залучення нових клієнтів і підтримувати конкурентні переваги для вже існуючої клієнтської бази. Розвиток інформаційних систем дозволяє кредитним організаціям проводити операції як в інтересах самого банку, так і клієнтів [14].
В даний час кредитні організації економічно розвинених країн здійснюють широкий спектр банківських операцій з використанням інформаційних технологій. Виникає при цьому операційний ризик - це одна з нових проблем, з якою зіткнулася банківська система не тільки України і Російської Федерації, а й розвинених країн. В умовах сучасних фінансових ринків управління операційним ризиком стає важливим елементом надійності [31].
Актуальність теми дослідження полягає в тому, що регулювання ризику використання інформаційних і телекомунікаційних систем в даний час стає одним з найважливіших чинників забезпечення стабільності банківської системи Російської Федерації. Основною метою регулювання ризику використання інформаційних і телекомунікаційних систем є мінімізація його негативного впливу на результати діяльності кредитної організації. В даний час розробка систем оцінки та моніторингу операційного ризику знаходиться в початковій стадії, що не дає можливості органам нагляду затвердити положення, що зобов'язують дотримуватися конкретні методики оцінки або кількісні обмеження рівня ризику. Кредитні організації Російської Федерації тільки починають застосовувати інструменти регулювання даного ризику, що дозволяють будувати процес управління операційним ризиком в залежності від прийнятої в кредитній організації стратегії.
Мета роботи полягає у вивченні теоретичних та методологічних основ регулювання інформаційних та телекомунікаційних ризиків, їх оцінка, а також розробці рекомендацій для мінімізації негативного впливу операційних ризиків на результати діяльності ВАТ "АКІБАНК". Реалізація поставлених цілей передбачає вирішення таких основних завдань:
- Дослідити економічну сутність ризику, співвідношення зі спорідненими категоріями ("небезпека", "безпека"), виявити принципове значення безпеки як мети управління ризиком з позицій системного та нормативного підходів;
- Вивчити практику забезпечення безпеки інформаційних і телекомунікаційних систем кредитних організацій і визначити напрями її можливого застосування;
- Дослідити методологічні підходи до ідентифікації, визначення і контролю за операційним ризиком, виявити недоліки і дати рекомендації щодо подальшого вдосконалення;
- Визначити основні напрями регулювання операційного ризику;
- Обгрунтувати необхідність регулювання операційного ризику з метою реалізації завдань з підтримки стабільності банківської системи;
- Провести детальний аналіз методів та інструментів управління інформаційних та телекомунікаційних ризиком стосовно діяльності кредитної організації та контролюючих органів, розглянути їх особливості в умовах;
- Розробити методику організації контролю за станом ризику інформаційних і телекомунікаційних систем в кредитній організації.
Об'єкт і предмет дослідження. Об'єктом дослідження є ВАТ "АКІБАНК". Предметом дослідження є економічні та організаційні відносини, що виникають у процесі регулювання ризику використання інформаційних і телекомунікаційних систем кредитними організаціями.
В економічно і промислово розвинених країнах теорія і практика визначення, ведення та управління операційним ризиком, регулювання з боку контролюючих органів має порівняно молоду історію. У нашій країні інструменти регулювання операційного ризику в даний час не розроблені. Однак, існують рекомендації Базельського Комітету з нагляду за банківською діяльністю, в яких узагальнено досвід міжнародної банківської практики за визначенням, ведення та контролю за операційним ризиком [17].
Методологічною основою дослідження є праці вітчизняних і зарубіжних економістів, присвячені теорії та практиці банківської справи, а також загальноекономічним проблем. У процесі дослідження використовувався монографічний та статистичний матеріал, окремі розробки міжнародних фінансових організацій (в тому числі, Базельського комітету з банківського нагляду і регулювання), матеріали періодичної преси, законодавчі акти РФ і нормативні документи Банку Росії. В основі дослідження лежить діалектичний метод, що передбачає вивчення економічних явищ у їх постійному розвитку і взаємозв'язку. Застосовуються й такі методи дослідження як порівняльний, логічний і системний аналіз, зіставлення, узагальнення, синтез і інші методи пізнання суті явищ.
Вивченню аспектів банківського операційного ризику присвячені праці видатних економістів і фахівців банківської справи: Антипової ОН.; Геращенко В.В., Котьолкін СВ., Красавиной Л.М., Лаврушина О.І., Піскулова Д. Ю., Роуза П.С , Савінський Н.А., Севрук Вт, Симановского А. Ю., Соколінськой М.Е., Коха Т., Синки Дж. Ф., Тосунян Г.А. та ін У той же час комплексне вивчення проблем ідентифікації, аналізу і регулювання ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях, його ролі у забезпеченні стабільності банківської системи в умовах Російської Федерації до цих пір відсутня.
Все вищезазначене свідчить про необхідність теоретичного осмислення економічної сутності ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях і факторів його визначають; узагальнення наявного практичного досвіду і розробки методологічних рекомендацій з управління та контролю даного виду ризику і визначає актуальність обраної теми дослідження.
1. Банківські ризики, роль і місце ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях РФ
1.1. Поняття і сутність ризику в кредитних організаціях.
Незважаючи на частої вживається терміна "ризик" у повсякденному житті і науці, універсальне визначення до теперішнього моменту відсутній, що не дозволяє проводити вивчення явищ або процесів, не виділивши предмета дослідження. У цьому параграфі зроблено спробу систематизувати існуючі трактування ризику в кредитних організаціях, вказати взаємозв'язок зі спорідненими категоріями і систематизувати дані для класифікації ризиків [7].
Походження терміна "ризик" в даний час визначити важко, в Західній Європі воно починає зустрічається у середньовічних джерелах, в основному, пов'язаних з мореплавством. Новолатінськой "risicum" увійшло у вжиток з кінця XV століття, при цьому в літературі з'являється пізніше: у тлумачних словниках приклади в області ризику відносяться до середини XVI століття в Англії. У сучасній термінології інтерпретація буде звучати як ймовірність шкоди, а розуміння проблеми ризику - як знаходження способу уникнути помилок при прийнятті рішень, що передбачають генезис збитку. У даному випадку поняття "ризик" розглядається як можливість настання небажаної події та / або кількісної міри такої події, є переважаючою в науці. Ризик обчислюється способом множення ймовірності події на збиток. Такого підходу дотримується більшість вітчизняних фахівців з аналізу природного і техногенного ризику. При цьому, усвідомлення того, що ризик є міра небезпеки - найважливіший крок у вирішенні проблеми управління ситуацією, в якій наявні потенційні фактори, здатні несприятливо впливати на людину, суспільство і природу [21].
Спільне визначення ризику дає Федеральний закон "Про технічне регулювання" [2]. Тут ризик розглядається як деяка імовірнісна категорія, асоційована з поняттям шкоди і відповідно з виникаючими фінансовими втратами.
Одна з найяскравіших сучасних тенденцій у банківській справі - перехід до електронного способу ведення бізнесу, кардинальним чином зраджує співвідношення між різними видами ризику, з якими стикаються банки. Серед таких особливо виділяється ризик використання інформаційних і телекомунікаційних систем.
Можна відзначити наступні основні риси, притаманні сфері електронних банківських послуг і надають важливий вплив на співвідношення окремих категорій банківського ризику:
- Вихід за межі окремих країн і за межі фінансового сектора в цілому, вимагає співпраці установ банківського нагляду з наглядовими органами інших країн і галузей;
- Сильна залежність від прогресу інформаційних та комунікаційних технологій, що призводить до різкого збільшення стратегічних та операційних ризиків;
- Динамічність розвитку, що відбивається в скороченні інноваційних циклів (з точки зору як фінансових інструментів, так і банківських технологій) і, отже, в підвищенні значення стратегічного ризику;
- Зростання орієнтованості на клієнтів у зв'язку зі зменшенням інформаційних асиметрій (нерівномірності розподілу інформації між банками та клієнтами), що веде до збільшення правового та репутаційного ризиків;
- Загострення конкуренції в банківському бізнесі, що несе за собою підвищення загального рівня системного ризику.
Поняття "оцінка ризиків інформаційної безпеки" (Information Security Risk Assessments) і "управління інформаційними ризиками" (Information Risk Management) з'явилися порівняно недавно, але вже міцно вкоренилися серед фахівців у галузі інформаційної безпеки, забезпечення безперервності бізнесу та управління якістю. У світовій практиці така оцінка застосовується для зниження ризиків управління, а точніше сказати, відповідальності персоналу за раптово виниклі проблеми. Загрози безпеці носять імовірнісний характер і змінюються в процесі життєдіяльності банку. Ідентифікуючи відповідні загрози, аналізуючи супутні ризики і беручи потім ефективні контрзаходи, вдається уникнути ризику, пом'якшити його, передати ризик третій особі у вигляді ефективної програми страхування [22].
Операційна діяльність банку на всьому протязі її здійснення пов'язана з численними ризиками, рівень яких зростає розширенням обсягу і диверсифікацією цієї діяльності, з прагненням менеджерів збільшити суму операційного прибутку. Ризики, що супроводжують цю діяльність, формують великий портфель ризиків банку, який визначається загальним поняттям - "операційні ризики". Ці ризики складають найбільш значиму частину сукупних господарських ризиків банку. Система класифікації операційних ризиків за основними ознаками приведена на малюнку 1.
Операційні ризики є об'єктивним явищем у діяльності будь-якого банку і виявляються як сукупність окремих видів ризиків. Види операційних ризиків дуже різноманітні, тому з метою ефективного управління ними ці ризики класифікують з різним ступенем їх інтеграції.
У системі операційних ризиків особливе місце займають інформаційні та телекомунікаційні ризики кредитних установ.
Інформаційні та телекомунікаційні ризики (IT-ризики) - це небезпека виникнення збитків або шкоди в результаті застосування банком інформаційних технологій. Іншими словами, IT-ризики пов'язані зі створенням, передачею, зберіганням та використанням інформації за допомогою електронних носіїв та інших засобів зв'язку.
SHAPE \ * MERGEFORMAT
Рис.1. Класифікація операційних ризиків
IT-ризики можна розділити на дві категорії:
- Ризики, викликані витоком інформації та використанням її конкурентами або співробітниками з метою, які можуть зашкодити бізнесу (інформаційні ризики);
- Ризики технічних збоїв роботи каналів передачі інформації (телекомунікаційні ризики), які можуть призвести до збитків.
Розглянемо спрощену структурну схему управління інформаційними ризиками банку (рис. 2). Стрілочками на схемі показані інформаційні та фінансові потоки.
Рис. 2 Структурна схема управління інформаційними ризиками
Найважливіший елемент управління інформаційними ризиками - аудит безпеки. Існують різні методології такого аудиту, розроблені на основі стандартів. Як зазначалося вище, на підставі закону "Про технічне регулювання" ми маємо право застосовувати будь-які стандарти, в тому числі і зарубіжні. У Росії застосування вітчизняних стандартів спрощує багато процедур, пов'язані з сертифікацією та ліцензуванням по лінії Гостехкомиссии (нині ФСТЕК РФ) *.
При використанні стандартів різних виробників результати оцінки теж можуть виходити різними. У світовій практиці аналізу та управління ризиками основоположним вважається стандарт ISO 17799:2005 Code of practice for information security management ("Звід правил з управління інформаційною безпекою" - попередня версія ISO 17799:2000). Фактично цей стандарт є технологією управління інформаційною безпекою.
У 2007 р. Міжнародна організація по стандартизації планує включити даний стандарт в серію ISO 27000, що складається з шести стандартів інформаційної безпеки (за аналогією з іншими стандартами системи менеджменту якості ISO 9000). Тоді цей стандарт отримає нову назву - ISO 27002.
Точний переклад міжнародного стандарту, в цілому несе велике смислове навантаження, визначальну найважливіші аспекти інформаційної безпеки для будь-якої організації, незалежно від її масштабу і роду діяльності наведено в табл.1.
Таблиця 1
Введення
1.Банковскіе ризики, роль і місце ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях РФ
1.1 Поняття і сутність операційного ризику
1.2 Управління банківськими ризиками
2. Оцінка і аналіз ризиків використання інформаційних і телекомунікаційних систем у ВАТ "АКІБАНК"
2.1 Загальна характеристика ВАТ "АКІБАНК"
2.2 Аналіз управління ризиками у ВАТ "АКІБАНК"
3. Регулювання інформаційних та телекомунікаційних ризиків в системі управління операційним ризиком кредитних організацій
3.1. Методика управління ризиками, пов'язаними з використанням інформаційних і телекомунікаційних систем
3.2. Рекомендації щодо організації управління операційним ризиком
у ВАТ "АКІБАНК"
Висновок
Список використаної літератури
Введення
Що спостерігається в останні роки швидкий розвиток науково-технічного прогресу в області комп'ютерних і телекомунікаційних систем ставить перед кредитними організаціями нові завдання у сфері розвитку інформаційних технологій, забезпечення їх надійності та безпеки. Це обумовлено, в першу чергу, прагненням кредитних організацій задовольнити потреби клієнтів, що виникають з розвитком їх бізнесу, особливо, що переходить національні межі і вимагає здійснення широкого спектру банківських операцій з використанням інформаційних систем. Проведення операцій з використанням комп'ютерних технологій дозволяє кредитним організаціям створювати найбільш сприятливі умови для залучення нових клієнтів і підтримувати конкурентні переваги для вже існуючої клієнтської бази. Розвиток інформаційних систем дозволяє кредитним організаціям проводити операції як в інтересах самого банку, так і клієнтів [14].
В даний час кредитні організації економічно розвинених країн здійснюють широкий спектр банківських операцій з використанням інформаційних технологій. Виникає при цьому операційний ризик - це одна з нових проблем, з якою зіткнулася банківська система не тільки України і Російської Федерації, а й розвинених країн. В умовах сучасних фінансових ринків управління операційним ризиком стає важливим елементом надійності [31].
Актуальність теми дослідження полягає в тому, що регулювання ризику використання інформаційних і телекомунікаційних систем в даний час стає одним з найважливіших чинників забезпечення стабільності банківської системи Російської Федерації. Основною метою регулювання ризику використання інформаційних і телекомунікаційних систем є мінімізація його негативного впливу на результати діяльності кредитної організації. В даний час розробка систем оцінки та моніторингу операційного ризику знаходиться в початковій стадії, що не дає можливості органам нагляду затвердити положення, що зобов'язують дотримуватися конкретні методики оцінки або кількісні обмеження рівня ризику. Кредитні організації Російської Федерації тільки починають застосовувати інструменти регулювання даного ризику, що дозволяють будувати процес управління операційним ризиком в залежності від прийнятої в кредитній організації стратегії.
Мета роботи полягає у вивченні теоретичних та методологічних основ регулювання інформаційних та телекомунікаційних ризиків, їх оцінка, а також розробці рекомендацій для мінімізації негативного впливу операційних ризиків на результати діяльності ВАТ "АКІБАНК". Реалізація поставлених цілей передбачає вирішення таких основних завдань:
- Дослідити економічну сутність ризику, співвідношення зі спорідненими категоріями ("небезпека", "безпека"), виявити принципове значення безпеки як мети управління ризиком з позицій системного та нормативного підходів;
- Вивчити практику забезпечення безпеки інформаційних і телекомунікаційних систем кредитних організацій і визначити напрями її можливого застосування;
- Дослідити методологічні підходи до ідентифікації, визначення і контролю за операційним ризиком, виявити недоліки і дати рекомендації щодо подальшого вдосконалення;
- Визначити основні напрями регулювання операційного ризику;
- Обгрунтувати необхідність регулювання операційного ризику з метою реалізації завдань з підтримки стабільності банківської системи;
- Провести детальний аналіз методів та інструментів управління інформаційних та телекомунікаційних ризиком стосовно діяльності кредитної організації та контролюючих органів, розглянути їх особливості в умовах;
- Розробити методику організації контролю за станом ризику інформаційних і телекомунікаційних систем в кредитній організації.
Об'єкт і предмет дослідження. Об'єктом дослідження є ВАТ "АКІБАНК". Предметом дослідження є економічні та організаційні відносини, що виникають у процесі регулювання ризику використання інформаційних і телекомунікаційних систем кредитними організаціями.
В економічно і промислово розвинених країнах теорія і практика визначення, ведення та управління операційним ризиком, регулювання з боку контролюючих органів має порівняно молоду історію. У нашій країні інструменти регулювання операційного ризику в даний час не розроблені. Однак, існують рекомендації Базельського Комітету з нагляду за банківською діяльністю, в яких узагальнено досвід міжнародної банківської практики за визначенням, ведення та контролю за операційним ризиком [17].
Методологічною основою дослідження є праці вітчизняних і зарубіжних економістів, присвячені теорії та практиці банківської справи, а також загальноекономічним проблем. У процесі дослідження використовувався монографічний та статистичний матеріал, окремі розробки міжнародних фінансових організацій (в тому числі, Базельського комітету з банківського нагляду і регулювання), матеріали періодичної преси, законодавчі акти РФ і нормативні документи Банку Росії. В основі дослідження лежить діалектичний метод, що передбачає вивчення економічних явищ у їх постійному розвитку і взаємозв'язку. Застосовуються й такі методи дослідження як порівняльний, логічний і системний аналіз, зіставлення, узагальнення, синтез і інші методи пізнання суті явищ.
Вивченню аспектів банківського операційного ризику присвячені праці видатних економістів і фахівців банківської справи: Антипової ОН.; Геращенко В.В., Котьолкін СВ., Красавиной Л.М., Лаврушина О.І., Піскулова Д. Ю., Роуза П.С , Савінський Н.А., Севрук Вт, Симановского А. Ю., Соколінськой М.Е., Коха Т., Синки Дж. Ф., Тосунян Г.А. та ін У той же час комплексне вивчення проблем ідентифікації, аналізу і регулювання ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях, його ролі у забезпеченні стабільності банківської системи в умовах Російської Федерації до цих пір відсутня.
Все вищезазначене свідчить про необхідність теоретичного осмислення економічної сутності ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях і факторів його визначають; узагальнення наявного практичного досвіду і розробки методологічних рекомендацій з управління та контролю даного виду ризику і визначає актуальність обраної теми дослідження.
1. Банківські ризики, роль і місце ризику використання інформаційних і телекомунікаційних систем в кредитних організаціях РФ
1.1. Поняття і сутність ризику в кредитних організаціях.
Незважаючи на частої вживається терміна "ризик" у повсякденному житті і науці, універсальне визначення до теперішнього моменту відсутній, що не дозволяє проводити вивчення явищ або процесів, не виділивши предмета дослідження. У цьому параграфі зроблено спробу систематизувати існуючі трактування ризику в кредитних організаціях, вказати взаємозв'язок зі спорідненими категоріями і систематизувати дані для класифікації ризиків [7].
Походження терміна "ризик" в даний час визначити важко, в Західній Європі воно починає зустрічається у середньовічних джерелах, в основному, пов'язаних з мореплавством. Новолатінськой "risicum" увійшло у вжиток з кінця XV століття, при цьому в літературі з'являється пізніше: у тлумачних словниках приклади в області ризику відносяться до середини XVI століття в Англії. У сучасній термінології інтерпретація буде звучати як ймовірність шкоди, а розуміння проблеми ризику - як знаходження способу уникнути помилок при прийнятті рішень, що передбачають генезис збитку. У даному випадку поняття "ризик" розглядається як можливість настання небажаної події та / або кількісної міри такої події, є переважаючою в науці. Ризик обчислюється способом множення ймовірності події на збиток. Такого підходу дотримується більшість вітчизняних фахівців з аналізу природного і техногенного ризику. При цьому, усвідомлення того, що ризик є міра небезпеки - найважливіший крок у вирішенні проблеми управління ситуацією, в якій наявні потенційні фактори, здатні несприятливо впливати на людину, суспільство і природу [21].
Спільне визначення ризику дає Федеральний закон "Про технічне регулювання" [2]. Тут ризик розглядається як деяка імовірнісна категорія, асоційована з поняттям шкоди і відповідно з виникаючими фінансовими втратами.
Одна з найяскравіших сучасних тенденцій у банківській справі - перехід до електронного способу ведення бізнесу, кардинальним чином зраджує співвідношення між різними видами ризику, з якими стикаються банки. Серед таких особливо виділяється ризик використання інформаційних і телекомунікаційних систем.
Можна відзначити наступні основні риси, притаманні сфері електронних банківських послуг і надають важливий вплив на співвідношення окремих категорій банківського ризику:
- Вихід за межі окремих країн і за межі фінансового сектора в цілому, вимагає співпраці установ банківського нагляду з наглядовими органами інших країн і галузей;
- Сильна залежність від прогресу інформаційних та комунікаційних технологій, що призводить до різкого збільшення стратегічних та операційних ризиків;
- Динамічність розвитку, що відбивається в скороченні інноваційних циклів (з точки зору як фінансових інструментів, так і банківських технологій) і, отже, в підвищенні значення стратегічного ризику;
- Зростання орієнтованості на клієнтів у зв'язку зі зменшенням інформаційних асиметрій (нерівномірності розподілу інформації між банками та клієнтами), що веде до збільшення правового та репутаційного ризиків;
- Загострення конкуренції в банківському бізнесі, що несе за собою підвищення загального рівня системного ризику.
Поняття "оцінка ризиків інформаційної безпеки" (Information Security Risk Assessments) і "управління інформаційними ризиками" (Information Risk Management) з'явилися порівняно недавно, але вже міцно вкоренилися серед фахівців у галузі інформаційної безпеки, забезпечення безперервності бізнесу та управління якістю. У світовій практиці така оцінка застосовується для зниження ризиків управління, а точніше сказати, відповідальності персоналу за раптово виниклі проблеми. Загрози безпеці носять імовірнісний характер і змінюються в процесі життєдіяльності банку. Ідентифікуючи відповідні загрози, аналізуючи супутні ризики і беручи потім ефективні контрзаходи, вдається уникнути ризику, пом'якшити його, передати ризик третій особі у вигляді ефективної програми страхування [22].
Операційна діяльність банку на всьому протязі її здійснення пов'язана з численними ризиками, рівень яких зростає розширенням обсягу і диверсифікацією цієї діяльності, з прагненням менеджерів збільшити суму операційного прибутку. Ризики, що супроводжують цю діяльність, формують великий портфель ризиків банку, який визначається загальним поняттям - "операційні ризики". Ці ризики складають найбільш значиму частину сукупних господарських ризиків банку. Система класифікації операційних ризиків за основними ознаками приведена на малюнку 1.
Операційні ризики є об'єктивним явищем у діяльності будь-якого банку і виявляються як сукупність окремих видів ризиків. Види операційних ризиків дуже різноманітні, тому з метою ефективного управління ними ці ризики класифікують з різним ступенем їх інтеграції.
У системі операційних ризиків особливе місце займають інформаційні та телекомунікаційні ризики кредитних установ.
Інформаційні та телекомунікаційні ризики (IT-ризики) - це небезпека виникнення збитків або шкоди в результаті застосування банком інформаційних технологій. Іншими словами, IT-ризики пов'язані зі створенням, передачею, зберіганням та використанням інформації за допомогою електронних носіїв та інших засобів зв'язку.
SHAPE \ * MERGEFORMAT
Класифікація операційних ризиків |
За сферами операційної діяльності |
Комерційний ризик |
Систематичний ризик |
За ступенем залежності від діяльності |
Несистематичний ризик |
Валютний ризик |
За основними джерелами виникнення |
Інфляційний ризик |
Інші види ризиків |
Інформаційні та телекомунікаційні ризики |
Рис.1. Класифікація операційних ризиків
IT-ризики можна розділити на дві категорії:
- Ризики, викликані витоком інформації та використанням її конкурентами або співробітниками з метою, які можуть зашкодити бізнесу (інформаційні ризики);
- Ризики технічних збоїв роботи каналів передачі інформації (телекомунікаційні ризики), які можуть призвести до збитків.
Розглянемо спрощену структурну схему управління інформаційними ризиками банку (рис. 2). Стрілочками на схемі показані інформаційні та фінансові потоки.
Найважливіший елемент управління інформаційними ризиками - аудит безпеки. Існують різні методології такого аудиту, розроблені на основі стандартів. Як зазначалося вище, на підставі закону "Про технічне регулювання" ми маємо право застосовувати будь-які стандарти, в тому числі і зарубіжні. У Росії застосування вітчизняних стандартів спрощує багато процедур, пов'язані з сертифікацією та ліцензуванням по лінії Гостехкомиссии (нині ФСТЕК РФ) *.
При використанні стандартів різних виробників результати оцінки теж можуть виходити різними. У світовій практиці аналізу та управління ризиками основоположним вважається стандарт ISO 17799:2005 Code of practice for information security management ("Звід правил з управління інформаційною безпекою" - попередня версія ISO 17799:2000). Фактично цей стандарт є технологією управління інформаційною безпекою.
У 2007 р. Міжнародна організація по стандартизації планує включити даний стандарт в серію ISO 27000, що складається з шести стандартів інформаційної безпеки (за аналогією з іншими стандартами системи менеджменту якості ISO 9000). Тоді цей стандарт отримає нову назву - ISO 27002.
Точний переклад міжнародного стандарту, в цілому несе велике смислове навантаження, визначальну найважливіші аспекти інформаційної безпеки для будь-якої організації, незалежно від її масштабу і роду діяльності наведено в табл.1.
Таблиця 1
Стандарт ISO 17799:2005Стандарт ISO 17799:2005 Code of practice for information security management містить 11 пунктів.1. Політика безпеки 2. Організація інформаційної безпеки: · Управління безпекою внутрішньої інфраструктури організації · Управління безпекою при доступі зовнішніх користувачів 3. Управління інформаційними ресурсами: · Відповідальність за ресурси · Класифікація ресурсів 4. Управління персоналом: · Питання безпеки при прийомі на роботу · Питання безпеки при роботі персоналу в штаті компанії · Питання безпеки при звільненні з роботи |
Продовження таблиці 1
| 5. Фізична та екологічна безпека: · Області безпеки · Безпека обладнання 6. Управління комунікаціями і операціями: · Робочі процедури і відповідальність · Управління передачею інформації третім особам · Системне планування і прийняття рішень · Захист від зловмисного програмного забезпечення · Резервне копіювання · Управління мережевою безпекою · Транспортування носіїв інформації · Обмін інформацією · Обслуговування електронної комерції · Моніторинг 7. Керування доступом: · Бізнес-вимоги для контролю доступу · Управління доступом користувача · Відповідальність користувачів · Контроль і керування мережевим (віддаленим) доступом · Контроль доступу до операційних систем · Контроль і керування доступом до програм та інформації · Мобільні користувачі та телекомунікації 8. Придбання, розробка та підтримка інформаційних систем: · Вимоги щодо безпеки інформаційних систем · Правильна робота додатків · Криптографія · Безпека системних файлів · Безпека розробки та підтримки процесів · Технічна безпека управління 9. Управління інцидентами інформаційної безпеки: · Повідомлення про недоліки інформаційної безпеки · Управління інцидентами інформаційної безпеки та їх усуненням 10. Управління безперервністю бізнесу: · Управління аспектами інформаційної безпеки для забезпечення безперервності бізнесу 11. Погодження: · Відповідність вимогам законодавства · Відповідність політикам безпеки і стандартам та технічне узгодження · Аналіз аудиту інформаційних систем |
У попередній версії стандарту (ISO 17799:2000) було 10 пунктів. Розробники нової версії виділили "Управління інцидентами інформаційної безпеки" в окремий пункт зважаючи на високу важливість цього питання [8].
Аналіз інформаційних ризиків незалежно від обраних стандартів можна подати як певний сценарій або алгоритм дій, спрямований на збір та узагальнення інформації про досліджувану систему (рис. 3).
На першому та другому етапах аналізу ризиків складається перелік найбільш критичною і конфіденційної інформації. Третій етап - побудова схем каналів доступу, через які може виконуватися несанкціоноване вплив на інформацію (наприклад, встановлені у користувача факс-модем або адаптер Bluetooth для з'єднання з ноутбуком чи мобільним телефоном).
Четвертий етап передбачає аналіз способів захисту всіх можливих точок атак; його результатом має стати характеристика всіх передбачуваних вразливостей в обороні, в тому числі з урахуванням несприятливих обставин. На п'ятому етапі, виходячи з накопиченої інформації про всі можливі способи і засоби подолання захисту, визначають ймовірності реалізації загроз для кожної з можливих точок атак.
На заключному етапі проводиться оцінка збитку організації у разі реалізації кожної з загроз.
Різноманіття видів ризиків, які супроводжують операційну діяльність банку, зумовлює необхідність постійного управління ними, яке розглядається як невід'ємна складова частина всієї системи управління операційним прибутком. Комплексне управління цими показниками обумовлено високим ступенем зв'язку між рівнем операційного прибутку і рівнем операційних ризиків, яка носить прямий характер [1].
Управління операційними ризиками являє собою систему заходів щодо їх ідентифікації, оцінки, профілактики та страхування з метою мінімізації пов'язаних з ними фінансових втрат у процесі операційної діяльності банку.
Угруповання операцій банку за рівнем ризику дозволяє визначити які з них знаходяться за межами рівня допустимого ризику (особливо в зоні катастрофічного ризику) з тим, щоб ще раз зважити доцільність їх проведення.
Внутрішніми і зовнішніми чинниками (причинами) операційного ризику є:
- Випадкові або навмисні дії фізичних і (або) юридичних осіб, спрямовані проти інтересів кредитної організації;
- Недосконалість організаційної структури кредитної організації в частині розподілу повноважень підрозділів і службовців, порядків і процедур здійснення банківських операцій та інших угод, їх документування та відображення в обліку, недотримання службовцями встановлених порядків і процедур, неефективність внутрішнього контролю;
- Збої у функціонуванні систем та обладнання;
- Несприятливі зовнішні обставини, що знаходяться поза контролем кредитної організації.
Управління операційним ризиком входить до системи управління ризиками кредитної організації.
1.2 Управління банківськими ризиками
Необхідність управління інформаційними і телекомунікаційними ризиками (IT-ризиками) визначається значним розміром можливих операційних збитків, які можуть створювати загрозу фінансової стійкості кредитної організації.
Управління ризиками розглядається нами на адміністративному рівні інформаційної безпеки, оскільки тільки керівництво організації здатне виділити необхідні ресурси, ініціювати і контролювати виконання відповідних програм [19].
Використання інформаційних систем пов'язане з певною сукупністю ризиків. Коли можливий збиток неприйнятно великий, необхідно прийняти економічно виправдані заходи захисту. Періодична (пере) оцінка ризиків необхідна для контролю ефективності діяльності в області безпеки і для врахування змін обстановки.
З кількісної точки зору рівень ризику є функцією вірогідності реалізації певної загрози (що використовує деякі вразливі місця), а також величини можливого збитку.
Таким чином, суть заходів з управління ризиками полягає в тому, щоб оцінити їх розмір, виробити ефективні і економічні заходи зниження ризиків, а потім переконатися, що ризики поміщені в прийнятні рамки (і залишаються такими). Отже, управління ризиками включає два види діяльності, які чергуються циклічно:
- (Пере) оцінка (вимірювання) ризиків;
- Вибір ефективних і економічних захисних засобів (нейтралізація ризиків).
По відношенню до виявлених ризиків можливі наступні дії:
- Ліквідація ризику (наприклад, за рахунок усунення причини);
- Зменшення ризику (наприклад, за рахунок використання додаткових захисних засобів);
- Прийняття ризику (і вироблення плану дії у відповідних умовах);
- Переадресація ризику (наприклад, шляхом укладення страхової угоди).
Процес управління ризиками можна розділити на наступні етапи наведені на малюнку 4.
SHAPE \ * MERGEFORMAT
Етапи |
5.Оценка ризиків |
7.Реалізація і перевірка вибраних заходів |
6.Вибор захисних заходів |
8.Оцінка залишкового ризику |
1.Вибор аналізованих об'єктів |
3.Ідентіфікація активів |
4.Аналіз загроз та їх наслідків |
2.Вибор методології оцінки ризиків |
Рис.4 Етапи управління ризиками
Вже перерахування етапів показує, що управління ризиками - процес циклічний. По суті, останній етап - це оператор кінця циклу, що приписує повернутися до початку. Ризики потрібно контролювати постійно, періодично проводячи їх переоцінку. Відзначимо, що сумлінно виконана і ретельно документована перша оцінка може істотно спростити подальшу діяльність.
Управління ризиками, як і будь-яку іншу діяльність у галузі інформаційної безпеки, необхідно інтегрувати в життєвий цикл інформаційної системи. Тоді ефект виявляється найбільшим, а витрати - мінімальними. Раніше ми визначили чотири етапів життєвого циклу. Коротко опишемо, що може дати управління ризиками на кожному з них.
На етапі ініціації відомі ризики слід врахувати при виробленні вимог до системи взагалі і засобів безпеки зокрема.
На етапі закупівлі (розробки) знання ризиків допоможе вибрати відповідні архітектурні рішення, які грають ключову роль у забезпеченні безпеки.
На етапі встановлення виявлені ризики слід враховувати при конфігуруванні, тестуванні і перевірці раніше сформульованих вимог, а повний цикл управління ризиками повинен передувати впровадженню системи в експлуатацію.
На етапі експлуатації управління ризиками має супроводжувати всі істотні зміни в системі.
При виведенні системи з експлуатації управління ризиками допомагає переконатися в тому, що міграція даних відбувається безпечним чином.
Підготовчі етапи управління ризиками.
Вибір аналізованих об'єктів і рівня деталізації їх розгляду - перший крок в оцінці ризиків. Для невеликої організації допустимо розглядати всю інформаційну інфраструктуру, а проте якщо організація крупна, всеосяжна оцінка може зажадати неприйнятних витрат часу і сил. У такому випадку слід зосередитися на найбільш важливих сервісах, заздалегідь погоджуючись з наближеністю підсумкової оцінки. Якщо важливих сервісів все ще багато, вибираються ті з них, ризики для яких свідомо великі чи невідомі [4].
Ми вже вказували на доцільність створення карти інформаційної системи організації. Для управління ризиками подібна карта особливо важлива, оскільки вона наочно показує, які сервіси обрані для аналізу, а якими довелося знехтувати. Якщо інформаційна система змінюється, а карта підтримується в актуальному стані, то при переоцінці ризиків відразу стане ясно, які нові або істотно змінилися сервіси потребують розгляду.
Взагалі кажучи, уразливим є кожен компонент інформаційної системи - від мережевого кабелю, який можуть прогризти миші, до бази даних, яка може бути зруйнована через невмілих дій адміністратора. Як правило, у сферу аналізу неможливо включити кожен гвинтик і кожен байт.
Дуже важливо вибрати розумну методологію оцінки ризиків. Метою оцінки є одержання відповіді на два питання: прийнятні чи існуючі ризики, і якщо ні, то які захисні засоби варто використовувати. Значить, оцінка повинна бути кількісною, допускає зіставлення із заздалегідь вибраними межами допустимості і витратами на реалізацію нових регуляторів безпеки. Управління ризиками - типова оптимізаційна задача, і існує досить багато програмних продуктів, здатних допомогти в її вирішенні (іноді подібні продукти просто додаються до книг з інформаційної безпеки) [18].
При ідентифікації активів, тобто тих ресурсів і цінностей, які організація намагається захистити, слід, звичайно, враховувати не тільки компоненти інформаційної системи, але і підтримуючу інфраструктуру, персонал, а також нематеріальні цінності, такі як репутація організації. Відправною точкою тут є уявлення про місію організації, тобто про основні напрямки діяльності, які бажано (або необхідно) зберегти в будь-якому випадку.
Одним з головних результатів процесу ідентифікації активів є отримання детальної інформаційної структури організації і способів її (структури) використання. Ці відомості доцільно нанести на карту інформаційної системи як грані відповідних об'єктів.
Інформаційною основою скільки-небудь великої організації є мережа, тому в число апаратних активів слід включити комп'ютери (сервери, робочі станції, ПК), периферійні пристрої, зовнішні інтерфейси, кабельне господарство, активне мережеве обладнання (мости, маршрутизатори і т.п.). До програмних активів, ймовірно, будуть віднесені операційні системи (мережева, серверні та клієнтські), прикладне програмне забезпечення, інструментальні засоби, засоби управління мережею і окремими системами. Важливо зафіксувати, де (у яких вузлах мережі) зберігається програмне забезпечення, і з яких вузлів воно використовується. Третім видом інформаційних активів є дані, які зберігаються, обробляються і передаються по мережі. Слід класифікувати дані за типами і ступеня конфіденційності, виявити місця їх зберігання і обробки, способи доступу до них. Все це важливо для оцінки наслідків порушень інформаційної безпеки.
Основні етапи управління ризиками.
Етапи, попередні аналізу загроз, можна вважати підготовчими, оскільки, строго кажучи, вони напряму з ризиками не пов'язані. Ризик з'являється там, де є загрози.
Короткий перелік найбільш поширених загроз був розглянутий нами раніше. На жаль, на практиці загроз набагато більше, причому далеко не всі з них носять комп'ютерний характер. Так, цілком реальною загрозою є наявність мишей і тарганів у займаних організацією приміщеннях. Перші можуть пошкодити кабелі, друге викликати коротке замикання. Як правило, наявність тієї чи іншої загрози є наслідком прогалин у захисті інформаційної системи, які, у свою чергу, пояснюються відсутністю деяких сервісів безпеки або недоліками в реалізують їх захисних механізмах. Небезпека прогризанія кабелів виникає не просто там, де є миші, вона пов'язана з відсутністю або недостатньою міцністю захисної оболонки.
Перший крок в аналізі загроз - їх ідентифікація. Розглянуті види загроз варто вибирати виходячи з міркувань здорового глузду (виключивши, наприклад, землетрусу, проте не забуваючи про можливість захоплення організації терористами), але в межах обраних видів провести максимально детальний аналіз.
Доцільно виявляти не тільки самі загрози, але й джерела їх виникнення - це допоможе у виборі додаткових засобів захисту. Наприклад, нелегальний вхід в систему може стати наслідком відтворення початкового діалогу, підбору пароля або підключення до мережі неавторизованого устаткування. Очевидно, для протидії кожному з перерахованих способів нелегального входу потрібні свої механізми безпеки.
Після ідентифікації загрози необхідно оцінити вірогідність її здійснення. Допустимо використовувати при цьому трибальною шкалою (низька (1), середня (2) і висока (3) ймовірність).
Крім імовірності здійснення, важливий розмір потенційного збитку. Наприклад, пожежі бувають нечасто, але збиток від кожного з них, як правило, великий. Тяжкість збитку також можна оцінити за трибальною шкалою.
Після того, як накопичені вихідні дані та оцінено ступінь невизначеності, можна переходити до обробки інформації, тобто власне до оцінки ризиків. Цілком допустимо застосувати такий простий метод, як множення вірогідності здійснення загрози на передбачуваний збиток. Якщо для вірогідності і збитку використовувати трибальною шкалою, то можливі творів буде шість: 1, 2, 3, 4, 6 і 9. Перші два результати можна віднести до низького ризику, третій і четвертий - до середнього, два останні - до високого, після чого з'являється можливість знову привести їх до трибальною шкалою. За цією шкалою і слід оцінювати прийнятність ризиків. Правда, граничні випадки, коли обчислена величина співпала з прийнятною, доцільно розглядати ретельніше через наближеного характеру результату.
Якщо будь-які ризики опинилися неприпустимо високими, необхідно їх нейтралізувати, реалізувавши додаткові заходи захисту. Як правило, для ліквідації або нейтралізації вразливого місця, яка зробила загрозу реальною, існує декілька механізмів безпеки, різних по ефективності і вартості. Наприклад, якщо велика ймовірність нелегального входу в систему, можна вимагати, щоб користувачі вибирали довгі паролі (скажімо, не менше восьми символів), задіяти програму генерації паролів або закупити інтегровану систему аутентифікації на основі інтелектуальних карт. Якщо є ймовірність умисного пошкодження сервера баз даних, що може мати серйозні наслідки, можна врізати замок у двері серверної кімнати або поставити біля кожного сервера по охоронцеві.
Оцінюючи вартість заходів захисту, доводиться, зрозуміло, враховувати не тільки прямі витрати на закупівлю обладнання та / або програм, а й витрати на впровадження новинки і, зокрема, навчання та перепідготовку персоналу. Цю вартість також можна оцінити за трибальною шкалою і потім порівняти її з різницею між обчисленим і допустимим ризиком. Якщо за цим показником новий засіб виявляється економічно вигідним, його можна взяти на замітку (відповідних коштів, ймовірно, буде декілька). Проте якщо засіб виявиться дорогим, його не слід відразу відкидати, пам'ятаючи про наближеності розрахунків.
Важливою обставиною є сумісність нового засобу з ситуацією, організаційної та апаратно-програмної структурою, з традиціями організації. Заходи безпеки, як правило, носять недружній характер, що може негативно позначитися на ентузіазмі співробітників. Часом збереження духу відкритості важливіше мінімізації матеріальних втрат. Втім, такого роду орієнтири повинні бути розставлені в політиці безпеки верхнього рівня [15].
Як і всяку іншу діяльність, реалізацію та перевірку нових регуляторів безпеки слід заздалегідь планувати. У плані необхідно врахувати наявність фінансових коштів і терміни навчання персоналу. Якщо мова йде про програмно-технічному механізмі захисту, потрібно скласти план тестування (автономного та комплексного).
Коли намічені міри прийняті, необхідно перевірити їх дієвість, тобто переконатися, що залишкові ризики стали прийнятними. Якщо це насправді так, значить, можна спокійно намічати дату найближчої переоцінки. В іншому випадку доведеться проаналізувати допущені помилки і провести повторний сеанс управління ризиками негайно.
Мінімізація IT-ризику передбачає здійснення комплексу заходів, спрямованих на зниження ймовірності настання подій або обставин, які призводять до операційних збитків, і на зменшення розміру потенційних операційних збитків. Методи мінімізації IT-ризику рекомендується застосовувати з урахуванням характеру і масштабів діяльності кредитної організації.
У відношенні контролю за операційним ризиком найбільш важливим є:
- Контроль за дотриманням встановлених лімітів по проведених банківських операцій та інших операцій;
- Дотримання встановленого порядку доступу до інформації та матеріальних активів банку;
- Належна підготовка персоналу;
- Регулярна вивірка первинних документів і рахунків по проведених банківських операцій та інших операцій.
Зниженню операційного ризику може сприяти розвиток систем автоматизації банківських технологій та захисту інформації. При цьому кредитної організації рекомендується брати до уваги можливу трансформацію операційного ризику: при ручній (неавтоматизованої) обробці існує висока ймовірність настання події, що призводить до збитків (наприклад, помилка при введенні даних), а величина потенційних збитків - невелика або помірна, в той час як з підвищенням рівня автоматизації ймовірність настання події, що призводить до збитків, знижується, але величина потенційних збитків може бути досить значною (наприклад, помилка в програмному забезпеченні або системний збій) [26].
Зниження рівня окремих видів операційного ризику може бути здійснено шляхом передачі ризику або його частини третім особам.
Рішення про використання механізмів передачі ризику (наприклад, аутсорсингу - залучення спеціалізованої сторонньої організації для виконання окремих видів робіт) рекомендується приймати за результатами ретельного аналізу з урахуванням очікуваного ефекту, вартості і можливості трансформації одного виду ризику в іншій. Кредитної організації рекомендується поряд з контролем за рівнем залишкового ризику зберігати можливість контролю за розміром переданого операційного ризику.
При застосуванні аутсорсингу рекомендується звернути увагу на те, що в цьому випадку кредитна організація несе відповідальність не тільки за кінцевий результат діяльності, але і за спосіб його досягнення, тому доцільно встановити контроль за рівнем надійності, якості та дотриманням законодавства Російської Федерації при наданні послуг.
Аутсорсинг рекомендується здійснювати на основі договорів, які передбачають розподіл прав, обов'язків і відповідальності між кредитною організацією та постачальником послуг. Кредитної організації рекомендується передбачити у внутрішніх документах порядок регулювання ризиків, пов'язаних з аутсорсингом, в тому числі ризику відмови в обслуговуванні [23].
Зменшення фінансових наслідків операційного ризику (аж до повного покриття потенційних операційних збитків) можливе за допомогою страхування. З використанням традиційних видів майнового та особистого страхування кредитними організаціями можуть бути застраховані носії інформації та сама інформація - на випадок втрати.
Страхування може бути використано і щодо специфічних банківських ризиків як на комплексній основі (поліс комплексного банківського страхування), так і стосовно окремих видів ризиків (наприклад, страхування ризиків, пов'язаних з емісією та обігом платіжних карт, страхування професійної відповідальності службовців кредитної організації, страхування збитку від злочинів у сфері комп'ютерної інформації).
Захист інформації - це забезпечення безперервності внутрішніх бізнес-процесів та безпеки обміну даними з клієнтами при використанні інформаційних систем. На випадок виникнення надзвичайних ситуацій, таких як атаки на основний сервер або збої в його роботі, журнал транзакцій періодично копіюється на резервний сервер, що знаходиться в іншому приміщенні, тому максимальний обсяг інформації-це дані за останню годину роботи.
Таким чином, до інформаційних і телекомунікаційних ризиків (IT-ризиків) відносяться втрата даних через збій в роботі інформаційних систем, розкрадання інформації, а також передача інформації третім особам співробітниками банку. Робота з мінімізації таких ризиків ділиться на організаційну і технічну. Організаційні заходи пов'язані з обмеженням доступу до даних. Для цього вся інформація класифікується на загальнодоступну, для службового користування і таємну.
У результаті виходить матриця інформаційних потоків, кожному рівню якої відповідає певний рівень доступу.
2. Оцінка і аналіз ризиків використання інформаційних і телекомунікаційних систем у ВАТ "АКІБАНК"
2.1 Загальна характеристика ВАТ "АКІБАНК"
Акціонерний комерційний іпотечний банк "АКІБАНК" (відкрите акціонерне товариство) зареєстрований в Центральному Банку Російської Федерації 25 листопада 1993 року, ліцензія № 2587. ВАТ "АКІБАНК" включений до реєстру банків - учасників системи обов'язкового страхування вкладів під номером 237.
Найменування - акціонерний комерційний іпотечний банк "АКІБАНК" (відкрите акціонерне товариство)
Ліцензія на здійснення банківських операцій № 2587 від 10.11.2002г:
Залучення грошових коштів юридичних осіб у вклади (до запитання і на певний строк) [10].
Загальна характеристика та організаційна структура Банку представлена на рис.5.
УСК УСМБ УЧЛ УОДБ
Рис. 5 Структура управління ВАТ "АКІБАНК"
УСК - управління по обслуговуванню стратегічних клієнтів;
УСМБ - управління з обслуговування клієнтів середнього та малого бізнесу;
УЧЛ - управління з обслуговування приватних осіб;
УОДБ - управління по забезпеченню діяльності банку.
Місія ВАТ "АКІБАНК" полягає у сприянні економічному розвитку та добробуту співтовариств, що обслуговуються банком, шляхом подання громадянам і підприємствам якісних банківських послуг, які відповідають високим професійним та етичним стандартам, забезпечення справедливої і відповідного прибутку акціонерам банку та справедливого ставлення до співробітників банку.
Місія банку полягає їх 3 основних елементів:
1. Надання якісних банківських послуг клієнтам;
2.Обеспеченіе справедливого прибутку акціонерам ВАТ "АКІБАНК";
3. Справедливе ставлення до співробітників ВАТ "АКІБАНК";
Стратегічні цілі ВАТ "АКІБАНК", поставлені акціонерами, встановлені на такому рівні, що їх досягнення неможливе без виконання Місії. Тому досягнення стратегічних цілей банком буде свідчити про виконання ним Місії
АКІБАНК - універсальний комерційний банк із стійкою динамікою зростання основних фінансових показників. Розмір статутного капіталу на 1 січня 2007 року склав 969,3 млн. руб., Капітал банку - 1111,3 млн. руб., Активи - 9231,5 млн. руб.
Підсумки діяльності ВАТ "АКІБАНК" в 2006 році знову підтверджують репутацію успішної, що динамічно розвивається, орієнтованої на просування сучасних банківських послуг, що дозволяють клієнтам банку підвищити ефективність бізнесу і якість життя.
Загальне збільшення ефективності роботи Банку у звітному році позитивно відбилося на фінансові та операційні результати. Як і в попередні роки, в 2006 році простежувалася чітка тенденція зростання основних показників, що наведена на малюнку 6.
Рис. 6 Тенденція зростання основних показників.
Акціонерами банку є організації різних форм власності, що мають стабільний дохід і стійке фінансове становище. Серед них ВАТ "Татенерго", ТОВ "Страхова група" АСКО ", ТОВ" АССА ", ТОВ ТПК" Камські автомобілі ", ВАТ" Генеруюча компанія ", ВАТ" Мережева компанія ".
Основну частку активних операцій ВАТ "АКІБАНК" становить кредитування "реального сектора" економіки Російської Федерації. За обсягами виданих кредитів банк входить у першу п'ятірку діючих кредитних організацій республіки. ВАТ "АКІБАНК" знаходиться в трійці регіональних лідерів зі зростання обсягів виданих кредитів суб'єктам малого бізнесу та індивідуальним підприємцям.
Статутний капітал банку становить 969 296 тис. руб. За цим показником ВАТ "АКІБАНК" впевнено входить до числа 200 найбільших кредитних організацій Росії. За 2004-2005 роки здійснено три випуски акцій банку на загальну суму 544 млн. руб. Готовність акціонерів вкладати гроші в акції банку свідчить про його надійність і стабільності. Планується нарощування статутного капіталу банку до двох млрд. рублів. Збільшення власного капіталу дозволить банку збільшити масштаби бізнесу, продовжити розвиток мережі філій, удосконалювати старі й запроваджувати нові послуги.
Результати діяльності Банку у звітному році переконливо демонструють його фінансову стабільність і поступальне зростання. У 2006 році ВАТ "АКІБАНК" істотно поліпшив показники по валюті балансу, активів, кредитних вкладеннях і залучених ресурсів, що є свідченням правильності обраної стратегії розвитку Банку [28].
Зростання валюти балансу на 46% багато в чому визначається аналогічним зростанням кредитного портфеля на 47%. Кредитування залишається основним напрямком розміщення коштів, що приносить близько половини доходів банку. За 2006 рік було видано кредитів на суму 21 745 млн. рублів, що на 19,8% більше,
ніж у 2005р. На фінансування реального сектору економіки направлено понад 4 400 млн. рублів, що склало більше 20% від всіх виданих кредитів протягом звітного року. Підприємствам малого бізнесу (підприємства
та індивідуальні підприємці) було надано в різних формах запозичення 128,4 млн. рублів. Основні галузі кредитування - це підприємства сільського господарства, промисловості, електроенергетики, харчової промисловості, торгівлі, будівельної галузі, лізингові фірми. Обсяг позик, виданих фізичним особам за 2006 рік, склав 1 956 млн. рублів.
Рис.7 Структура кредитного портфеля Банку
У звітному періоді на збільшення резервів спрямовані значні кошти - 60,8 млн. руб. З одного боку, це стало результатом цілеспрямованої роботи банку з мінімізації приймаються банком кредитних ризиків, з іншого - збільшенням кредитних вкладень. Частка створених резервів у загальних кредитних вкладеннях на 01.01.2007р. склала 2,1%.
Позитивним фактором є і збільшення активів у порівнянні з початком року майже на 50%. Значне збільшення активів пов'язане, в першу чергу, із зростанням ресурсної бази, що стався за рахунок збільшення обсягу залучених коштів (табл. 2).
Основним джерелом залучених коштів були кошти клієнтів. Найбільш суттєвий приріст (68%) стався за сумою залишків на розрахункових рахунках, яка на 01.01.2007 р. досягла 3705,8 млн. рублів.
Депозити юридичних і фізичних осіб зросли за рік на 20% і склали 40% у структурі залучених коштів. Досить показовим є стабільне зростання обсягів коштів населення у вклади Банку. Цей показник за звітний рік став більше на 31%, склавши 1783,5 млн. рублів.
Структура залучених коштів на 01.01.2007р.
Таблиця 2
| Показник | на 01.01.07 (в тис. грн.) | % Від суми залучених коштів |
| Залишки на розрахункових рахунках | 3 705 828 | 46,1% |
| Депозити фізичних осіб | 1 783 484 | 22,2% |
| Депозити юридичних осіб | 1 417 645 | 17,6% |
| Випущені боргові зобов'язання | 1 130 097 | 14,1% |
| Разом | 8 037 054 | 100% |
Частка працюючих активів у середньому по року становила 80%, що свідчить про ефективне використання залучених коштів.
Власний капітал банку з початку року збільшився на 130 млн. рублів або на 13,3%. У липні 2006 р. Банк провів емісію статутного капіталу на 83,8 млн. рублів за рахунок капіталізації власних коштів (нерозподіленого прибутку за 2005рік) і на 01.01.2007 статутний капітал банку склав 969,3 млн. рублів Рентабельність статутного капіталу за 2006 рік досяг рівня 20,7% (при рівні інфляції 8-10%), рентабельність власних коштів (капіталу) Банку склала 18%, і це свідчить про високу прибутковості здійснюваних операцій, які наведені в табл. 3.
Показники фінансово-економічної діяльності в динаміці
Таблиця 3
| Показники | 2004 (В тис. крб.) | 2005 (В тис. крб.) | 2006 (В тис. крб.) |
| Статутний капітал | 825 500 | 885 500 | 969 296 |
| Власні кошти (капітал) | 886 663 | 980 954 | 1 111 336 |
| Балансова прибуток | 97 371 | 195 225 | 200 371 |
| Рентабельність капіталу (%) | 11,0 | 19,9 | 18,0 |
| Рентабельність активів (%) | 2,3 | 3,1 | 2,2 |
| Валюта балансу | 4 998 269 | 7 199 021 | 10 504 539 |
| Активи | 4 211 732 | 6 275 211 | 9 231 502 |
| Доходи | 826 811 | 1 438 819 | 1 903 814 |
| Кредитний портфель | 2 995 580 | 4 749 140 | 6 990 633 |
| Кількість розрахункових рахунків | 4 555 | 6 023 | 7 180 |
| Залучені кошти | 3 198 744 | 5 229 512 | 8 037 054 |
Національні проекти
Таблиця 4
| Назва підприємства | Назва проекту | Вартість проекту, (т. н.) | Сума кредиту (т.р.) | Термін окупності |
| ТОВ "Челни-Бройлер | Реконструкція птахофабрики | 988 310 | 244 716 | 4 роки 9 міс. |
| ТОВ "Камський Бекон" | Будівництво комплексу по вирощуванню свиней | 2 031 500 | 512 360 | 6,5 років |
| ТОВ "Камські" Автомобілі | Будівництво житла | 305 000 | 181 100 | 1,2 року |
| ТОВ "Магнолія-С" | Будівництво житла | 107 963 | 93 000 | 7 місяців |
| ТОВ "Грань" | Будівництво житла | 167 000 | 10 900 | 11 місяців |
| ЗАТ "Татнефтегаз-Будінвест" | Будівництво комплексу житлових будинків з плавальним басейном | 159 500 | 47 102 | 2 роки |
| Разом | 3 759 273 | 1 075 018 |
Показники по наданню послуг приватним особам.
Таблиця 5
| Найменування показника | на 01.01.2007 р. | Зростання з початку року |
| Прийом платежів | 3566 млн. руб. | 26% |
| Грошові перекази | 1 023 млн. руб. | 17% |
| Випуск банківських карт | 175 294 штук | 22% |
| Обсяг вкладів | 1 783 млн. руб. | 31% |
| Кредитний портфель | 1435337 млн. руб. | 91% |
| Доходи | 141 899 тис.руб. | 63% |
Рис. 8 Динаміка зростання обслуговування банківських карток
Структура кредитного портфеля
Кредити, видані юридичним особам
Рис.9 Структура кредитного портфеля Банку
Політика управління персоналом заснована на місії ВАТ "АКІБАНК", метою якої є забезпечення прибутку акціонерам за допомогою надання високоякісних послуг клієнтам банку. Наше бачення системи управління персоналом визначається бізнес-стратегією Банку, націлене на забезпечення та розвиток його конкурентних переваг [32].
Успіх ВАТ "АКІБАНК" забезпечує його персонал. Партнерські стосунки всередині колективу, соціальна відповідальність і справедливість, заохочення ініціативи і дотримання високих професійних стандартів у роботі з персоналом є запорукою нашого спільного добробуту й процвітання.
Корпоративна політика в галузі управління персоналом у 2006 році була спрямована на досягнення наступних цілей:
• підвищення результативності праці;
• створення ефективної системи оплати праці і мотивації співробітників;
• розвиток системи оцінки, навчання та розвитку персоналу;
• формування кадрового потенціалу, адекватного потребам Банку;
• підтримку організаційного порядку.
Впровадження нової системи оплати праці і мотивації співробітників, дозволило створити ефективну систему загальної винагороди, метою якої є привернути, утримати і мотивувати співробітників, чия кваліфікація і результативність забезпечать успішне виконання Банком своєї місії та досягнення бізнес-цілей.
При задоволенні потреб в персоналі певного якості Банк, перш за все, орієнтується на розвиток необхідних навичок та компетенцій у своїх співробітників.
Необхідний рівень професійної компетентності співробітників підтримувався і розвивався системою навчання та підвищення кваліфікації (рис.10). У 2006 році на навчання і розвиток персоналу було витрачено 0,7 млн. руб. У 2007 році корпоративна система навчання та розвитку персоналу буде грунтуватися на стратегічних потребах бізнесу, бізнес-плани та посадових вимогах.
З метою управління лояльністю співробітників у звітному році було прийнято рішення встановлювати щомісячну доплату за безперервний стаж роботи у ВАТ "АКІБАНК". Для забезпечення безперервності і наступності управління розроблено і впроваджено механізм формування внутрішнього кадрового резерву на заміщення посад Банку.
Організаційний порядок є основою діяльності Банку і досягається через безумовне виконання співробітниками вимог "Правил внутрішнього трудового розпорядку ВАТ" АКІБАНК ".
Рис. 10 Структура персоналу за рівнем освіти
З метою розширення зони обслуговування клієнтів відкриті філії у всіх промислово-розвинених районах Республіки Татарстан: у містах Казань (Північно-західний промисловий район), Алмет'евськ (Закамье), Нижньокамськ (Північно-східний регіон РТ). Починаючи з 2003 р. банк розширив сферу свого впливу за межі Республіки, відкривши філії в Москві і Воронежі. В кінці 2004 року зареєстровано філію в Уфі.
Сьогодні банк обслуговує понад 7000 клієнтів - юридичних осіб понад 300000 вкладників. Щорічно більше тисячі підприємств різних форм власності та підприємців відкривають рахунки в банку. ВАТ "АКІБАНК" входить в рейтинги найбільших банків Росії, має кілька професійних премій - знак визнання гідного внеску у розвиток фінансової системи країни.
Зважена політика, заснована на точному аналізі ринкової ситуації і довгостроковому прогнозі, знання поточних тенденцій дозволяють банку зберігати стабільність і динамічно розвиватися.
Уважне і оперативне обслуговування клієнтів, максимальне задоволення їхніх потреб у банківських продуктах високої якості є основою клієнтської політики банку.
Протягом багатьох років банк займається благодійною і спонсорською діяльністю, допомагаючи вирішувати найрізноманітніші соціальні проблеми. ВАТ "АКІБАНК" багато робить для підтримки талановитої молоді.
ВАТ "АКІБАНК" сьогодні ставить перед собою нові масштабні завдання по збільшенню обсягів та розширенню діяльності. Банк планує суттєво збільшити статутний капітал за рахунок додаткової емісії акцій. У складі його акціонерів з'явиться іноземний інвестор. Це дозволить АКІБАНКу залучити додаткові фінансові ресурси та ще активніше розвивати програми кредитування малого, середнього бізнесу, населення, а також удосконалювати бізнес - процеси, впроваджувати високотехнологічні послуги. І це ще більше підвищить конкурентоспроможність банку.
Стратегією розвитку ВАТ "АКІБАНК" передбачено значне збільшення обсягів роздрібного бізнесу. Для досягнення поставлених цілей планується зміцнення позицій Банку в існуючих регіонах присутності, а також географічне розширення за рахунок нових регіонів. Передбачається географічне розширення точок продажів роздрібних продуктів за рахунок відкриття представництв і кредитно-касових офісів
у великих містах Російської Федерації.
Буде відкрито 7 додаткових офісів, придбано 18 банкоматів і 60 POS-терміналів по містах присутності Банку.
Акціонерний комерційний іпотечний банк "АКІБАНК" (відкрите акціонерне товариство) зареєстрований 25.11.1993 року, реєстраційний номер № 2587. Адреса: м. Набережні Челни, пр. Миру, д.88 а.
2.2 Аналіз управління ризиками у ВАТ "АКІБАНК"
У ВАТ "АКІБАНК" створена ефективна система управління рівнем усіх видів ризиків, які супроводжують його діяльність.
Метою системи управління ризиками є підтримання прийнятого на себе Банком сукупного ризику на рівні, визначеному Банком відповідно до власними стратегічними завданнями. Пріоритетним є забезпечення максимальної схоронності активів та капіталу на основі мінімізації схильності до ризиків, які можуть призвести до несподіваних втрат.
Стратегія управління ризиками ВАТ "АКІБАНК" базується на дотриманні принципу беззбитковості діяльності та спрямована на забезпечення оптимального співвідношення між прибутковістю бізнес - підрозділів Банку та рівнем прийнятих на себе ризиків. Основними структурними підрозділами, на які покладаються функції контролю над ризиками у ВАТ "АКІБАНК", є відділ контролю банківських ризиків, казначейство Банку та відділ внутрішнього контролю Банку.
Протягом 2006 року були створені внутрішні положення, що регламентують порядок виявлення, оцінки, контролю та мінімізації ризиками у ВАТ "АКІБАНК". Дані документи розроблені відповідно до вимог нормативних актів ЦБ РФ, документів Базельського
комітету, Загальновизнаних Принципів Управління Ризиками (Generally Accepted Risk Principles - GARP), власних методик оцінки, показників і інструментів управління ризиками [30].
У Банку розроблена система лімітів, яка обмежує (мінімізує) кредитні, регіональні, галузеві ризики, ризики ліквідності та ринковий ризик. Моніторинг даних показників про виконання лімітів проводиться щоквартально, результати доводяться Спостережній Раді та Правлінню Банку.
Оцінка рівня основних видів ризиків здійснюється з використанням таких інструментів, як, стрес-тестування та сценарний аналіз.
Діюча в ВАТ "АКІБАНК" система управління ризиками дозволяє з великою часткою запасу виконувати основні нормативи Банку Росії:
• норматив достатності капіталу Н1 = 13,1% (min = 10%);
• норматив миттєвої ліквідності Н2 = 36,7% (min = 15%);
• норматив поточної ліквідності Н3 = 63,9% (min = 50%);
• норматив довгострокової ліквідності Н4 = 82,9% (max = 120%);
• максимальний розмір ризику на одного позичальника або групу пов'язаних
позичальників Н6 = 24,4% (max = 25%);
• максимальний розмір великих кредитів Н7 = 388,6% (max = 800%).
Про ефективність системи управління ризиками свідчить висока якість позичкового портфеля. Розмір створених резервів становить 2,1%
від суми позичкового портфеля, а частка простроченої заборгованості не перевищує 0,17% [26].
З метою оцінки, контролю та мінімізації кредитних ризиків у ВАТ "АКІБАНК" діє затверджений порядок проведення операцій, що включає в себе відповідні правила і процедури, затверджені повноваження щодо прийняття рішень і ліміти по обсягу проведених операцій. Розроблено систему управління кредитними ризиками, які обмежуються встановленими лімітами по оптимізації регіонального, галузевого ризику, за типами позичальників, ризику на одного або групу взаємопов'язаних позичальників, за великими кредитами, максимальний ризик по пов'язаним з банком особам та акціонерам банку. У 2006 році були встановлені ліміти і постійно проводиться моніторинг суми умовних зобов'язань кредитного характеру і суми кредитів, виданих пов'язаним з Банком сторонам. Відділом контролю банківських ризиків проводиться розрахунок щоденного значення показника "ймовірність дефолту позичальника", починаючи з періоду 01.09.2004 р. до поточного моменту, на основі якого проводиться розрахунок величини Value-at-Risk (VaR) ..
Ризик ліквідності контролюється щоденно відділом казначейства, Відділ контролю банківських ризиків і головним бухгалтером шляхом встановлення лімітів миттєвої, поточної ліквідності, довгострокової та загальної ліквідності та щоденного контролю за їх станом в ПК "Управлінський облік" та у програмі ЦП "Obved".
Для оцінки та аналізу ризику втрати ліквідності Банк використовує наступні методи:
• метод коефіцієнтів (щоденний розрахунок обов'язкових нормативів відповідно до вимог Інструкції № 110-І від 16.01.2004г.);
• метод аналізу розриву в термінах погашення вимог і зобов'язань з розрахунком показників ліквідності: надлишок / дефіцит ліквідності, коефіцієнт надлишку / дефіциту ліквідності (щоденний розрахунок ф.125);
• прогноз руху грошових потоків.
Операційний ризик мінімізується за рахунок регламентування та контролю всіх проведених в Банку процедур, делегування і розділення повноважень, постійного вдосконалення використовуваних технологій та інформаційних систем. У 2006 році Банк почав вести облік операційних ризиків і розрахунок капіталу, необхідного для резервування під операційні ризики. Розрахунок капіталу під операційні ризики проводиться двома методами: базовим індикативним (BIA) і стандартизованим (TSA). Щоквартально розраховується рівень операційного ризику Банку. Виявлення операційних збитків і втрат ведеться усіма підрозділами банку, включаючи і філії. Звіти з операційних ризиків складаються відділом контролю банківських ризиків щоквартально і направляються Правлінню банку та Спостережній раді Банку [5].
Ринковий ризик включає в себе валютний, фондовий та процентний ризик. У валюті балансу вкладення в торговий портфель займає менше 0,1%, валюта - 0,6%, тому на даному етапі валютний і фондовий ризики незначні. Контроль і управління фондовим ризиком здійснюється відповідно до внутрішніх затвердженими документами. Щодня здійснюється контроль за дотриманням встановлених лімітів по проведених операціях на ринку цінних паперів, за прибутковістю угод з цінними паперами. Процентний ризик контролюється шляхом щомісячного моніторингу ставок залучення і розміщення ресурсів, маржі прибутку, внутрішньої собівартості та інших факторів, що впливають на рівень процентних ризиків.
У 2006 році також розпочато роботу з проведення стрес-тестування Банку. У програмному комплексі ІНЕК "Фінансовий ризик менеджер"
проводиться щоквартальне стрес-тестування банку для розрахунку максимальних втрат - капіталу під ризиком (VAR). Методи оцінки ризиків
на основі VAR-аналізу дозволяють розрахувати із заданою вірогідністю максимальні очікувані збитки банківського портфеля за умови збереження поточних ринкових тенденцій. Основною методикою стрес-тестування у ВАТ АКІБАНК "є сценарний аналіз, проведений на основі яких історичних подій, що відбулися в минулому, або на основі гіпотетичних подій, які можуть відбутися в майбутньому, і аналіз чутливості портфеля активів Банку до зміни факторів ризику, на
підставі яких розраховуються максимальні втрати банку, які можуть виникнути при самих несприятливих, але ймовірних умов.
Сценарний аналіз дозволяє оцінювати не тільки максимально можливі втрати, а й проводити аналіз чутливості фінансового результату банківського портфеля до зміни значень факторів ризику та їх волатильності.
Відділ інформаційних технологій. Відділ інформаційних технологій є структурним підрозділом Управління забезпечення діяльності банку, що здійснює задоволення потреб банку в наступні послуги:
- Автоматизація бізнес-процесів всіх підрозділів (під бізнес-процесом з метою цього Положення розуміються дії співробітників банку, спрямовані на реалізацію функцій, покладених на них затвердженими внутрішньобанківськими положеннями і посадовими інструкціями);
- Автоматизація процесів управління банком;
- Формування та подання всіх видів інформації, пов'язаної з автоматизацією бізнес-процесів всіх підрозділів банку та їх програмним забезпеченням, начальнику управління забезпечення діяльності банку;
Загальною метою (Місією) Відділу визначається підвищення добробуту акціонерів ВАТ "АКІБАНК", його працівників і клієнтів, що є:
- Умовою, що визначає перспективи розвитку банку, фінансові результати його діяльності;
- Першою і необхідною умовою існування самого відділу інформаційних технологій;
Завданням Відділу є надання визначених цим положенням послуг, таким чином і на такому рівні, щоб:
- Забезпечити підвищення продуктивності праці співробітників банку методом автоматизації процесів збору та аналізу вхідної та вихідної інформації до рівня продуктивності праці конкурентів банку;
- Забезпечити підвищення рівня якості та комфорту управління банком шляхом автоматизації процесів формування і виведення управлінської інформації до рівня конкурентів банку;
- Мінімізувати ризики, що виникають у процесі діяльності всіх підрозділів банку, пов'язаних з використанням програмного забезпечення до рівня конкурентів банку (під конкурентами банку в цілях цього Положення розуміються комерційні банки, що входять до складу першої сотні європейських банків відповідно до офіційних даних міжнародних рейтингових агентств);
- Забезпечити своєчасне формування достовірної та повної управлінської інформації, пов'язаної з автоматизацією бізнес-процесів всіх підрозділів банку та їх програмним забезпеченням.
- Забезпечити можливість формування будь-яких нових видів інформації, необхідних для складання та реалізації стратегічних і тактичних планів банку, і відповідають вимогам достовірності, повноти і своєчасності для її користувачів;
- Забезпечити постійне зростання продуктивності праці посадових осіб банку шляхом створення комфортних умов їх діяльності. Роль Відділу у створенні комфортних умов для посадових осіб банку полягає у своєчасному і повному виконанні закріплених за ним функцій, пов'язаних з автоматизацією бізнес-процесів всіх управлінь банку, забезпеченням безперебійної роботи всіх програмних засобів, своєчасним збиранням і формуванням повної і достовірної управлінської інформації.
Відділ підпорядковується безпосередньо Заступнику Голови Правління - начальника Управління забезпечення діяльності банку і очолюється начальником Відділу.
У своїй роботі Відділ керується місією банку, внутрішньобанківськими документами, чинним законодавством Російської Федерації, статутом банку, Рішеннями Спостережної Ради банку, наказами та розпорядженнями Голови Правління банку, правилами надання банківських послуг.
Принципи роботи відділу інформаційних технологій
Співробітники Відділу зацікавлені в економічному зростанні кожного дохідного підрозділу та банку в цілому.
Відділ на постійній основі здійснює пошук резервів зростання конкурентоспроможності та інвестиційної привабливості банку. Пропонує та реалізує заходи з використання даних резервів.
Вартість знову закуповуваних програмних продуктів не повинна перевищувати економічного ефекту від їх використання у визначений період і не перевищувати бюджету, передбаченого фінансовим планом.
Виконуючи функції, покладені на відділ, співробітники повинні дбати про постійне підвищення комфорту керівництва та співробітників банку. З метою реалізації місії Відділу і як засіб досягнення фінансових цілей в процесі своєї діяльності працівники Відділу дотримуються наступних принципів, які представлені в табл.6.
Принципи діяльності
Таблиця 6
| Принципи діяльності Відділу | Зміст принципів |
| 1.Сотруднікі Відділу зацікавлені в економічному зростанні кожного дохідного підрозділу та банку в цілому. | У процесі обслуговування Банку співробітники Відділу зобов'язані усвідомлювати свою безпосередню зацікавленість в економічному зростанні банку, його акціонерів і клієнтів. Доходи банку є частиною доходів клієнтів і, отже безпосередньо залежать від їх розміру. У свою чергу доходи співробітників Відділу є частиною доходів, одержуваних банком, і також залежать від їх розміру. |
| 2.Отдел на постійній основі здійснює пошук резервів зростання конкурентоспроможності та інвестиційної привабливості банку. Пропонує та реалізує заходи з використання даних резервів. | Відділ у процесі здійснення своїх функцій аналізує бізнес-процеси, здійснювані співробітниками банку, на предмет можливості їх автоматизації. У результаті даного аналізу виявляються резерви збільшення продуктивності праці, підвищення рівня надійності операцій, що проводяться для клієнтів Управління забезпечення діяльності банку. Зростання конкурентоспроможності банку відділом інформаційних технологій також забезпечується за рахунок діяльності, спрямованої на зниження ризиків (доопрацювання програмного забезпечення, розробка внутрішніх стандартів документів). Виходячи з мети щодо підвищення конкурентоспроможності банку та інвестиційної привабливості, відділ аналізує ринок банківського програмного забезпечення на предмет можливого використання в бізнес-процесах управлінь. |
| 3.Стоимость знову закуповуваних програмних продуктів не повинна перевищувати економічного ефекту від їх використання у визначений період і не перевищувати бюджету, передбаченого фінансовим планом. | Рішення про придбання програмних продуктів завжди повинно грунтуватися на попередньому аналізі економічної доцільності вилучення коштів з дохідних активів і розрахунку періоду їх окупності. Придбання програмних засобів безпосередньо впливає на ризик втрати ліквідності банку. Тому придбання програмних засобів повинно здійснюватися в обсягах, передбачених річним фінансовим планом банку. Недоцільним визнається придбання програмних продуктів з терміном окупності більше терміну їх морального та / або технічного зносу. Недоцільним визнається придбання програмних продуктів, якщо їх споживчі якості використовуються менш ніж на 70%; |
Продовження таблиці 6
| Принципи діяльності Відділу | Зміст принципів |
| 4.Виполняя функції, покладені на відділ, співробітники повинні дбати про постійне підвищення комфорту керівництва та співробітників банку. | Рівень комфорту керівництва банку та його співробітників в значній мірі залежить від можливостей програмного забезпечення, відсутність збоїв у його роботі. У свою чергу рівень комфорту умов праці керівництва та персоналу банку впливає на продуктивність праці, ступінь виконання місії банком, ефективність управління банком. Таким чином, створення комфортних умов праці для керівництва і персоналу безпосередньо позначається на розвитку конкурентних переваг банку і його інвестиційної привабливості. |
SHAPE \ * MERGEFORMAT
Голова правління |
Заступник голова правління - начальник управління із забезпечення діяльності банку |
Відділ інформаційних технологій |
Відділ інформаційних технологій очолює Начальник відділу.
Фінансові показники Відділу інформаційних технологій представлені в табл. 7
Фінансові показники
Таблиця 7
| Фінансові показники | Відділ інформаційних технологій |
| 1.Максімально допустимий обсяг вилучаються коштів клієнтів і акціонерів банку в результаті впливу ризиків, викликані наслідками неправомірних або некомпетентних рішень окремих працівників. | 0,03% балансового прибутку |
| 2.Об'ем автоматизованих функцій (що підлягають автоматизації) в підрозділах банку | 100% функцій |
| 3.Рост продуктивності праці співробітників банку в результаті автоматизації функцій. | 30% |
| 4.Об'ем втрат майна знаходиться на складі, в касі або переданого в експлуатацію співробітникам Відділу | від $ 20 |
| 5.Колічество претензій до діяльності Відділу з боку керівників дохідних підрозділів банку. | 10 претензій |
Кількісні та якісні цілі, які необхідно досягти Відділом до 2007 року, виражені в таких основних показниках:
Функції, покладені на Відділ інформаційних технологій, полягають у:
- Надання повного комплексу послуг, пов'язаних з автоматизацією бізнес-процесів управлінь банку, що мінімізують ризики, що підвищують якість управління банком і створюють умови для комфортної діяльності дохідних підрозділів банку;
- Створенні і підтримці психологічно комфортної атмосфери у відносинах з клієнтами Управління забезпечення діяльності банку та клієнтами дохідних управлінь банку;
Для оцінки результатів з виконання функцій, закріплених за Відділом, щомісячно, не пізніше 10 числа, складається звіт, де відображається ступінь досягнення кількісних і якісних цілей. Звіт складається за формою, затвердженою Головою Правління Банку.
Функції, спрямовані на виконання цілей і завдань Відділом, згруповані і представлені в табл. 8
Функції Відділу інформаційних технологій
Таблиця 8
| Функції | Відділ інформаційних технологій | |
| 1.Аналіз бізнес-процесів, здійснюваних у банку, на предмет можливості їх автоматизації з метою підвищення продуктивності праці. | Мінімізація ризику недосягнення цілей, операційного ризику | |
| 2.Подготовка пропозицій щодо підвищення продуктивності праці в банку методом автоматизації бізнес-процесів | ||
| 3.Розробка на підставі прийнятих пропозицій річних, квартальних планів автоматизації процесів, та подання їх керівництву управління для затвердження. | ||
| 4.Реалізація затверджених планів автоматизації процесів. | ||
| 5.Внесеніе змін бізнес-процеси, пов'язані з їх автоматизацією для подальшого затвердження. | Мінімізація ризику втрати конкурентоспроможності і ризику недосягнення цілей. | |
| 6.Созданіе концепції віддаленого управління банком та його підрозділами без територіального обмеження | Мінімізація ризику втрати конкурентоспроможності і ризику недосягнення цілей. | |
| 7.Разработка плану реалізації та бюджету концепції віддаленого управління банком та його підрозділами без територіального обмеження | ||
| 8.Реалізація плану концепції віддаленого управління банком та його підрозділами без територіального обмеження. | ||
| 9.Ісходя із стратегічних цілей банку складання плану і бюджету забезпечення банку програмними засобами на 10 років. |
Прдолженіе таблиці 8
| Функції | Відділ інформаційних технологій |
| 10.Разработка та подання керівництву банку директивних та методичних документів з використання програмного забезпечення для затвердження. | Мінімізація ризиків викликаються наслідками неправомірних або некомпетентних рішень окремих працівників і втрати репутації банку |
| 11.Сбор і аналіз інформації про виявлені персоналом банку помилки програмного забезпечення. Доопрацювання та виправлення виявлених помилок. | Мінімізація ризиків викликаються наслідками неправомірних або некомпетентних рішень окремих працівників і втрати репутації банку |
| 12.Разработка внутрішніх стандартів щодо формування документів на машинних та паперових носіях. |
Під ризиками банківської діяльності, впливають на функції, які здійснюються Відділом, тут і далі розуміється можливість втрати ліквідності і (або) фінансових втрат (збитків), пов'язана з внутрішніми і зовнішніми факторами, що впливають на діяльність банку.
Контроль над рівнем ризиків у Відділі здійснюється по лінії адміністративного та фінансового контролю. Адміністративний і фінансовий контроль здійснюється в попередньому, поточному і наступному порядку.
Адміністративний контроль полягає в забезпеченні проведення операцій тільки уповноваженими на те особами і в суворій відповідності з певними банком повноваженнями і процедурами прийняття рішень щодо проведення операцій.
Розподіл відповідальності з регулювання ризиків всередині Відділу. Види ризиків
Таблиця 9
| Види ризиків | Відділ інформаційних технологій |
| Несприятливі зміни державної економічної політики | |
| Кредитний ризик | |
| Ризик втрати ділової репутації | + |
| Правовий ризик | + |
| Ризик невідповідності інтересам банку ємності і прибутковості фінансових ринків | |
| Ринковий ризик | |
| Процентний ризик | |
| Ризик країни і ризик не переказу коштів | |
| Ризики, що викликаються наслідками неправомірних або некомпетентних рішень окремих працівників. | + |
| Ризик втрати ліквідності | |
| Операційний ризик | + |
| Валютний ризик | |
Ризик втрати конкурентоспроможності | + |
| Ризик не досягнення цілей | + |
Адміністративний і фінансовий контроль повинен з достатнім ступенем надійності засвідчити як мінімум наступне:
- Доступ співробітників банку до майна банку, до здійснення операцій за рахунками клієнтів і кредиторів допускається тільки в суворій відповідності з належним чином посвідченими повноваженнями співробітників;
- Операції відображаються в обліку відповідно до встановлених Банком Росії вимогами, реально відображають стан активів і пасивів банку та забезпечують складання встановлених форм звітності;
- Дані обліку активів і пасивів банку належним чином підтверджуються як з точки зору їх охоплення, так і з позицій періодичності перевірок відповідності, і за наявності відхилень робляться необхідні дії, спрямовані на ліквідацію розбіжностей.
Відділ зобов'язаний мінімізувати ризики, що виникають при здійсненні функцій, відповідно до методики мінімізації ризиків, затвердженої Головою Правління банку, нормативними вимогами ЦБ РФ, і здоровим глуздом.
У ВАТ "АКІБАНК" розпочато роботу з проведення стрес-тестування Банку. У програмному комплексі ІНЕК "Фінансовий ризик-менеджер" проводиться щоквартальне стрес-тестування Банку для розрахунку максимальних втрат - капіталу під ризиком (VAR). Методи оцінки ризиків на основі VAR-аналізу дозволяють розрахувати із заданою вірогідністю максимальні очікувані збитки банківського портфеля за умови збереження поточних ринкових тенденцій [30].
Основною методикою стрес-тестування у ВАТ "АКІБАНК" є сценарний аналіз, проведений на основі яких історичних подій, що відбулися в минулому, або на основі гіпотетичних подій, які можуть відбутися в майбутньому, і аналіз чутливості портфеля активів Банку до зміни факторів ризику, на підставі яких розраховуються максимальні втрати банку, які можуть виникнути при самих несприятливих, але ймовірних умов. Сценарний аналіз дозволяє оцінювати не тільки максимально можливі втрати, а й проводити аналіз чутливості фінансового результату банківського портфеля до зміни значень факторів ризику.
Кредитна організація розробляє основні принципи управління операційним ризиком, що визначають:
- Цілі і завдання управління операційним ризиком з урахуванням пріоритетних напрямів діяльності кредитної організації;
- Основні методи виявлення, оцінки, моніторингу (постійного спостереження) операційного ризику;
- Основні методи контролю і (або) мінімізації операційного ризику (вживання заходів з підтримки ризику на рівні, не загрозливому інтересам кредиторів і вкладників, стійкості кредитної організації);
- Порядок подання звітності та обміну інформацією з питань управління операційним ризиком;
- Розподіл повноважень і відповідальності між радою директорів (спостережною радою) і виконавчими органами за реалізацію основних принципів управління операційним ризиком.
Ступінь деталізації основних принципів управління операційним ризиком залежить від рівня операційного ризику, якому піддається кредитна організація [11].
Основні принципи управління операційним ризиком реалізуються у внутрішніх документах кредитної організації, що визначають:
- Організаційну структуру кредитної організації, поділ та делегування повноважень, функціональні обов'язки, порядок взаємодії підрозділів, службовців та обміну інформацією;
- Порядок, правила, процедури здійснення банківських операцій та інших угод, облікову політику, організацію внутрішніх процесів;
- Правила, порядки та процедури функціонування систем (технічних, інформаційних та інших);
- Порядок розробки та подання звітності та іншої інформації;
- Порядок стимулювання службовців та інші питання.
При зміні, розробці та прийнятті нових внутрішніх документів кредитної організації необхідно проводити оцінку їх відповідності основним принципам управління операційним ризиком [6].
З метою створення умов для ефективного управління операційним ризиком кредитної організації рекомендується установчими і (або) внутрішніми документами віднести до компетенції ради директорів (наглядової ради) наступні питання:
- Затвердження основних принципів управління операційним ризиком;
- Створення організаційної структури кредитної організації, що відповідає основним принципам управління операційним ризиком;
- Здійснення контролю за повнотою і періодичністю перевірок службою внутрішнього контролю дотримання основних принципів управління операційним ризиком окремими підрозділами і кредитною організацією в цілому;
- Затвердження заходів щодо забезпечення безперервності фінансово-господарської діяльності при здійсненні банківських операцій та інших угод, включаючи плани дій на випадок непередбачених обставин (плани щодо забезпечення безперервності і (або) відновлення фінансово-господарської діяльності);
- Оцінка ефективності управління операційним ризиком;
- Контроль за діяльністю виконавчих органів кредитної організації з управління операційним ризиком.
На етапі виявлення операційного ризику особливу увагу необхідно звертати на випадки перетину повноважень і відповідальності підрозділів, службовців кредитної організації.
Всі нововведення, вироблені кредитною організацією, - зміни структури або процедур, впровадження нових послуг і технологій, у тому числі з використанням аутсорсингу, освоєння нових напрямків діяльності - рекомендується на етапі розробки піддавати ретельному аналізу з метою виявлення факторів операційного ризику [9].
3. Регулювання інформаційних та телекомунікаційних ризиків в системі управління операційним ризиком кредитних організацій
3.1. Методи управління ризиками, пов'язаними з використанням інформаційних і телекомунікаційних систем
У внутрішніх документах кредитної організації рекомендується визначити методи оцінки операційного ризику. Кредитні організації можуть розробляти методи оцінки операційного ризику самостійно або використовувати методи, прийняті в міжнародній банківській практиці. У міжнародній банківській практиці застосовуються такі методи [3]:
- Статистичний аналіз розподілу фактичних збитків;
- Бально-ваговий метод (метод оціночних карт);
- Моделювання (сценарний аналіз).
У другій половині 90-х років компанія C & A Systems Security [33] розробила методику і однойменний інструментарій для аналізу та управління інформаційними ризиками, що отримали назву COBRA. Ця методика дозволяє виконати в автоматизованому режимі оцінку інформаційних ризиків банку. Для цього пропонується використовувати спеціальні електронні бази знань і процедури логічного висновку, орієнтовані на вимоги ISO 17799.
З програмних комплексів російських виробників можна відзначити "Кондор" та "Гриф" виробництва компанії Digital Security [35]. Вони привертають простим і зрозумілим призначеним для користувача інтерфейсом і порівняно невисокою ціною. Демонстраційні версії цього програмного забезпечення можна безкоштовно завантажити з сайту виробника. Аудиторам інформаційної безпеки пропонуються консалтингові версії даних програмних продуктів. Вони багато дорожче своїх корпоративних аналогів, зате в їх базах містяться вичерпні набори аналітичних даних.
Чіткої методики кількісного розрахунку величин ризиків як не було, так і немає. Це пов'язано в першу чергу з відсутністю достатнього обсягу статистичних даних про ймовірність реалізації тієї чи іншої загрози. У результаті найбільшого поширення набула якісна оцінка інформаційних ризиків.
У суперечках на тему оцінки інформаційних ризиків чи економічного обгрунтування інвестицій в інформаційну безпеку зламано чимало списів. В даний час йде активне накопичення даних, на підставі яких можна було б з прийнятною точністю визначити ймовірність реалізації тієї чи іншої загрози. На жаль, наявні довідники спираються на зарубіжний досвід і тому не застосовні до російських реалій. До того ж визначення величини вартості інформаційного ресурсу (будь то фізичний сервер або файли і записи СУБД) теж часто утруднено. Наприклад, якщо власник ресурсу (у припущенні, що такою ідентифікований) може назвати вартість обладнання і носіїв, то вказати точну вартість перебувають у його віданні даних він практично ніколи не в змозі. Тому найбільш поширеною залишається якісна оцінка інформаційних ризиків, коли при відсутності точних даних значення параметрів встановлює проводить аналіз ризиків експерт [20].
Ідентифікація загроз.
Для управління ризиками потрібно ідентифікувати можливі небезпеки, що загрожують обстежуваної інформаційній системі. Такими можуть бути, наприклад, повінь, відключення електроживлення або атаки зловмисників з наслідками різного ступеня тяжкості. На даному етапі рекомендується врахувати всі ризики, однак оцінювати лише ті, реалізація яких можлива виходячи з прийнятої моделі порушника. Таким чином, після ідентифікації загрозу слід співвіднести з моделлю порушника з метою визначення відповідної категорії порушника і подальшої оцінки ймовірності реалізації даної загрози. Наприклад, якщо модель порушника не описує категорію віддалених користувачів (у банку не передбачено віддалений доступ), то ймовірність витоку інформації в результаті доступу до неї ззовні мізерно мала, і нею можна знехтувати при розрахунку ризиків.
Розрахунок інформаційних ризиків.
Формула, частіше за все використовується при розрахунку ризиків, являє собою добуток трьох параметрів:
1. вартість ресурсу (Asset Value, AV). Зазначена величина характеризує цінність ресурсу. При якісній оцінці ризиків вартість ресурсу найчастіше ранжирується в діапазоні від 1 до 3, де 1 - мінімальна вартість ресурсу, 2 - середня вартість ресурсу і 3 - максимальна вартість ресурсу. Наприклад, сервер автоматизованої банківської системи має AV = 3, тоді як окремий інформаційний кіоск, призначений для обслуговування клієнта, має AV = 1 по відношенню до інформаційної банківській системі;
2. міра вразливості ресурсу до загрози (Exposure Factor, EF). Цей параметр показує, якою мірою той чи інший ресурс вразливий по відношенню до розглянутій загрозі. Наприклад, з точки зору банку ресурс автоматизованої банківської системи має найбільшу доступність. Таким чином, атаки з метою реалізації відмови в обслуговуванні (Denial of Service, DoS) представляють для нього максимальну загрозу. При якісній оцінці ризиків дана величина також ранжирується в діапазоні від 1 до 3, де 1 - мінімальна міра вразливості (слабке вплив), 2 - середня (ресурс підлягає відновленню), 3 - максимальна (ресурс вимагає повної заміни після реалізації загрози);
3. оцінка ймовірності реалізації загрози (Annual Rate of Occurrence, ARO) демонструє, наскільки ймовірна реалізація певної загрози за певний період часу (як правило, протягом року) і також ранжирується за шкалою від 1 до 3 (низька, середня, висока).
На підставі отриманих даних виводиться оцінка очікуваних втрат (рівень ризику):
· Оцінка очікуваного можливого збитку від одиничної реалізації певної загрози (Single Loss Exposure, SLE) розраховується за формулою:
SLE = AV x EF; (1) · Підсумкові очікувані втрати від конкретної загрози за певний період часу (Annual Loss Exposure, ALE) характеризують величину ризику і розраховується за формулою:
ALE = SLE x ARO . (2) Таким чином, кінцева формула розрахунку ризиків уявляє собою твір:
ALE = ((AV x EF = SLE) x ARO). (3)
Як бачимо, більшість з описаних параметрів приймається на основі думки експерта. Це пов'язано з тим, що кількісна оцінка ймовірності реалізації загрози утруднена через відносної новизни інформаційних технологій і, як наслідок, відсутність достатньої кількості статистичних даних. У разі оцінки вартості ресурсу (AV) кількісна оцінка (наприклад, в грошовому еквіваленті) найчастіше не проводиться, і тоді оцінка параметра SLE утруднена [34].
Методики управління ризиками.
Після проведення первинної оцінки ризиків отримані значення слід систематизувати за ступенем важливості для виявлення низьких, середніх і високих ризиків. Методика управління ризиками має на увазі декілька способів дій. Ризик може бути:
- Прийнятий (assumption), тобто користувач згоден на ризик і пов'язані з ним втрати, тому робота інформаційної системи продовжується в звичайному режимі;
- Знижений (mitigation) - з метою зменшення величини ризику будуть вжиті певні заходи;
- Переданий (transference) - компенсацію потенційного збитку покладуть на страхову компанію, або ризик трансформують у інший ризик - з більш низьким значенням - шляхом впровадження спеціальних механізмів.
Деякі методики додатково передбачають ще один спосіб управління - "скасування" (avoidance). Він має на увазі вживання заходів з ліквідації джерела ризику. Наприклад, вилучення із системи функцій, що породжують ризик, або виведення частини системи з експлуатації. Однак, на мій погляд, такий підхід неконструктивний з огляду на те, що, якщо величина ризику досить велика, що породжує його компонент критичний для інформаційної системи і, отже, не може бути видалений. При низьких значеннях ризику даний метод трансформується у метод зниження ризику (mitigation).
Після ранжування ризиків визначаються потребують першочергової уваги; основним методом управління такими ризиками є зниження, рідше - передача. Ризики середнього рангу можуть передаватися або знижуватися нарівні з високими ризиками. Ризики нижчого рангу, як правило, приймаються і виключаються з подальшого аналізу. Діапазон ранжирування ризиків приймається виходячи з проведеного розрахунку їх якісних величин. Так, наприклад, якщо величини розрахованих ризиків лежать в діапазоні від 1 до 18, низькі ризики знаходяться в діапазоні від 1 до 7, середні - в діапазоні від 8 до 13, найвищі - в діапазоні від 14 до 18.
Таким чином, управління ризиками зводиться до зниження величин високих і середніх ризиків до характерних для низьких ризиків значень, за яких можливе їх прийняття. Зниження величини ризику досягається за рахунок зменшення однієї або декількох складових (AV, EF, SLE) шляхом прийняття певних заходів. В основному це можливо стосовно EF і SLE, так як AV (вартість ресурсу) - фіксований параметр. Проте можливо і його зниження. Наприклад, якщо зберігається на сервері інформація відноситься до конфіденційної, але перевірка виявила, що гриф "конфіденційно" в силу яких-небудь причин може бути знято. У результаті вартість ресурсу автоматично зменшується. У системі Internet-банкінгу, наприклад, параметр EF можна зменшити шляхом фіксації відповідальності сторін у договірному порядку. У цьому випадку вважається, що сторони попереджені про відповідальність, яку може спричинити за собою порушення правил експлуатації системи, і, таким чином, фактор вразливості знижується [27].
Зниження параметра SLE, тобто ймовірності реалізації загрози, може бути досягнуто за рахунок технічних заходів. Наприклад, при наявності загрози короткочасного відключення електроживлення установка джерела безперебійного живлення знижує ймовірність її реалізації.
Виниклі (решта) після застосування методики управління ризики називаються залишковими, і саме вони застосовуються для обгрунтування інвестицій в інформаційну безпеку. Перерахунок ризиків проводиться відносно всіх ризиків, якщо вони оцінені як високі і середні.
Аналіз інформаційних ризиків - це процес визначення загроз інформації, вразливостей інформаційної системи і можливого збитку. Аналіз інформаційних ризиків служить для кількісної оцінки можливого матеріального збитку (у т.ч. у грошовому вираженні) від реалізації виявлених загроз безпеці інформації, а також при страхуванні інформаційних ризиків (у цьому випадку Північно-Західний центр захисту інформації "Актив" може виступати в якості головного).
Етапами аналізу інформаційних ризиків є:
• класифікація інформаційних ресурсів за критеріями безпеки;
• оцінка вартості ресурсів;
• аналіз загроз безпеці інформації з визначенням переліків актуальних джерел загроз і актуальних вразливостей;
• визначення переліку можливих атак на об'єкт захисту та механізмів їх реалізації;
• оцінювання можливого збитку і наслідків реалізації загроз;
• формування переліку, класифікація й визначення характеристик інформаційних ризиків, оцінка ефективності існуючих методів управління ризиками;
• вироблення пропозицій з управління ризиками за допомогою організаційних, адміністративних і технічних заходів і засобів захисту інформації.
Результат виконання:
• звіт з описом реальних загроз безпеки інформації та вразливостей системи, а також розрахунком всіх можливих інформаційних ризиків банку і прогнозом їх реалізації.
• результати аналізу та оцінки використовуються при виборі адекватних оптимальних методів парирування загроз, а також для складання бюджету подальших робіт із захисту інформації та побудови системи парирування загроз, адекватної самим загрозам.
Оцінка інформаційних ризиків.
Розвиток ІТ-інфраструктури банку незмінно тягне за собою неконтрольоване зростання кількості інформаційних загроз і вразливостей інформаційних ресурсів. У цих умовах оцінка інформаційних ризиків дозволяє визначити необхідний рівень захисту інформації та здійснювати його підтримку, а також виробити стратегію розвитку інформаційної структури банку.
Точно визначити можливий збиток від більшості інформаційних і телекомунікаційних ризиків (IT-ризиків) досить складно, але приблизно оцінити їх цілком можливо.
Позначимо основні статті витрат, які несе банк у процесі створення і експлуатації системи ризик-менеджменту.
1. Побудова технології управління ризиками: визначення стратегії банку, створення карти ризиків, визначення вартості ризиків, визначення методів контролю ризику та управління ризиком.
2. Підбір, придбання і впровадження програмного забезпечення (ПЗ).
3. Регламентування бізнес-процесів.
4. Підтримка технології в актуальному стані.
5. Ведення даних.
6. Супровід ПЗ.
Усі ці витрати можуть бути оцінені кількісно - у грошовому вираженні або у трудовитратах.
Для прийняття рішення про доцільність впровадження тієї чи іншої технології управління ризиками та купівлі ПЗ, що підтримує обрану технологію, банк, як правило, порівнює плановані витрати на впровадження і прогнозований ефект від впровадження. При розрахунку слід врахувати не тільки разові витрати в ході впровадження, а також вартість підтримання технології в актуальному стані і супроводу ПЗ. Ефект від впровадження системи - довготривалий. На нашу думку, при визначенні вартості впровадження технології управління ризиками слід розраховувати не менш ніж на п'ять років функціонування системи та екстраполювати прогнозований ефект відповідно.
Розробка і реалізація політики з мінімізації інформаційних та телекомунікаційних ризиків (IT-ризиків) не принесе користі, якщо рекомендовані стандарти і правила невірно використовуються, наприклад, якщо співробітники не навчені їх застосування і не розуміють їх важливості. Тому робота по забезпеченню IT-безпеки повинна бути комплексною та продуманою [16].
Страхування ризиків як елемент управління.
У якості одного з основних економічних методів управління інформаційними ризиками, пропонується "створення системи страхування інформаційних ризиків фізичних та юридичних осіб" [2]. Страхування як таке не знижує ризики, проте зменшує фінансові втрати страхувальника при настанні страхового випадку. Незважаючи на те що ця ефективна система управління інформаційними ризиками юридично декларована в Росії досить давно, ринок послуг страхування на сьогоднішній день ще не сформувався - в основному через відсутність добре зарекомендували себе методів оцінки їх вартості.
Як у світовій, так і в російській практиці безпосередньо інформація страхується в розмірі витрат, необхідних для її відновлення. При такому підході страхова компанія відшкодовує витрати на оплату понаднормової роботи співробітників банку, залучення фахівців сторонніх організацій, а також інші доцільні витрати, спрямовані на відновлення втраченої інформації. Але страхування інформаційних ризиків не може зводитися тільки до страхування інформації. Повинні страхуватися взагалі ризики, пов'язані з інформаційними технологіями, а до них належать ризики втрати фінансових активів, ризики зупинки комерційної діяльності, ризики, пов'язані з виникненням громадянської відповідальності. Перш за все це страхування від злочинів у сфері інформаційних технологій: дій комп'ютерних вірусів, несанкціонованого доступу до інформації, крадіжки або ненавмисної втрати носіїв інформації, фінансового шахрайства з використанням інформаційних технологій. Об'єктами страхування в цьому випадку можуть бути:
фінансові активи в електронній формі, в тому числі в системах клієнт-банк;
- Білінгові системи;
- Центри сертифікації (засвідчувальні центри);
- Web-сервери, в тому числі віртуальні;
- ERP-системи та засоби захисту;
- Бази даних на будь-яких носіях інформації;
- Цінна інформація, для якої існує ймовірність втрати без можливості відновлення.
Виходячи з наведеної класифікації ризиків та враховуючи, що інформація належить до одного з видів об'єктів цивільних прав, а отже, до системи товарних і майнових відносин (ст. 128; ст. 129; ст. 139 Цивільного кодексу РФ № 51-ФЗ від 30 листопада 1994 р. з ізм. і доп.), можна зробити висновок, що інформаційні ризики відносяться до чистих, майновим, виробничим ризикам.
Інформаційні ризики виступають об'єктом страхування майнових інтересів юридичних і фізичних осіб, пов'язаних з володінням, розповсюдженням, користуванням та розпорядженням інформацією. Це може бути як майнове страхування (пов'язане з володінням, користуванням, розпорядженням інформацією як об'єктом цивільних прав), так і страхування відповідальності (пов'язаної з відшкодуванням страхувальником заподіяної ним шкоди особі або майну фізичної особи, а також шкоди, заподіяної юридичній особі). Наприклад, можливе страхування відповідальності, яка виникає у зв'язку з перервами в діяльності банку; поганий технічною підтримкою клієнтів (збитки клієнтів у вигляді неодержаного прибутку за Через порушення в каналах зв'язку); недостатніми заходами щодо захисту даних, що належать третім особам; ненавмисним розголошенням конфіденційної інформації; помилками у програмних продуктах, внаслідок яких завдається шкода користувачам [13].
Страхування передбачає послідовне виконання кількох обов'язкових кроків:
· Пошук страхової компанії;
· Узгодження умов і пропозицій по страхуванню;
· Проведення експертизи страхувальника;
· Виконання рекомендацій, отриманих в результаті експертизи;
· Підписання договору про страхування.
3.2 Рекомендації щодо організації управління операційним ризиком у ВАТ "АКІБАНК"
Одна з найяскравіших сучасних тенденцій у банківській справі перехід до електронного способу ведення бізнесу, кардинальним чином зраджує співвідношення між різними видами ризику, з якими стикаються банки [24].
Підводячи підсумки вищевикладеного, можна відзначити наступні основні риси, притаманні сфері електронних банківських послуг і надають важливий вплив на співвідношення окремих категорій банківського ризику:
- Вихід за межі окремих країн і за межі фінансового сектора в цілому, вимагає співпраці установ банківського нагляду з наглядовими органами інших країн і галузей;
- Сильна залежність від прогресу інформаційних та комунікаційних технологій, що призводить до різкого збільшення стратегічних та операційних ризиків;
- Динамічність розвитку, що відбивається в скороченні інноваційних циклів (з точки зору як фінансових інструментів, так і банківських технологій) і, отже, в підвищенні значення стратегічного ризику;
- Зростання орієнтованості на клієнтів у зв'язку зі зменшенням інформаційних асиметрій (нерівномірності розподілу інформації між банками та клієнтами), що веде до збільшення правового та репутаційного ризиків;
- Загострення конкуренції в банківському бізнесі, що несе за собою підвищення загального рівня системного ризику.
Рекомендації з управління інформаційними ризиками. Коректуючи корпоративну політику інформаційної безпеки і оптимізуючи архітектуру інформаційної системи банку з точки зору підвищення захищеності інформаційної системи, впровадження рекомендацій дозволяє підвищити ефективність системи управління ІБ і оптимізувати витрати на неї по співвідношенню ціна / допустимий рівень інформаційних ризиків.
Рекомендації з контролю за поточним рівнем ризику. Здійснюючи контроль за виконанням заходів і вимог щодо забезпечення інформаційної безпеки, а також рівнем інформаційного ризику критично важливих компонентів системи, впровадження рекомендацій забезпечує не тільки дотримання мінімального рівня інформаційних ризиків, але і допомагає оцінити ефективність заходів щодо захисту інформації.
Кредитним організаціям рекомендується на регулярній основі переглядати існуючі внутрішні процеси і процедури, які використовуються інформаційно-технологічні системи з метою виявлення не облікованих раніше джерел операційного ризику.
Кредитним організаціям рекомендується приділяти особливу увагу забезпеченню збереження і можливості відновлення інформаційних систем і ресурсів. Приміщення для установки резервного обладнання чи устаткування, на яке має здійснюватися резервне копіювання інформації, рекомендується вибирати так, щоб мінімізувати ризик одночасної втрати первинної і резервної копії даних або одночасного виходу з ладу основного та резервного обладнання.
Кредитним організаціям рекомендується поряд з веденням аналітичної бази даних про понесені операційних збитках на постійній основі з використанням різних джерел збирати та аналізувати інформацію про випадки операційних збитків в інших кредитних і фінансових організаціях.
Кредитним організаціям рекомендується регулярно проводити оцінку операційного ризику в цілому по кредитній організації і його розподілу в розрізі напрямків діяльності кредитної організації, внутрішніх процесів, інформаційно-технологічних систем і банківських продуктів, що становлять ці напрямки діяльності.
Кредитної організації рекомендується визначати періодичність здійснення моніторингу операційного ризику на основі його суттєвості для відповідного напрямку діяльності, внутрішнього процесу або інформаційно-технологічної системи.
В якості індикаторів рівня операційного ризику можуть бути використані відомості про кількість зірваних або незавершених банківських операцій та інших угод, збільшення їх частоти і (або) обсягів, плинності кадрів, частоті допускаються помилок і порушень, часу (тривалості) простою інформаційно-технологічних систем та інших показниках.
Контроль над рівнем ризиків у Відділі повинен бути спрямований на обмеження ризиків, прийнятих банком, і на забезпечення порядку проведення операцій і операцій, який сприяє досягненню встановлених банком цілей і завдань, при дотриманні вимог законодавства, нормативних актів Банку Росії, стандартів професійної діяльності та правил ділових звичаїв.
Як показує досвід багатьох російських банків, найбільш успішні стратегії попередження інформаційних та телекомунікаційних ризиків (IT-ризиків) базуються на трьох основних правилах.
Правило № 1. Доступ співробітників до інформаційних систем і документів компанії повинен бути різний залежно від важливості і конфіденційності змісту документа.
Правило № 2. Банк повинен контролювати доступ до інформації та забезпечувати захист уразливих місць інформаційних систем.
Правило № 3. Інформаційні системи, від яких безпосередньо залежить діяльність банку (стратегічно важливі канали зв'язку, архіви документів, комп'ютерна мережа), повинні працювати безперебійно навіть у разі кризової ситуації [12].
Для забезпечення необхідного захисту від інформаційних і телекомунікаційних ризиків та контролю безпеки можна провести наступні заходи.
1. Визначити коло осіб, відповідальних за інформаційну безпеку, створити нормативні документи, в яких будуть описані дії персоналу банку, спрямовані на запобігання інформаційних та телекомунікаційних ризиків (IT-ризиків), а також забезпечити резервні потужності для роботи в критичній ситуації.
2. Розробити єдині стандарти інформаційних систем в рамках організації, тобто перейти до єдиних звітних формах, а також єдиними правилами розрахунку показників, які будуть застосовуватися у всіх програмних продуктах банку, використовуваних для цієї мети.
3. Класифікувати дані за ступенем конфіденційності і розмежувати права доступу до них.
4. Стежити за тим, щоб будь-які документи, які звертаються усередині організації, створювалися за допомогою систем, централізовано встановлених на комп'ютерах. Установка будь-яких інших програм повинна бути санкціонована, інакше ризик збоїв і вірусних атак різко зросте.
5. Впровадити засоби контролю, що дозволяють відстежувати стан всіх корпоративних систем: у разі несанкціонованого доступу система повинна або автоматично забороняти вхід, або сигналізувати про небезпеку, щоб персонал міг вжити заходів.
Крім перерахованих заходів необхідно підготуватися до наслідків можливих кризових ситуацій та описати дії банку по виходу з кризи. Для цього слід:
· Проаналізувати сценарії проникнення сторонніх осіб або не мають відповідних повноважень співробітників банку у внутрішню інформаційну мережу, а також провести навчальні заходи з метою відпрацювання моделі поведінки співробітників, відповідальних за інформаційну безпеку, в кризових ситуаціях;
· Розробити варіанти вирішення проблем, пов'язаних з кадрами, включаючи догляд з банку ключових співробітників, наприклад скласти і ознайомити персонал з планом наступності управління банку;
· Підготувати запасні інформаційні потужності (сервери, комп'ютери), а також резервні лінії зв'язку.
Якщо бізнес банку багато в чому залежить від стану її інформаційних мереж, необхідно призначити відповідального за розробку, впровадження та контроль виконання корпоративних правил, спрямованих на зниження IT-ризиків. Бажано, щоб такий координатор не мав відношення до IT-структурі банку (наприклад, заступник з безпеки).
Вважається, що співробітник, який не пов'язаний безпосередньо з інформаційними технологіями, буде найбільш об'єктивний при організації заходів з ризик-менеджменту. Його робота повинна оцінюватися за допомогою вимірюваних показників, скажімо, час усунення збоїв у роботі сервера не повинно перевищувати 30 хвилин або ж частота таких збоїв повинна бути не вище, ніж два рази на рік.
Обов'язковою умовою успішного ризик-менеджменту в галузі інформаційних технологій є його безперервність. Тому оцінка IT-ризиків, а також розробка і оновлення планів щодо їх мінімізації повинні проводитися з певною періодичністю, наприклад раз на квартал. Періодичний аудит системи роботи з інформацією (інформаційний аудит), проведений незалежними експертами, буде додатково сприяти мінімізації ризиків.
Пріоритети та перспективи розвитку ВАТ "АКІБАНК" на 2007 рік.
У своїй діяльності Банк концентрується на високоприбутковий і динамічно розвиваються сферах бізнесу, постійно модернізує свою операційну платформу, впроваджує новітні банківські технології й постійно розширює спектр надаваних Банком послуг.
У 2007 році планується розробити та впровадити програму кредитування середнього та малого бізнесу, суть якої полягає в наданні клієнтам гнучких схем кредитування з урахуванням специфіки їхнього бізнесу та галузевих особливостей. Фінансово стійкі і надійні клієнти зможуть в більш короткі терміни отримувати беззаставні або частково забезпечені кредити. Діяльність Банку у сфері організаційного розвитку в 2007 році буде спрямована головним чином на досягнення наступних цілей:
- Підвищення ролі автоматизації і високих технологій;
- Розробка, створення додаткових механізмів контролю банківських ризиків;
- Розвиток механізмів ефективного управління бізнес-процесами.
- Збільшення статутного капіталу до 1570000 тис.рублей;
- Темпи зростання за основними показниками в діапазоні 123% - 160%, що відповідає досягнутим темпам зростання за 2006 рік;
Висновок
Забезпечення інформаційної безпеки - одне з головних завдань сучасного банку. Загрозу можуть представляти не тільки технічні збої, але і неузгодженість даних у різних облікових системах, яка зустрічається чи не в кожного банку, а також необмежений доступ співробітників до інформації.
Робота з мінімізації інформаційних та телекомунікаційних ризиків (IT-ризиків) полягає в попередженні несанкціонованого доступу до даних, а також аварій і збоїв устаткування. Процес мінімізації IT-ризиків слід розглядати комплексно: спочатку виявляються можливі проблеми, а потім визначається, якими способами їх можна вирішити.
Під терміном "Регулювання інформаційних та телекомунікаційних ризиків" зазвичай розуміють комплекс заходів з ідентифікації, аналізу й усуненню виявлених в структурі інформаційної безпеки недоліків, які пов'язані з розробкою, експлуатацією та утилізацією інформаційно-обчислювальних комплексів, відповідно до існуючої нормативно-правової бази та корпоративною політикою безпеки.
Цей процес можна розбити на наступні етапи:
· Визначення та оцінка інформаційних ризиків;
· Вибір і застосування контрзаходів, структурованих за рівнями: адміністративному, процедурному, програмно-технічного;
· Фінансування ризиків;
· Контроль ризиків на всіх етапах життєвого циклу.
Основною метою регулювання ризику використання інформаційних і телекомунікаційних систем є мінімізація його негативного впливу на результати діяльності кредитної організації. В даний час розробка систем оцінки та моніторингу операційного ризику знаходиться в початковій стадії, що не дає можливості органам нагляду затвердити положення, що зобов'язують дотримуватися конкретні методики оцінки або кількісні обмеження рівня ризику. Кредитні організації Російської Федерації тільки починають застосовувати інструменти регулювання даного ризику, що дозволяють будувати процес управління операційним ризиком в залежності від прийнятої в кредитній організації стратегії.
Для регулювання і забезпечення необхідного захисту від інформаційних та телекомунікаційних ризиків (IT-ризиків) та контролю безпеки можна провести наступні заходи:
1.Визначити коло осіб, відповідальних за інформаційну безпеку, створити нормативні документи, в яких будуть описані дії персоналу банку, спрямовані на запобігання IT-ризиків, а також забезпечити резервні потужності для роботи в критичній ситуації.
2. Розробити єдині стандарти інформаційних систем в рамках організації, тобто перейти до єдиних звітних формах, а також єдиними правилами розрахунку показників, які будуть застосовуватися у всіх програмних продуктах банку, використовуваних для цієї мети.
3.Классіфіціровать дані за ступенем конфіденційності і розмежувати права доступу до них.
4.Стежте за тим, щоб будь-які документи, які звертаються усередині організації, створювалися за допомогою систем, централізовано встановлених на комп'ютерах. Установка будь-яких інших програм повинна бути санкціонована, інакше ризик збоїв і вірусних атак різко зросте.
5.Внедріть засоби контролю, що дозволяють відстежувати стан всіх корпоративних систем: у разі несанкціонованого доступу система повинна або автоматично забороняти вхід, або сигналізувати про небезпеку, щоб персонал міг вжити заходів.
Крім перерахованих заходів необхідно підготуватися до наслідків можливих кризових ситуацій та описати дії банку по виходу з кризи. Для цього слід:
· Проаналізувати сценарії проникнення сторонніх осіб або не мають відповідних повноважень співробітників банку у внутрішню інформаційну мережу, а також провести навчальні заходи з метою відпрацювання моделі поведінки співробітників, відповідальних за інформаційну безпеку, в кризових ситуаціях;
· Розробити варіанти вирішення проблем, пов'язаних з кадрами, включаючи догляд з банку ключових співробітників, наприклад, скласти і ознайомити персонал з планом наступності управління в кредитній організації;
· Підготувати запасні інформаційні потужності (сервери, комп'ютери), а також резервні лінії зв'язку.
Застосування політики інформаційної безпеки та оптимізація структури інформаційної системи з точки зору підвищення захищеності, впровадження рекомендацій дозволить підвищити ефективність системи управління інформаційною безпекою та оптимізувати витрати на неї по співвідношенню ціна / допустимий рівень інформаційних ризиків.
Здійснюючи контроль за виконанням заходів і вимог щодо забезпечення інформаційної безпеки, а також рівнем інформаційного ризику критично важливих компонентів системи, впровадження рекомендацій забезпечує дотримання мінімального рівня інформаційних ризиків.
Сформована в Україні правова і нормативна база дозволяє проводити аналіз і управління інформаційними ризиками на рівні провідних світових стандартів. Хочеться сподіватися, що з введенням в обіг російських аналогів стандартів ISO 17799:2005, ISO 27000, ISO 9000 та їм подібних будуть нарешті затребувані і такі види управління інформаційними ризиками, як страхування. Передумовами цього можуть стати недавні гучні скандали, пов'язані з розкраданням інформації особистого характеру з різних установ. Набагато дешевше вчитися на чужих помилках, ніж на своїх. Отже, кращий світовий досвід (у вигляді практичних рекомендацій та стандартів) необхідно адаптувати і застосовувати в Росії, тим більше що всі правові умови для цього створені.
Список використаних джерел
I. Нормативно-правові джерела
1. Федеральний Закон "Про банки і банківську діяльність" від 2 грудня 1990 р. № 395-1 (ред. 08.07.1999 № 136 - ФЗ).
2. Федеральний закон "Про технічне регулювання" (№ 184-ФЗ від 27 грудня 2002 р.).
4. Банки та банківські операції: Підручник для вузів / Є. Ф. Жуков, Л. М. Максимова, О. М. Маркова та ін; Під ред. Е.Ф.Жукова.-М.: Банки і біржі: ЮНИТИ, 2005.
5. Банківська справа: Підручник для вузів / Під ред. Є. Ф. Жукова, Н.Д.Еріашвілію.-2-е изд.-М.: ЮНИТИ-ДАНА: Єдність, 2006.
6. Батракова Л.Г. Економічний аналіз діяльності комерційних банків. - М.: Логос, 2004. - 344с.
7. Бланк І.А. Управління прибутком. -2-е вид., Розшити. і доп. - Київ: Ніка - Центр: Ельга, 2002.
8. ГалатенкоВ.А. "Стандарти інформаційної безпеки". Курс лекцій / під. ред. академіка РАН В. Б. Бетеліна. М. Університет інформаційних технологій, 2004.
9. Глушкова Н.Б. Банківська справа: Учеб. Посібник / Н.Б.Глушкова.-М.: Економічний проект: Альма Матер, 2005.
10. Річний звіт ВАТ "АКІБАНК" за 2006 рік.
11. Гроші, кредит, банки: Підручник / За ред. Жукова Є.Ф. М.: ЮНИТИ, 2003.
12. Дробозіна Л.А. Фінанси. Грошовий обіг. Кредит. -М.: ЮНИТИ-ДАНА, 2006.
13. Ільясов С.М. Стійкість банківської системи: механізми управління, регіональні особливості. - М.: ЮНИТИ-ДАНА, 2001. - 255с.
14. Інформаційні технології управління / За ред. Г. А. Титоренко. М.: ЮНИТИ-ДАНА, 2003.
15. Кисельов В.В. Управління комерційним банком в перехідний період. - М.: Логос, 2001. - 144с.
16. Левашов М.А. Про інформаційну безпеку операторського класу / / Connect. Світ связі.-2007. № 2. -С.132-134.
17. Нікуліна І.Ю. Формулювання загальних цілей управління банківською діяльністю / / Консультант директора. - 2003. № 5 (185). - С.29-34.
18. Покровський П.С. Оцінка інформаційних ризиків: Захист інформації / / Журнал мережевих решеній.-2004 .- № 10.-С.90-95.
29. Поморіна М.В. Деякі підходи до управління банківськими ризиками / / Банківська справа. - 2004. - № 10. - С.11-16.
20. Петренко С.А. "Управління інформаційними ризиками. Економічно виправдана безпека". ДМК Пресс, 2005, 384 с.
21. Рогачов А.М. Людський фактор в операційних ризики: Банківські ризики / / Управління фінансовими ріскамі.-2007 .- № 1, апрель.-С.78-83.
22. Симонов С.А. стаття "Аналіз ризиків, управління ризиками" (Jet Info, 1999, 1).
23. Управління діяльністю комерційного банку (банківський менеджмент) / Под ред. Лаврушина О.І. - М.: МАУП, 2003. - 688с.
24. Уткін З.А. стратегічний менеджмент: способи виживання російських банків. - М.: Фонд економічної просвіти, 2003. - 180с.
25. Щегорцов В.А. Гроші, кредит, банки: Підручник для вузів / В. А. Щегорцов, В. А. Таран; Під ред. В.А.Щегорцова.-М.: ЮНИТИ-ДАНА, 2005.
26. Економічна теорія: Підручник для економічних вузів / За ред. О. С. Белокриловой. -Ростов н / Д: Фенікс, 2006.
27. Економічна теорія: Підручник для вузів / Під ред. В. І. Відяпіна, Г.П.Журавлевой.-4-е вид .- М.: ИНФРА-М, 2005.
28. www.akibank.ru
29. www.bankir.ru
30. www.garant.ru
31. www.koncultantpluc.ru
32. www.bankdelo.ru
33. http://www.riskworld.net
34. http://www.riskwatch.com
35. http://www.dsec.ru
Результат виконання:
• звіт з описом реальних загроз безпеки інформації та вразливостей системи, а також розрахунком всіх можливих інформаційних ризиків банку і прогнозом їх реалізації.
• результати аналізу та оцінки використовуються при виборі адекватних оптимальних методів парирування загроз, а також для складання бюджету подальших робіт із захисту інформації та побудови системи парирування загроз, адекватної самим загрозам.
Оцінка інформаційних ризиків.
Розвиток ІТ-інфраструктури банку незмінно тягне за собою неконтрольоване зростання кількості інформаційних загроз і вразливостей інформаційних ресурсів. У цих умовах оцінка інформаційних ризиків дозволяє визначити необхідний рівень захисту інформації та здійснювати його підтримку, а також виробити стратегію розвитку інформаційної структури банку.
Точно визначити можливий збиток від більшості інформаційних і телекомунікаційних ризиків (IT-ризиків) досить складно, але приблизно оцінити їх цілком можливо.
Позначимо основні статті витрат, які несе банк у процесі створення і експлуатації системи ризик-менеджменту.
1. Побудова технології управління ризиками: визначення стратегії банку, створення карти ризиків, визначення вартості ризиків, визначення методів контролю ризику та управління ризиком.
2. Підбір, придбання і впровадження програмного забезпечення (ПЗ).
3. Регламентування бізнес-процесів.
4. Підтримка технології в актуальному стані.
5. Ведення даних.
6. Супровід ПЗ.
Усі ці витрати можуть бути оцінені кількісно - у грошовому вираженні або у трудовитратах.
Для прийняття рішення про доцільність впровадження тієї чи іншої технології управління ризиками та купівлі ПЗ, що підтримує обрану технологію, банк, як правило, порівнює плановані витрати на впровадження і прогнозований ефект від впровадження. При розрахунку слід врахувати не тільки разові витрати в ході впровадження, а також вартість підтримання технології в актуальному стані і супроводу ПЗ. Ефект від впровадження системи - довготривалий. На нашу думку, при визначенні вартості впровадження технології управління ризиками слід розраховувати не менш ніж на п'ять років функціонування системи та екстраполювати прогнозований ефект відповідно.
Розробка і реалізація політики з мінімізації інформаційних та телекомунікаційних ризиків (IT-ризиків) не принесе користі, якщо рекомендовані стандарти і правила невірно використовуються, наприклад, якщо співробітники не навчені їх застосування і не розуміють їх важливості. Тому робота по забезпеченню IT-безпеки повинна бути комплексною та продуманою [16].
Страхування ризиків як елемент управління.
У якості одного з основних економічних методів управління інформаційними ризиками, пропонується "створення системи страхування інформаційних ризиків фізичних та юридичних осіб" [2]. Страхування як таке не знижує ризики, проте зменшує фінансові втрати страхувальника при настанні страхового випадку. Незважаючи на те що ця ефективна система управління інформаційними ризиками юридично декларована в Росії досить давно, ринок послуг страхування на сьогоднішній день ще не сформувався - в основному через відсутність добре зарекомендували себе методів оцінки їх вартості.
Як у світовій, так і в російській практиці безпосередньо інформація страхується в розмірі витрат, необхідних для її відновлення. При такому підході страхова компанія відшкодовує витрати на оплату понаднормової роботи співробітників банку, залучення фахівців сторонніх організацій, а також інші доцільні витрати, спрямовані на відновлення втраченої інформації. Але страхування інформаційних ризиків не може зводитися тільки до страхування інформації. Повинні страхуватися взагалі ризики, пов'язані з інформаційними технологіями, а до них належать ризики втрати фінансових активів, ризики зупинки комерційної діяльності, ризики, пов'язані з виникненням громадянської відповідальності. Перш за все це страхування від злочинів у сфері інформаційних технологій: дій комп'ютерних вірусів, несанкціонованого доступу до інформації, крадіжки або ненавмисної втрати носіїв інформації, фінансового шахрайства з використанням інформаційних технологій. Об'єктами страхування в цьому випадку можуть бути:
фінансові активи в електронній формі, в тому числі в системах клієнт-банк;
- Білінгові системи;
- Центри сертифікації (засвідчувальні центри);
- Web-сервери, в тому числі віртуальні;
- ERP-системи та засоби захисту;
- Бази даних на будь-яких носіях інформації;
- Цінна інформація, для якої існує ймовірність втрати без можливості відновлення.
Виходячи з наведеної класифікації ризиків та враховуючи, що інформація належить до одного з видів об'єктів цивільних прав, а отже, до системи товарних і майнових відносин (ст. 128; ст. 129; ст. 139 Цивільного кодексу РФ № 51-ФЗ від 30 листопада 1994 р. з ізм. і доп.), можна зробити висновок, що інформаційні ризики відносяться до чистих, майновим, виробничим ризикам.
Інформаційні ризики виступають об'єктом страхування майнових інтересів юридичних і фізичних осіб, пов'язаних з володінням, розповсюдженням, користуванням та розпорядженням інформацією. Це може бути як майнове страхування (пов'язане з володінням, користуванням, розпорядженням інформацією як об'єктом цивільних прав), так і страхування відповідальності (пов'язаної з відшкодуванням страхувальником заподіяної ним шкоди особі або майну фізичної особи, а також шкоди, заподіяної юридичній особі). Наприклад, можливе страхування відповідальності, яка виникає у зв'язку з перервами в діяльності банку; поганий технічною підтримкою клієнтів (збитки клієнтів у вигляді неодержаного прибутку за Через порушення в каналах зв'язку); недостатніми заходами щодо захисту даних, що належать третім особам; ненавмисним розголошенням конфіденційної інформації; помилками у програмних продуктах, внаслідок яких завдається шкода користувачам [13].
Страхування передбачає послідовне виконання кількох обов'язкових кроків:
· Пошук страхової компанії;
· Узгодження умов і пропозицій по страхуванню;
· Проведення експертизи страхувальника;
· Виконання рекомендацій, отриманих в результаті експертизи;
· Підписання договору про страхування.
3.2 Рекомендації щодо організації управління операційним ризиком у ВАТ "АКІБАНК"
Одна з найяскравіших сучасних тенденцій у банківській справі перехід до електронного способу ведення бізнесу, кардинальним чином зраджує співвідношення між різними видами ризику, з якими стикаються банки [24].
Підводячи підсумки вищевикладеного, можна відзначити наступні основні риси, притаманні сфері електронних банківських послуг і надають важливий вплив на співвідношення окремих категорій банківського ризику:
- Вихід за межі окремих країн і за межі фінансового сектора в цілому, вимагає співпраці установ банківського нагляду з наглядовими органами інших країн і галузей;
- Сильна залежність від прогресу інформаційних та комунікаційних технологій, що призводить до різкого збільшення стратегічних та операційних ризиків;
- Динамічність розвитку, що відбивається в скороченні інноваційних циклів (з точки зору як фінансових інструментів, так і банківських технологій) і, отже, в підвищенні значення стратегічного ризику;
- Зростання орієнтованості на клієнтів у зв'язку зі зменшенням інформаційних асиметрій (нерівномірності розподілу інформації між банками та клієнтами), що веде до збільшення правового та репутаційного ризиків;
- Загострення конкуренції в банківському бізнесі, що несе за собою підвищення загального рівня системного ризику.
Рекомендації з управління інформаційними ризиками. Коректуючи корпоративну політику інформаційної безпеки і оптимізуючи архітектуру інформаційної системи банку з точки зору підвищення захищеності інформаційної системи, впровадження рекомендацій дозволяє підвищити ефективність системи управління ІБ і оптимізувати витрати на неї по співвідношенню ціна / допустимий рівень інформаційних ризиків.
Рекомендації з контролю за поточним рівнем ризику. Здійснюючи контроль за виконанням заходів і вимог щодо забезпечення інформаційної безпеки, а також рівнем інформаційного ризику критично важливих компонентів системи, впровадження рекомендацій забезпечує не тільки дотримання мінімального рівня інформаційних ризиків, але і допомагає оцінити ефективність заходів щодо захисту інформації.
Кредитним організаціям рекомендується на регулярній основі переглядати існуючі внутрішні процеси і процедури, які використовуються інформаційно-технологічні системи з метою виявлення не облікованих раніше джерел операційного ризику.
Кредитним організаціям рекомендується приділяти особливу увагу забезпеченню збереження і можливості відновлення інформаційних систем і ресурсів. Приміщення для установки резервного обладнання чи устаткування, на яке має здійснюватися резервне копіювання інформації, рекомендується вибирати так, щоб мінімізувати ризик одночасної втрати первинної і резервної копії даних або одночасного виходу з ладу основного та резервного обладнання.
Кредитним організаціям рекомендується поряд з веденням аналітичної бази даних про понесені операційних збитках на постійній основі з використанням різних джерел збирати та аналізувати інформацію про випадки операційних збитків в інших кредитних і фінансових організаціях.
Кредитним організаціям рекомендується регулярно проводити оцінку операційного ризику в цілому по кредитній організації і його розподілу в розрізі напрямків діяльності кредитної організації, внутрішніх процесів, інформаційно-технологічних систем і банківських продуктів, що становлять ці напрямки діяльності.
Кредитної організації рекомендується визначати періодичність здійснення моніторингу операційного ризику на основі його суттєвості для відповідного напрямку діяльності, внутрішнього процесу або інформаційно-технологічної системи.
В якості індикаторів рівня операційного ризику можуть бути використані відомості про кількість зірваних або незавершених банківських операцій та інших угод, збільшення їх частоти і (або) обсягів, плинності кадрів, частоті допускаються помилок і порушень, часу (тривалості) простою інформаційно-технологічних систем та інших показниках.
Контроль над рівнем ризиків у Відділі повинен бути спрямований на обмеження ризиків, прийнятих банком, і на забезпечення порядку проведення операцій і операцій, який сприяє досягненню встановлених банком цілей і завдань, при дотриманні вимог законодавства, нормативних актів Банку Росії, стандартів професійної діяльності та правил ділових звичаїв.
Як показує досвід багатьох російських банків, найбільш успішні стратегії попередження інформаційних та телекомунікаційних ризиків (IT-ризиків) базуються на трьох основних правилах.
Правило № 1. Доступ співробітників до інформаційних систем і документів компанії повинен бути різний залежно від важливості і конфіденційності змісту документа.
Правило № 2. Банк повинен контролювати доступ до інформації та забезпечувати захист уразливих місць інформаційних систем.
Правило № 3. Інформаційні системи, від яких безпосередньо залежить діяльність банку (стратегічно важливі канали зв'язку, архіви документів, комп'ютерна мережа), повинні працювати безперебійно навіть у разі кризової ситуації [12].
Для забезпечення необхідного захисту від інформаційних і телекомунікаційних ризиків та контролю безпеки можна провести наступні заходи.
1. Визначити коло осіб, відповідальних за інформаційну безпеку, створити нормативні документи, в яких будуть описані дії персоналу банку, спрямовані на запобігання інформаційних та телекомунікаційних ризиків (IT-ризиків), а також забезпечити резервні потужності для роботи в критичній ситуації.
2. Розробити єдині стандарти інформаційних систем в рамках організації, тобто перейти до єдиних звітних формах, а також єдиними правилами розрахунку показників, які будуть застосовуватися у всіх програмних продуктах банку, використовуваних для цієї мети.
3. Класифікувати дані за ступенем конфіденційності і розмежувати права доступу до них.
4. Стежити за тим, щоб будь-які документи, які звертаються усередині організації, створювалися за допомогою систем, централізовано встановлених на комп'ютерах. Установка будь-яких інших програм повинна бути санкціонована, інакше ризик збоїв і вірусних атак різко зросте.
5. Впровадити засоби контролю, що дозволяють відстежувати стан всіх корпоративних систем: у разі несанкціонованого доступу система повинна або автоматично забороняти вхід, або сигналізувати про небезпеку, щоб персонал міг вжити заходів.
Крім перерахованих заходів необхідно підготуватися до наслідків можливих кризових ситуацій та описати дії банку по виходу з кризи. Для цього слід:
· Проаналізувати сценарії проникнення сторонніх осіб або не мають відповідних повноважень співробітників банку у внутрішню інформаційну мережу, а також провести навчальні заходи з метою відпрацювання моделі поведінки співробітників, відповідальних за інформаційну безпеку, в кризових ситуаціях;
· Розробити варіанти вирішення проблем, пов'язаних з кадрами, включаючи догляд з банку ключових співробітників, наприклад скласти і ознайомити персонал з планом наступності управління банку;
· Підготувати запасні інформаційні потужності (сервери, комп'ютери), а також резервні лінії зв'язку.
Якщо бізнес банку багато в чому залежить від стану її інформаційних мереж, необхідно призначити відповідального за розробку, впровадження та контроль виконання корпоративних правил, спрямованих на зниження IT-ризиків. Бажано, щоб такий координатор не мав відношення до IT-структурі банку (наприклад, заступник з безпеки).
Вважається, що співробітник, який не пов'язаний безпосередньо з інформаційними технологіями, буде найбільш об'єктивний при організації заходів з ризик-менеджменту. Його робота повинна оцінюватися за допомогою вимірюваних показників, скажімо, час усунення збоїв у роботі сервера не повинно перевищувати 30 хвилин або ж частота таких збоїв повинна бути не вище, ніж два рази на рік.
Обов'язковою умовою успішного ризик-менеджменту в галузі інформаційних технологій є його безперервність. Тому оцінка IT-ризиків, а також розробка і оновлення планів щодо їх мінімізації повинні проводитися з певною періодичністю, наприклад раз на квартал. Періодичний аудит системи роботи з інформацією (інформаційний аудит), проведений незалежними експертами, буде додатково сприяти мінімізації ризиків.
Пріоритети та перспективи розвитку ВАТ "АКІБАНК" на 2007 рік.
У своїй діяльності Банк концентрується на високоприбутковий і динамічно розвиваються сферах бізнесу, постійно модернізує свою операційну платформу, впроваджує новітні банківські технології й постійно розширює спектр надаваних Банком послуг.
У 2007 році планується розробити та впровадити програму кредитування середнього та малого бізнесу, суть якої полягає в наданні клієнтам гнучких схем кредитування з урахуванням специфіки їхнього бізнесу та галузевих особливостей. Фінансово стійкі і надійні клієнти зможуть в більш короткі терміни отримувати беззаставні або частково забезпечені кредити. Діяльність Банку у сфері організаційного розвитку в 2007 році буде спрямована головним чином на досягнення наступних цілей:
- Підвищення ролі автоматизації і високих технологій;
- Розробка, створення додаткових механізмів контролю банківських ризиків;
- Розвиток механізмів ефективного управління бізнес-процесами.
- Збільшення статутного капіталу до 1570000 тис.рублей;
- Темпи зростання за основними показниками в діапазоні 123% - 160%, що відповідає досягнутим темпам зростання за 2006 рік;
Висновок
Забезпечення інформаційної безпеки - одне з головних завдань сучасного банку. Загрозу можуть представляти не тільки технічні збої, але і неузгодженість даних у різних облікових системах, яка зустрічається чи не в кожного банку, а також необмежений доступ співробітників до інформації.
Робота з мінімізації інформаційних та телекомунікаційних ризиків (IT-ризиків) полягає в попередженні несанкціонованого доступу до даних, а також аварій і збоїв устаткування. Процес мінімізації IT-ризиків слід розглядати комплексно: спочатку виявляються можливі проблеми, а потім визначається, якими способами їх можна вирішити.
Під терміном "Регулювання інформаційних та телекомунікаційних ризиків" зазвичай розуміють комплекс заходів з ідентифікації, аналізу й усуненню виявлених в структурі інформаційної безпеки недоліків, які пов'язані з розробкою, експлуатацією та утилізацією інформаційно-обчислювальних комплексів, відповідно до існуючої нормативно-правової бази та корпоративною політикою безпеки.
Цей процес можна розбити на наступні етапи:
· Визначення та оцінка інформаційних ризиків;
· Вибір і застосування контрзаходів, структурованих за рівнями: адміністративному, процедурному, програмно-технічного;
· Фінансування ризиків;
· Контроль ризиків на всіх етапах життєвого циклу.
Основною метою регулювання ризику використання інформаційних і телекомунікаційних систем є мінімізація його негативного впливу на результати діяльності кредитної організації. В даний час розробка систем оцінки та моніторингу операційного ризику знаходиться в початковій стадії, що не дає можливості органам нагляду затвердити положення, що зобов'язують дотримуватися конкретні методики оцінки або кількісні обмеження рівня ризику. Кредитні організації Російської Федерації тільки починають застосовувати інструменти регулювання даного ризику, що дозволяють будувати процес управління операційним ризиком в залежності від прийнятої в кредитній організації стратегії.
Для регулювання і забезпечення необхідного захисту від інформаційних та телекомунікаційних ризиків (IT-ризиків) та контролю безпеки можна провести наступні заходи:
1.Визначити коло осіб, відповідальних за інформаційну безпеку, створити нормативні документи, в яких будуть описані дії персоналу банку, спрямовані на запобігання IT-ризиків, а також забезпечити резервні потужності для роботи в критичній ситуації.
2. Розробити єдині стандарти інформаційних систем в рамках організації, тобто перейти до єдиних звітних формах, а також єдиними правилами розрахунку показників, які будуть застосовуватися у всіх програмних продуктах банку, використовуваних для цієї мети.
3.Классіфіціровать дані за ступенем конфіденційності і розмежувати права доступу до них.
4.Стежте за тим, щоб будь-які документи, які звертаються усередині організації, створювалися за допомогою систем, централізовано встановлених на комп'ютерах. Установка будь-яких інших програм повинна бути санкціонована, інакше ризик збоїв і вірусних атак різко зросте.
5.Внедріть засоби контролю, що дозволяють відстежувати стан всіх корпоративних систем: у разі несанкціонованого доступу система повинна або автоматично забороняти вхід, або сигналізувати про небезпеку, щоб персонал міг вжити заходів.
Крім перерахованих заходів необхідно підготуватися до наслідків можливих кризових ситуацій та описати дії банку по виходу з кризи. Для цього слід:
· Проаналізувати сценарії проникнення сторонніх осіб або не мають відповідних повноважень співробітників банку у внутрішню інформаційну мережу, а також провести навчальні заходи з метою відпрацювання моделі поведінки співробітників, відповідальних за інформаційну безпеку, в кризових ситуаціях;
· Розробити варіанти вирішення проблем, пов'язаних з кадрами, включаючи догляд з банку ключових співробітників, наприклад, скласти і ознайомити персонал з планом наступності управління в кредитній організації;
· Підготувати запасні інформаційні потужності (сервери, комп'ютери), а також резервні лінії зв'язку.
Застосування політики інформаційної безпеки та оптимізація структури інформаційної системи з точки зору підвищення захищеності, впровадження рекомендацій дозволить підвищити ефективність системи управління інформаційною безпекою та оптимізувати витрати на неї по співвідношенню ціна / допустимий рівень інформаційних ризиків.
Здійснюючи контроль за виконанням заходів і вимог щодо забезпечення інформаційної безпеки, а також рівнем інформаційного ризику критично важливих компонентів системи, впровадження рекомендацій забезпечує дотримання мінімального рівня інформаційних ризиків.
Сформована в Україні правова і нормативна база дозволяє проводити аналіз і управління інформаційними ризиками на рівні провідних світових стандартів. Хочеться сподіватися, що з введенням в обіг російських аналогів стандартів ISO 17799:2005, ISO 27000, ISO 9000 та їм подібних будуть нарешті затребувані і такі види управління інформаційними ризиками, як страхування. Передумовами цього можуть стати недавні гучні скандали, пов'язані з розкраданням інформації особистого характеру з різних установ. Набагато дешевше вчитися на чужих помилках, ніж на своїх. Отже, кращий світовий досвід (у вигляді практичних рекомендацій та стандартів) необхідно адаптувати і застосовувати в Росії, тим більше що всі правові умови для цього створені.
Список використаних джерел
I. Нормативно-правові джерела
1. Федеральний Закон "Про банки і банківську діяльність" від 2 грудня 1990 р. № 395-1 (ред. 08.07.1999 № 136 - ФЗ).
2. Федеральний закон "Про технічне регулювання" (№ 184-ФЗ від 27 грудня 2002 р.).
3. Лист "Про організації з управління операційним ризиком в кредитних організаціях" від 24 травня 2005 р. N 76-Т.
II. Наукова та спеціальна література 4. Банки та банківські операції: Підручник для вузів / Є. Ф. Жуков, Л. М. Максимова, О. М. Маркова та ін; Під ред. Е.Ф.Жукова.-М.: Банки і біржі: ЮНИТИ, 2005.
5. Банківська справа: Підручник для вузів / Під ред. Є. Ф. Жукова, Н.Д.Еріашвілію.-2-е изд.-М.: ЮНИТИ-ДАНА: Єдність, 2006.
6. Батракова Л.Г. Економічний аналіз діяльності комерційних банків. - М.: Логос, 2004. - 344с.
7. Бланк І.А. Управління прибутком. -2-е вид., Розшити. і доп. - Київ: Ніка - Центр: Ельга, 2002.
8. ГалатенкоВ.А. "Стандарти інформаційної безпеки". Курс лекцій / під. ред. академіка РАН В. Б. Бетеліна. М. Університет інформаційних технологій, 2004.
9. Глушкова Н.Б. Банківська справа: Учеб. Посібник / Н.Б.Глушкова.-М.: Економічний проект: Альма Матер, 2005.
10. Річний звіт ВАТ "АКІБАНК" за 2006 рік.
11. Гроші, кредит, банки: Підручник / За ред. Жукова Є.Ф. М.: ЮНИТИ, 2003.
12. Дробозіна Л.А. Фінанси. Грошовий обіг. Кредит. -М.: ЮНИТИ-ДАНА, 2006.
13. Ільясов С.М. Стійкість банківської системи: механізми управління, регіональні особливості. - М.: ЮНИТИ-ДАНА, 2001. - 255с.
14. Інформаційні технології управління / За ред. Г. А. Титоренко. М.: ЮНИТИ-ДАНА, 2003.
15. Кисельов В.В. Управління комерційним банком в перехідний період. - М.: Логос, 2001. - 144с.
16. Левашов М.А. Про інформаційну безпеку операторського класу / / Connect. Світ связі.-2007. № 2. -С.132-134.
17. Нікуліна І.Ю. Формулювання загальних цілей управління банківською діяльністю / / Консультант директора. - 2003. № 5 (185). - С.29-34.
18. Покровський П.С. Оцінка інформаційних ризиків: Захист інформації / / Журнал мережевих решеній.-2004 .- № 10.-С.90-95.
29. Поморіна М.В. Деякі підходи до управління банківськими ризиками / / Банківська справа. - 2004. - № 10. - С.11-16.
20. Петренко С.А. "Управління інформаційними ризиками. Економічно виправдана безпека". ДМК Пресс, 2005, 384 с.
21. Рогачов А.М. Людський фактор в операційних ризики: Банківські ризики / / Управління фінансовими ріскамі.-2007 .- № 1, апрель.-С.78-83.
22. Симонов С.А. стаття "Аналіз ризиків, управління ризиками" (Jet Info, 1999, 1).
23. Управління діяльністю комерційного банку (банківський менеджмент) / Под ред. Лаврушина О.І. - М.: МАУП, 2003. - 688с.
24. Уткін З.А. стратегічний менеджмент: способи виживання російських банків. - М.: Фонд економічної просвіти, 2003. - 180с.
25. Щегорцов В.А. Гроші, кредит, банки: Підручник для вузів / В. А. Щегорцов, В. А. Таран; Під ред. В.А.Щегорцова.-М.: ЮНИТИ-ДАНА, 2005.
26. Економічна теорія: Підручник для економічних вузів / За ред. О. С. Белокриловой. -Ростов н / Д: Фенікс, 2006.
27. Економічна теорія: Підручник для вузів / Під ред. В. І. Відяпіна, Г.П.Журавлевой.-4-е вид .- М.: ИНФРА-М, 2005.
28. www.akibank.ru
29. www.bankir.ru
30. www.garant.ru
31. www.koncultantpluc.ru
32. www.bankdelo.ru
33. http://www.riskworld.net
34. http://www.riskwatch.com
35. http://www.dsec.ru