Управление операционным риском

77

Содержание

Введение

1.Банковские риски, роль и место риска использования информационных и телекоммуникационных систем в кредитных организациях РФ

1.1 Понятие и сущность операционного риска

1.2 Управление банковскими рисками

2. Оценка и анализ рисков использования информационных и телекоммуникационных систем в ОАО "АКИБАНК"

2.1 Общая характеристика ОАО "АКИБАНК"

2.2 Анализ управления рисками в ОАО "АКИБАНК"

3. Регулирование информационных и телекоммуникационных рисков в системе управления операционным риском кредитных организаций

3.1. Методика управления рисками, связанными с использованием информационных и телекоммуникационных систем

3.2. Рекомендации по организации управления операционным риском

в ОАО "АКИБАНК"

Заключение

Список использованной литературы

Введение

Наблюдаемое в последние годы быстрое развитие научно-технического прогресса в области компьютерных и телекоммуникационных систем ставит перед кредитными организациями новые задачи в области развития информационных технологий, обеспечения их надежности и безопасности. Это обусловлено, в первую очередь, стремлением кредитных организаций удовлетворить потребности клиентов, возникающие с развитием их бизнеса, в особенности, переходящего национальные границы и требующего осуществления широкого спектра банковских операций с использованием информационных систем. Проведение операций с использованием компьютерных технологий позволяет кредитным организациям создавать наиболее благоприятные условия для привлечения новых клиентов и поддерживать конкурентные преимущества для уже существующей клиентской базы. Развитие информационных систем позволяет кредитным организациям проводить операции как в интересах самого банка, так и клиентов [14].

В настоящее время кредитные организации экономически развитых стран осуществляют широкий спектр банковских операций с использованием информационных технологий. Возникающий при этом операционный риск - это одна из новых проблем, с которой столкнулась банковская система не только Российской Федерации, но и развитых стран. В условиях современных финансовых рынков управление операционным риском становится важным элементом надежности [31].

Актуальность темы исследования заключается в том, что регулирование риска использования информационных и телекоммуникационных систем в настоящее время становится одним из важнейших факторов обеспечения стабильности банковской системы Российской Федерации. Основной целью регулирования риска использования информационных и телекоммуникационных систем является минимизация его отрицательного влияния на результаты деятельности кредитной организации. В настоящее время разработка систем оценки и мониторинга операционного риска находится в начальной стадии, что не даёт возможности органам надзора утвердить положения, обязывающие соблюдать конкретные методики оценки или количественные ограничения уровня риска. Кредитные организации Российской Федерации только начинают применять инструменты регулирования данного риска, позволяющие строить процесс управления операционным риском в зависимости от принятой в кредитной организации стратегии.

Цель работы состоит в изучении теоретических и методологических основ регулирования информационных и телекоммуникационных рисков, их оценка, а также разработке рекомендаций для минимизации отрицательного влияния операционных рисков на результаты деятельности ОАО "АКИБАНК". Реализация поставленных целей предполагает решение следующих основных задач:

- исследовать экономическую сущность риска, соотношение с родственными категориями ("опасность", "безопасность"), выявить принципиальное значение безопасности как цели управления риском с позиций системного и нормативного подходов;

- изучить практику обеспечения безопасности информационных и телекоммуникационных систем кредитных организаций и определить направления ее возможного применения;

- исследовать методологические подходы к идентификации, определению и контролю за операционным риском, выявить недостатки и дать рекомендации по дальнейшему совершенствованию;

- определить основные направления регулирования операционного риска;

- обосновать необходимость регулирования операционного риска в целях реализации задач по поддержанию стабильности банковской системы;

- провести детальный анализ методов и инструментов управления информационным и телекоммуникационным риском применительно к деятельности кредитной организации и контролирующих органов, рассмотреть их особенности в условиях;

- разработать методику организации контроля за состоянием риска информационных и телекоммуникационных систем в кредитной организации.

Объект и предмет исследования. Объектом исследования является ОАО "АКИБАНК". Предметом исследования являются экономические и организационные отношения, возникающие в процессе регулирования риска использования информационных и телекоммуникационных систем кредитными организациями.

В экономически и промышленно развитых странах теория и практика определения, ведения и управления операционным риском, регулирования со стороны контролирующих органов имеет сравнительно молодую историю. В нашей стране инструменты регулирования операционного риска в настоящее время не разработаны. Однако, существуют рекомендации Базельского Комитета по надзору за банковской деятельностью, в которых обобщён опыт международной банковской практики по определению, ведению и контролю за операционным риском [17].

Методологической основой исследования являются труды отечественных и зарубежных экономистов, посвященные теории и практике банковского дела, а также общеэкономическим проблемам. В процессе исследования использовался монографический и статистический материал, отдельные разработки международных финансовых организаций (в том числе, Базельского комитета по банковскому надзору и регулированию), материалы периодической печати, законодательные акты РФ и нормативные документы Банка России. В основе исследования лежит диалектический метод, предполагающий изучение экономических явлений в их постоянном развитии и взаимосвязи. Применяются и такие методы исследования как сравнительный, логический и системный анализ, сопоставление, обобщение, синтез и другие методы познания сущности явлений.

Изучению аспектов банковского операционного риска посвящены труды видных экономистов и специалистов банковского дела: Антиповой ОН.; Геращенко В.В., Котелкина СВ., Красавиной Л.Н., Лаврушина О.И., Пискулова Д. Ю., Роуза П.С, Савинской Н.А., Севрук ВТ., Симановского А. Ю., Соколинской М.Э., Коха Т., Синки Дж. Ф., Тосуняна Г.А. и др. В тоже время комплексное изучение проблем идентификации, анализа и регулирования риска использования информационных и телекоммуникационных систем в кредитных организациях, его роли в обеспечении стабильности банковской системы в условиях Российской Федерации до сих пор отсутствует.
Всё вышеперечисленное свидетельствует о необходимости теоретического осмысления экономической сущности риска использования информационных и телекоммуникационных систем в кредитных организациях и факторов его определяющих; обобщения имеющегося практического опыта и разработки методологических рекомендаций по управлению и контролю данного вида риска и определяет актуальность избранной темы исследования.

1. Банковские риски, роль и место риска использования информационных и телекоммуникационных систем в кредитных организациях РФ

1.1. Понятие и сущность риска в кредитных организациях.

Несмотря на частую употребляемость термина "риск" в обыденной жизни и науке, универсальное определение до настоящего момента отсутствует, что не позволяет проводить изучение явлений или процессов, не выделив предмета исследования. В данном параграфе сделана попытка систематизировать существующие трактовки риска в кредитных организациях, указать взаимосвязь с родственными категориями и систематизировать данные для классификации рисков [7].

Происхождение термина "риск" в настоящее время определить затруднительно, в Западной Европе оно начинает встречается в средневековых источниках, в основном, связанных с мореплаванием. Новолатинское "risicum" вошло в употребление с конца XV века, при этом в литературе появляется позже: в толковых словарях примеры в области риска относятся к середине XVI века в Англии. В современной терминологии интерпретация будет звучать как вероятность ущерба, а понимание проблемы риска - как нахождение способа избежать ошибок при принятии решений, предполагающих генезис ущерба. В данном случае понятие "риск" рассматривается как возможность наступления нежелательного события и/или количественной меры такого события, является преобладающей в науке. Риск вычисляется способом перемножения вероятности события на ущерб. Такого подхода придерживается большинство отечественных специалистов по анализу природного и техногенного риска. При этом, осознание того, что риск есть мера опасности -- важнейший шаг в решении проблемы управления ситуацией, в которой наличествуют потенциальные факторы, способные неблагоприятно воздействовать на человека, общество и природу [21].

Общее определение риска дает Федеральный закон "О техническом регулировании" [2]. Здесь риск рассматривается как некоторая вероятностная категория, ассоциированная с понятием вреда и соответственно с возникающими финансовыми потерями.

Одна из самых ярких современных тенденций в банковском деле -- переход к электронному способу ведения бизнеса, кардинальным образом изменяющему соотношение между различными видами риска, с которыми сталкиваются банки. Среди таких особенно выделяется риск использования информационных и телекоммуникационных систем.

Можно отметить следующие основные черты, присущие сфере электронных банковских услуг и оказывающие важное влияние на соотношение отдельных категорий банковского риска:

- выход за пределы отдельных стран и за пределы финансового сектора в целом, требующий сотрудничества учреждений банковского надзора с надзорными органами других стран и отраслей;

- сильная зависимость от прогресса информационных и коммуникационных технологий, что приводит к резкому увеличению стратегических и операционных рисков;

- динамичность развития, отражающаяся в сокращении инновационных циклов (с точки зрения как финансовых инструментов, так и банковских технологий) и, следовательно, в повышении значения стратегического риска;

- рост ориентированности на клиентов в связи с уменьшением информационных асимметрий (неравномерности распределения информации между банками и клиентами), что ведет к увеличению правового и репутационного рисков;

- обострение конкуренции в банковском бизнесе, влекущее за собой повышение общего уровня системного риска.

Понятия "оценка рисков информационной безопасности" (Information Security Risk Assessments) и "управление информационными рисками" (Information Risk Management) появились сравнительно недавно, но уже прочно укоренились среди специалистов в области информационной безопасности, обеспечения непрерывности бизнеса и управления качеством. В мировой практике такая оценка применяется для снижения рисков управления, а точнее сказать, ответственности персонала за внезапно возникшие проблемы. Угрозы безопасности носят вероятностный характер и изменяются в процессе жизнедеятельности банка. Идентифицируя соответствующие угрозы, анализируя сопутствующие риски и принимая затем эффективные контрмеры, удается избежать риска, смягчить его, передать риск третьему лицу в виде эффективной программы страхования [22].

Операционная деятельность банка на всем протяжении ее осуществления сопряжена с многочисленными рисками, уровень которых возрастает расширением объема и диверсификацией этой деятельности, со стремлением менеджеров увеличить сумму операционной прибыли. Риски, сопровождающие эту деятельность, формируют обширный портфель рисков банка, который определяется общим понятием - "операционные риски". Эти риски составляют наиболее значимую часть совокупных хозяйственных рисков банка. Система классификации операционных рисков по основным признакам приведена на рисунке 1.

Операционные риски являются объективным явлением в деятельности любого банка и проявляются как совокупность отдельных видов рисков. Виды операционных рисков весьма многообразны, поэтому в целях эффективного управления ими эти риски классифицируют с различной степенью их интеграции.

В системе операционных рисков особое место занимают информационные и телекоммуникационные риски кредитных учреждений.

Информационные и телекоммуникационные риски (IT-риски) -- это опасность возникновения убытков или ущерба в результате применения банком информационных технологий. Иными словами, IT-риски связаны с созданием, передачей, хранением и использованием информации с помощью электронных носителей и иных средств связи.

77

Рис.1. Классификация операционных рисков

IT-риски можно разделить на две категории:

- риски, вызванные утечкой информации и использованием ее конкурентами или сотрудниками в целях, которые могут повредить бизнесу (информационные риски);

- риски технических сбоев работы каналов передачи информации (телекоммуникационные риски), которые могут привести к убыткам.

Рассмотрим упрощенную структурную схему управления информационными рисками банка (рис. 2). Стрелочками на схеме показаны информационные и финансовые потоки.

Рис. 2 Структурная схема управления информационными рисками

Важнейший элемент управления информационными рисками - аудит безопасности. Существуют различные методологии такого аудита, разработанные на основе стандартов. Как отмечалось выше, на основании закона "О техническом регулировании" мы вправе применять любые стандарты, в том числе и зарубежные. В России применение отечественных стандартов упрощает многие процедуры, связанные с сертификацией и лицензированием по линии Гостехкомиссии (ныне ФСТЭК РФ)*.

При использовании стандартов различных производителей результаты оценки тоже могут получаться разными. В мировой практике анализа и управления рисками основополагающим считается стандарт ISO 17799:2005 Code of practice for information security management ("Свод правил по управлению информационной безопасностью" - предыдущая версия ISO 17799:2000). Фактически этот стандарт представляет собой технологию управления информационной безопасностью.

В 2007 г. Международная организация по стандартизации планирует включить данный стандарт в серию ISO 27000, состоящую из шести стандартов информационной безопасности (по аналогии с другими стандартами системы менеджмента качества ISO 9000). Тогда данный стандарт получит новое название - ISO 27002.

Точный перевод международного стандарта, в целом несущий большую смысловую нагрузку, определяющую важнейшие аспекты информационной безопасности для любой организации, вне зависимости от ее масштаба и рода деятельности приведен в табл.1.

Таблица 1

Стандарт ISO 17799:2005 Стандарт ISO 17799:2005 Code of practice for information security management содержит 11 пунктов. 1. Политика безопасности 2. Организация информационной безопасности: · Управление безопасностью внутренней инфраструктуры организации · Управление безопасностью при доступе внешних пользователей 3. Управление информационными ресурсами: · Ответственность за ресурсы · Классификация ресурсов 4. Управление персоналом: · Вопросы безопасности при приеме на работу · Вопросы безопасности при работе персонала в штате компании · Вопросы безопасности при увольнении с работы

Продолжение таблицы 1

5. Физическая и экологическая безопасность: · Области безопасности · Безопасность оборудования 6. Управление коммуникациями и операциями: · Рабочие процедуры и ответственность · Управление передачей информации третьим лицам · Системное планирование и принятие решений · Защита от злонамеренного программного обеспечения · Резервное копирование · Управление сетевой безопасностью · Транспортировка носителей информации · Обмен информацией · Обслуживание электронной коммерции · Мониторинг 7. Управление доступом: · Бизнес-требования для контроля доступа · Управление доступом пользователя · Ответственность пользователей · Контроль и управление сетевым (удаленным) доступом · Контроль доступа к операционным системам · Контроль и управление доступом к приложениям и информации · Мобильные пользователи и телекоммуникации 8. Приобретение, разработка и поддержка информационных систем: · Требования по безопасности информационных систем · Правильная работа приложений · Криптография · Безопасность системных файлов · Безопасность разработки и поддержки процессов · Техническая безопасность управления 9. Управление инцидентами информационной безопасности: · Сообщение о недостатках информационной безопасности · Управление инцидентами информационной безопасности и их устранением 10. Управление непрерывностью бизнеса: · Управление аспектами информационной безопасности для обеспечения непрерывности бизнеса 11. Согласование: · Соответствие требованиям законодательства · Соответствие политикам безопасности и стандартам и техническое согласование · Анализ аудита информационных систем

В предыдущей версии стандарта (ISO 17799:2000) было 10 пунктов. Разработчики новой версии выделили "Управление инцидентами информационной безопасности" в отдельный пункт ввиду высокой важности этого вопроса [8].

Анализ информационных рисков вне зависимости от выбранных стандартов можно представить как некий сценарий или алгоритм действий, направленный на сбор и обобщение информации об исследуемой системе (рис. 3).

Рис. 3 Возможный сценарий анализа информационных рисков

На первом и втором этапах анализа рисков составляется перечень наиболее критичной и конфиденциальной информации. Третий этап - построение схем каналов доступа, через которые может выполняться несанкционированное воздействие на информацию (например, установленные у пользователя факс-модем или адаптер Bluetooth для соединения с ноутбуком или мобильным телефоном).

Четвертый этап предполагает анализ способов защиты всех возможных точек атак; его результатом должна стать характеристика всех предполагаемых уязвимостей в обороне, в том числе с учетом неблагоприятных обстоятельств. На пятом этапе, исходя из накопленной информации обо всех возможных способах и средствах преодоления защиты, определяют вероятности реализации угроз для каждой из возможных точек атак.

На заключительном этапе проводится оценка ущерба организации в случае реализации каждой из угроз.

Многообразие видов рисков, сопровождающих операционную деятельность банка, предопределяет необходимость постоянного управления ими, которое рассматривается как неотъемлемая составная часть всей системы управления операционной прибылью. Комплексное управление этими показателями обусловлено высокой степенью связи между уровнем операционной прибыли и уровнем операционных рисков, которая носит прямой характер [1].

Управление операционными рисками представляет собой систему мероприятий по их идентификации, оценке, профилактике и страхованию с целью минимизации связанных с ними финансовых потерь в процессе операционной деятельности банка.

Группировка операций банка по уровню риска позволяет определить какие из них находятся за пределами уровня допустимого риска (особенно в зоне катастрофического риска) с тем, чтобы еще раз взвесить целесообразность их проведения.

Внутренними и внешними факторами (причинами) операционного риска являются:

- случайные или преднамеренные действия физических и (или) юридических лиц, направленные против интересов кредитной организации;

- несовершенство организационной структуры кредитной организации в части распределения полномочий подразделений и служащих, порядков и процедур совершения банковских операций и других сделок, их документирования и отражения в учете, несоблюдение служащими установленных порядков и процедур, неэффективность внутреннего контроля;

- сбои в функционировании систем и оборудования;

- неблагоприятные внешние обстоятельства, находящиеся вне контроля кредитной организации.

Управление операционным риском входит в систему управления рисками кредитной организации.

1.2 Управление банковскими рисками

Необходимость управления информационными и телекоммуникационными рисками (IT- рисками) определяется значительным размером возможных операционных убытков, которые могут создавать угрозу финансовой устойчивости кредитной организации.

Управление рисками рассматривается нами на административном уровне информационной безопасности, поскольку только руководство организации способно выделить необходимые ресурсы, инициировать и контролировать выполнение соответствующих программ [19].

Использование информационных систем связано с определенной совокупностью рисков. Когда возможный ущерб неприемлемо велик, необходимо принять экономически оправданные меры защиты. Периодическая (пере)оценка рисков необходима для контроля эффективности деятельности в области безопасности и для учета изменений обстановки.

С количественной точки зрения уровень риска является функцией вероятности реализации определенной угрозы (использующей некоторые уязвимые места), а также величины возможного ущерба.

Таким образом, суть мероприятий по управлению рисками состоит в том, чтобы оценить их размер, выработать эффективные и экономичные меры снижения рисков, а затем убедиться, что риски заключены в приемлемые рамки (и остаются таковыми). Следовательно, управление рисками включает в себя два вида деятельности, которые чередуются циклически:

- (пере)оценка (измерение) рисков;

- выбор эффективных и экономичных защитных средств (нейтрализация рисков).

По отношению к выявленным рискам возможны следующие действия:

- ликвидация риска (например, за счет устранения причины);

- уменьшение риска (например, за счет использования дополнительных защитных средств);

- принятие риска (и выработка плана действия в соответствующих условиях);

- переадресация риска (например, путем заключения страхового соглашения).

Процесс управления рисками можно разделить на следующие этапы приведенные на рисунке 4.

77

Рис.4 Этапы управления рисками

Уже перечисление этапов показывает, что управление рисками - процесс циклический. По существу, последний этап - это оператор конца цикла, предписывающий вернуться к началу. Риски нужно контролировать постоянно, периодически проводя их переоценку. Отметим, что добросовестно выполненная и тщательно документированная первая оценка может существенно упростить последующую деятельность.

Управление рисками, как и любую другую деятельность в области информационной безопасности, необходимо интегрировать в жизненный цикл информационной системы. Тогда эффект оказывается наибольшим, а затраты - минимальными. Ранее мы определили четыре этапов жизненного цикла. Кратко опишем, что может дать управление рисками на каждом из них.

На этапе инициации известные риски следует учесть при выработке требований к системе вообще и средствам безопасности в частности.

На этапе закупки (разработки) знание рисков поможет выбрать соответствующие архитектурные решения, которые играют ключевую роль в обеспечении безопасности.

На этапе установки выявленные риски следует учитывать при конфигурировании, тестировании и проверке ранее сформулированных требований, а полный цикл управления рисками должен предшествовать внедрению системы в эксплуатацию.

На этапе эксплуатации управление рисками должно сопровождать все существенные изменения в системе.

При выведении системы из эксплуатации управление рисками помогает убедиться в том, что миграция данных происходит безопасным образом.

Подготовительные этапы управления рисками.

Выбор анализируемых объектов и уровня детализации их рассмотрения - первый шаг в оценке рисков. Для небольшой организации допустимо рассматривать всю информационную инфраструктуру; однако если организация крупная, всеобъемлющая оценка может потребовать неприемлемых затрат времени и сил. В таком случае следует сосредоточиться на наиболее важных сервисах, заранее соглашаясь с приближенностью итоговой оценки. Если важных сервисов все еще много, выбираются те из них, риски для которых заведомо велики или неизвестны [4].

Мы уже указывали на целесообразность создания карты информационной системы организации. Для управления рисками подобная карта особенно важна, поскольку она наглядно показывает, какие сервисы выбраны для анализа, а какими пришлось пренебречь. Если информационная система меняется, а карта поддерживается в актуальном состоянии, то при переоценке рисков сразу станет ясно, какие новые или существенно изменившиеся сервисы нуждаются в рассмотрении.

Вообще говоря, уязвимым является каждый компонент информационной системы - от сетевого кабеля, который могут прогрызть мыши, до базы данных, которая может быть разрушена из-за неумелых действий администратора. Как правило, в сферу анализа невозможно включить каждый винтик и каждый байт.

Очень важно выбрать разумную методологию оценки рисков. Целью оценки является получение ответа на два вопроса: приемлемы ли существующие риски, и если нет, то какие защитные средства стоит использовать. Значит, оценка должна быть количественной, допускающей сопоставление с заранее выбранными границами допустимости и расходами на реализацию новых регуляторов безопасности. Управление рисками - типичная оптимизационная задача, и существует довольно много программных продуктов, способных помочь в ее решении (иногда подобные продукты просто прилагаются к книгам по информационной безопасности) [18].

При идентификации активов, то есть тех ресурсов и ценностей, которые организация пытается защитить, следует, конечно, учитывать не только компоненты информационной системы, но и поддерживающую инфраструктуру, персонал, а также нематериальные ценности, такие как репутация организации. Отправной точкой здесь является представление о миссии организации, то есть об основных направлениях деятельности, которые желательно (или необходимо) сохранить в любом случае.

Одним из главных результатов процесса идентификации активов является получение детальной информационной структуры организации и способов ее (структуры) использования. Эти сведения целесообразно нанести на карту информационной системы в качестве граней соответствующих объектов.

Информационной основой сколько-нибудь крупной организации является сеть, поэтому в число аппаратных активов следует включить компьютеры (серверы, рабочие станции, ПК), периферийные устройства, внешние интерфейсы, кабельное хозяйство, активное сетевое оборудование (мосты, маршрутизаторы и т.п.). К программным активам, вероятно, будут отнесены операционные системы (сетевая, серверные и клиентские), прикладное программное обеспечение, инструментальные средства, средства управления сетью и отдельными системами. Важно зафиксировать, где (в каких узлах сети) хранится программное обеспечение, и из каких узлов оно используется. Третьим видом информационных активов являются данные, которые хранятся, обрабатываются и передаются по сети. Следует классифицировать данные по типам и степени конфиденциальности, выявить места их хранения и обработки, способы доступа к ним. Все это важно для оценки последствий нарушений информационной безопасности.

Основные этапы управления рисками.

Этапы, предшествующие анализу угроз, можно считать подготовительными, поскольку, строго говоря, они напрямую с рисками не связаны. Риск появляется там, где есть угрозы.

Краткий перечень наиболее распространенных угроз был рассмотрен нами ранее. К сожалению, на практике угроз гораздо больше, причем далеко не все из них носят компьютерный характер. Так, вполне реальной угрозой является наличие мышей и тараканов в занимаемых организацией помещениях. Первые могут повредить кабели, вторые вызвать короткое замыкание. Как правило, наличие той или иной угрозы является следствием пробелов в защите информационной системы, которые, в свою очередь, объясняются отсутствием некоторых сервисов безопасности или недостатками в реализующих их защитных механизмах. Опасность прогрызания кабелей возникает не просто там, где есть мыши, она связана с отсутствием или недостаточной прочностью защитной оболочки.

Первый шаг в анализе угроз - их идентификация. Рассматриваемые виды угроз следует выбирать исходя из соображений здравого смысла (исключив, например, землетрясения, однако не забывая о возможности захвата организации террористами), но в пределах выбранных видов провести максимально подробный анализ.

Целесообразно выявлять не только сами угрозы, но и источники их возникновения - это поможет в выборе дополнительных средств защиты. Например, нелегальный вход в систему может стать следствием воспроизведения начального диалога, подбора пароля или подключения к сети неавторизованного оборудования. Очевидно, для противодействия каждому из перечисленных способов нелегального входа нужны свои механизмы безопасности.

После идентификации угрозы необходимо оценить вероятность ее осуществления. Допустимо использовать при этом трехбалльную шкалу (низкая (1), средняя (2) и высокая (3) вероятность).

Кроме вероятности осуществления, важен размер потенциального ущерба. Например, пожары бывают нечасто, но ущерб от каждого из них, как правило, велик. Тяжесть ущерба также можно оценить по трехбалльной шкале.

После того, как накоплены исходные данные и оценена степень неопределенности, можно переходить к обработке информации, то есть собственно к оценке рисков. Вполне допустимо применить такой простой метод, как умножение вероятности осуществления угрозы на предполагаемый ущерб. Если для вероятности и ущерба использовать трехбалльную шкалу, то возможных произведений будет шесть: 1, 2, 3, 4, 6 и 9. Первые два результата можно отнести к низкому риску, третий и четвертый - к среднему, два последних - к высокому, после чего появляется возможность снова привести их к трехбалльной шкале. По этой шкале и следует оценивать приемлемость рисков. Правда, граничные случаи, когда вычисленная величина совпала с приемлемой, целесообразно рассматривать более тщательно из-за приближенного характера результата.

Если какие-либо риски оказались недопустимо высокими, необходимо их нейтрализовать, реализовав дополнительные меры защиты. Как правило, для ликвидации или нейтрализации уязвимого места, сделавшего угрозу реальной, существует несколько механизмов безопасности, различных по эффективности и стоимости. Например, если велика вероятность нелегального входа в систему, можно потребовать, чтобы пользователи выбирали длинные пароли (скажем, не менее восьми символов), задействовать программу генерации паролей или закупить интегрированную систему аутентификации на основе интеллектуальных карт. Если есть вероятность умышленного повреждения сервера баз данных, что может иметь серьезные последствия, можно врезать замок в дверь серверной комнаты или поставить около каждого сервера по охраннику.

Оценивая стоимость мер защиты, приходится, разумеется, учитывать не только прямые расходы на закупку оборудования и/или программ, но и расходы на внедрение новинки и, в частности, обучение и переподготовку персонала. Эту стоимость также можно оценить по трехбалльной шкале и затем сопоставить ее с разностью между вычисленным и допустимым риском. Если по этому показателю новое средство оказывается экономически выгодным, его можно взять на заметку (подходящих средств, вероятно, будет несколько). Однако если средство окажется дорогим, его не следует сразу отбрасывать, памятуя о приближенности расчетов.

Важным обстоятельством является совместимость нового средства со сложившейся организационной и аппаратно-программной структурой, с традициями организации. Меры безопасности, как правило, носят недружественный характер, что может отрицательно сказаться на энтузиазме сотрудников. Порой сохранение духа открытости важнее минимизации материальных потерь. Впрочем, такого рода ориентиры должны быть расставлены в политике безопасности верхнего уровня [15].

Как и всякую иную деятельность, реализацию и проверку новых регуляторов безопасности следует предварительно планировать. В плане необходимо учесть наличие финансовых средств и сроки обучения персонала. Если речь идет о программно-техническом механизме защиты, нужно составить план тестирования (автономного и комплексного).

Когда намеченные меры приняты, необходимо проверить их действенность, то есть убедиться, что остаточные риски стали приемлемыми. Если это на самом деле так, значит, можно спокойно намечать дату ближайшей переоценки. В противном случае придется проанализировать допущенные ошибки и провести повторный сеанс управления рисками немедленно.

Минимизация IT- риска предполагает осуществление комплекса мер, направленных на снижение вероятности наступления событий или обстоятельств, приводящих к операционным убыткам, и на уменьшение размера потенциальных операционных убытков. Методы минимизации IT- риска рекомендуется применять с учетом характера и масштабов деятельности кредитной организации.

В отношении контроля за операционным риском наиболее важным является:

- контроль за соблюдением установленных лимитов по проводимым банковским операциям и другим сделкам;

- соблюдение установленного порядка доступа к информации и материальным активам банка;

- надлежащая подготовка персонала;

- регулярная выверка первичных документов и счетов по проводимым банковским операциям и другим сделкам.

Снижению операционного риска может способствовать развитие систем автоматизации банковских технологий и защиты информации. При этом кредитной организации рекомендуется принимать во внимание возможную трансформацию операционного риска: при ручной (неавтоматизированной) обработке существует высокая вероятность наступления события, приводящего к убыткам (например, ошибка при вводе данных), а величина потенциальных убытков - небольшая или умеренная, в то время как с повышением уровня автоматизации вероятность наступления события, приводящего к убыткам, снижается, но величина потенциальных убытков может быть весьма значительной (например, ошибка в программном обеспечении или системный сбой) [26].

Снижение уровня отдельных видов операционного риска может быть осуществлено путем передачи риска или его части третьим лицам.

Решение об использовании механизмов передачи риска (например, аутсорсинга - привлечения специализированной сторонней организации для выполнения отдельных видов работ) рекомендуется принимать по результатам тщательного анализа с учетом ожидаемого эффекта, стоимости и возможности трансформации одного вида риска в другой. Кредитной организации рекомендуется наряду с контролем за уровнем остаточного риска сохранять возможность контроля за размером передаваемого операционного риска.

При применении аутсорсинга рекомендуется обратить внимание на то, что в этом случае кредитная организация несет ответственность не только за конечный результат деятельности, но и за способ его достижения, поэтому целесообразно установить контроль за уровнем надежности, качества и соблюдением законодательства Российской Федерации при оказании услуг.

Аутсорсинг рекомендуется осуществлять на основе договоров, предусматривающих распределение прав, обязанностей и ответственности между кредитной организацией и поставщиком услуг. Кредитной организации рекомендуется предусмотреть во внутренних документах порядок регулирования рисков, связанных с аутсорсингом, в том числе риска отказа в обслуживании [23].

Уменьшение финансовых последствий операционного риска (вплоть до полного покрытия потенциальных операционных убытков) возможно с помощью страхования. С использованием традиционных видов имущественного и личного страхования кредитными организациями могут быть застрахованы носители информации и сама информация - на случай утраты.

Страхование может быть использовано и в отношении специфических банковских рисков как на комплексной основе (полис комплексного банковского страхования), так и применительно к отдельным видам рисков (например, страхование рисков, связанных с эмиссией и обращением платежных карт, страхование профессиональной ответственности служащих кредитной организации, страхование ущерба от преступлений в сфере компьютерной информации).

Защита информации -- это обеспечение непрерывности внутренних бизнес-процессов и безопасности обмена данными с клиентами при использовании информационных систем. На случай возникновения чрезвычайных ситуаций, таких как атаки на основной сервер или сбои в его работе, журнал транзакций периодически копируется на резервный сервер, находящийся в другом помещении, поэтому максимальный объем информации-- это данные за последний час работы.

Таким образом, к информационным и телекоммуникационным рискам (IT-рискам) относятся потеря данных из-за сбоя в работе информационных систем, хищение информации, а также передача информации третьим лицам сотрудниками банка. Работа по минимизации таких рисков делится на организационную и техническую. Организационные меры связаны с ограничением доступа к данным. Для этого вся информация классифицируется на общедоступную, для служебного пользования и секретную.

В итоге получается матрица информационных потоков, каждому уровню которой соответствует определенный уровень доступа.

2. Оценка и анализ рисков использования информационных и телекоммуникационных систем в ОАО "АКИБАНК"

2.1 Общая характеристика ОАО "АКИБАНК"

Акционерный коммерческий ипотечный банк "АКИБАНК" (открытое акционерное общество) зарегистрирован в Центральном Банке Российской Федерации 25 ноября 1993 года, лицензия № 2587. ОАО "АКИБАНК" включен в реестр банков - участников системы обязательного страхования вкладов под номером 237. 

Наименование - акционерный коммерческий ипотечный банк "АКИБАНК" (открытое акционерное общество)

Лицензия на осуществление банковских операций № 2587 от 10.11.2002г:

Привлечение денежных средств юридических лиц во вклады (до востребования и на определенный срок) [10].

Общая характеристика и организационная структура Банка представлена на рис.5.

ОАО "АКИБАНК"

УСК УСМБ УЧЛ УОДБ

Рис. 5 Структура управления ОАО "АКИБАНК"

УСК - управление по обслуживанию стратегических клиентов;

УСМБ - управление по обслуживанию клиентов среднего и малого бизнеса;

УЧЛ - управление по обслуживанию частных лиц;

УОДБ - управление по обеспечению деятельности банка.

Миссия ОАО "АКИБАНК" заключается в содействии экономическому развитию и благосостоянию сообществ, обслуживаемых банком, путем представления гражданам и предприятиям качественных банковских услуг, которые соответствуют высоким профессиональным и этическим стандартам, обеспечения справедливой и соответствующей прибыли акционерам банка и справедливого отношения к сотрудникам банка.

Миссия банка состоит их 3 основных элементов:

1. Предоставление качественных банковских услуг клиентам;

2.Обеспечение справедливой прибыли акционерам ОАО "АКИБАНК";

3. Справедливое отношение к сотрудникам ОАО "АКИБАНК";

Стратегические цели ОАО "АКИБАНК", поставленные акционерами, установлены на таком уровне, что их достижение невозможно без выполнения Миссии. Поэтому достижение стратегических целей банком будет свидетельствовать о выполнение им Миссии

АКИБАНК - универсальный коммерческий банк с устойчивой динамикой роста основных финансовых показателей. Размер уставного капитала на 1 января 2007 года составил 969,3 млн.руб., капитал банка - 1111,3 млн. руб., активы - 9231,5 млн.руб.

Итоги деятельности ОАО "АКИБАНК" в 2006 году вновь подтверждают репутацию успешной, динамично развивающейся компании, ориентированной на продвижение современных банковских услуг, позволяющих клиентам банка повысить эффективность бизнеса и качество жизни.

Общее увеличение эффективности работы Банка в отчетном году положительно отразилось на финансовых и операционных результатах. Как и в предыдущие годы, в 2006 году прослеживалась четкая тенденция роста основных показателей, которая приведена на рисунке 6.



Рис. 6 Тенденция роста основных показателей.

Акционерами банка являются организации различных форм собственности, имеющие стабильный доход и устойчивое финансовое положение. Среди них ОАО "Татэнерго", ООО "Страховая группа "АСКО", ООО "АССА", ООО ТПК "Камские автомобили", ОАО "Генерирующая компания", ОАО "Сетевая компания".

Основную долю активных операций ОАО "АКИБАНК" составляет кредитование "реального сектора" экономики Российской Федерации. По объемам выданных кредитов банк входит в первую пятерку действующих кредитных организаций республики. ОАО "АКИБАНК" находится в тройке региональных лидеров по росту объемов выданных кредитов субъектам малого бизнеса и индивидуальным предпринимателям.

Уставный капитал банка составляет 969 296 тыс. руб. По этому показателю ОАО "АКИБАНК" уверенно входит в число 200 крупнейших кредитных организаций России. За 2004-2005 годы осуществлены три выпуска акций банка на общую сумму 544 млн. руб. Готовность акционеров вкладывать деньги в акции банка свидетельствует о его надежности и стабильности. Планируется наращивание уставного капитала банка до двух млрд. рублей. Увеличение собственного капитала позволит банку увеличить масштабы бизнеса, продолжить развитие сети филиалов, совершенствовать старые и вводить новые услуги.

Результаты деятельности Банка в отчетном году убедительно демонстрируют его финансовую стабильность и поступательный рост. В 2006 году ОАО "АКИБАНК" существенно улучшил показатели по валюте баланса, активам, кредитным вложениям и привлеченным ресурсам, что является свидетельством правильности выбранной стратегии развития Банка [28].

Рост валюты баланса на 46% во многом определяется аналогичным ростом кредитного портфеля на 47%. Кредитование остается основным направлением размещения средств, приносящим около половины доходов банка. За 2006 год было выдано кредитов на сумму 21 745 млн.рублей, что на 19,8% больше,

чем в 2005г. На финансирование реального сектора экономики направлено свыше 4 400 млн. рублей, что составило более 20% от всех выданных кредитов в течение отчетного года. Предприятиям малого бизнеса (предприятия

и индивидуальные предприниматели) было предоставлено в различных формах заимствования 128,4 млн.рублей. Основные отрасли кредитования - это предприятия сельского хозяйства, промышленности, электроэнергетики, пищевой промышленности, торговли, строительной отрасли, лизинговые фирмы. Объем займов, выданных физическим лицам за 2006 год, составил 1 956 млн. рублей.

В отчетном году произошло изменение структуры портфеля, которая приведена на рисунке 7. Значительное внимание уделялось кредитованию физических лиц, и за отчетный период доля кредитов частных лиц в портфеле банка выросла до 20%. Заметную долю в ссудном портфеле (13%) занимают агропромышленный комплекс и строительная отрасль (9%), что связано с активном участием ОАО "АКИБАНК" в реализации национальных проектов "Развитие АПК" и "Доступное жилье".

Рис.7 Структура кредитного портфеля Банка

В отчетном периоде на увеличение резервов направлены значительные средства - 60,8 млн. руб. С одной стороны, это явилось результатом целенаправленной работы банка по минимизации принимаемых банком кредитных рисков, с другой - увеличением кредитных вложений. Доля созданных резервов в общих кредитных вложениях на 01.01.2007г. составила 2,1%.

Положительным фактором является и увеличение активов по сравнению с началом года без малого на 50 %. Значительное увеличение активов связано, в первую очередь, с ростом ресурсной базы, произошедшем за счет увеличения объема привлеченных средств (табл.2).

Основным источником привлеченных средств являлись средства клиентов. Наиболее существенный прирост (68%) произошел по сумме остатков на расчетных счетах, которая на 01.01.2007 г. достигла 3705,8 млн. рублей.

Депозиты юридических и физических лиц выросли за год на 20% и составили 40% в структуре привлеченных средств. Достаточно показательным является стабильный рост объемов средств населения во вкладах Банка. Этот показатель за отчетный год стал больше на 31%, составив 1783,5 млн.рублей.

Структура привлеченных средств на 01.01.2007г.

Таблица 2

Показатель	на 01.01.07 (в тыс.руб.)	% от суммы привлеченных средств
Остатки на расчетных счетах	3 705 828	46,1 %
Депозиты физических лиц	1 783 484	22,2 %
Депозиты юридических лиц	1 417 645	17,6 %
Выпущенные долговые обязательства	1 130 097	14,1 %
Итого	8 037 054	100 %

Для удовлетворения потребностей Банка в среднесрочных ресурсах ОАО "АКИБАНК" в отчетном году разместил на фондовой бирже ММВБ первый облигационный заем на 600 млн. рублей со сроком обращения 3 года.

Доля работающих активов в среднем по году составляла 80%, что говорит об эффективном использования привлеченных средств.

Собственный капитал банка с начала года увеличился на 130 млн.рублей или на 13,3%. В июле 2006 г. Банк провел эмиссию уставного капитала на 83,8 млн. рублей за счет капитализации собственных средств (нераспределенной прибыли за 2005год) и на 01.01.2007 уставный капитал банка составил 969,3 млн. рублей Рентабельность уставного капитала за 2006 год достигла уровня 20,7% (при уровне инфляции 8-10%), рентабельность собственных средств (капитала) Банка составила 18%, и это свидетельствует о высокой доходности совершаемых операций, которые приведены в табл. 3.

Показатели финансово-экономической деятельности в динамике

Таблица 3

Показатели	2004 год (в тыс. руб.)	2005 год (в тыс. руб.)	2006 год (в тыс. руб.)
Уставный капитал	825 500	885 500	969 296
Собственные средства (капитал)	886 663	980 954	1 111 336
Балансовая прибыль	97 371	195 225	200 371
Рентабельность капитала (%)	11,0	19,9	18,0
Рентабельность активов (%)	2,3	3,1	2,2
Валюта баланса	4 998 269	7 199 021	10 504 539
Активы	4 211 732	6 275 211	9 231 502
Доходы	826 811	1 438 819	1 903 814
Кредитный портфель	2 995 580	4 749 140	6 990 633
Количество расчетных счетов	4 555	6 023	7 180
Привлеченные средства	3 198 744	5 229 512	8 037 054

ОАО "АКИБАНК" участвует в реализации национальных проектов (табл.4). Правительства Российской Федерации, а именно в программах развития АПК и строительства доступного жилья. Перечень проектов, профинансированных за счет средств банка, по реализации национальных проектов Правительства Российской Федерации.

Национальные проекты

Таблица 4

Название предприятия	Название проекта	Стоимость проекта, (т. р.)	Сумма кредита (т.р.)	Срок окупаемости
ООО "Челны-Бройлер	Реконструкция птицефабрики	988 310	244 716	4 года 9 мес.
ООО "Камский Бекон"	Строительство комплекса по выращиванию свиней	2 031 500	512 360	6,5 лет
ООО "Камские" Автомобили	Строительство жилья	305 000	181 100	1,2 года
ООО "Магнолия-С"	Строительство жилья	107 963	93 000	7 месяцев
ООО "Грань"	Строительство жилья	167 000	10 900	11 месяцев
ЗАО "Татнефтегаз-стройинвест"	Строительство комплекса жилых домов с плавательным бассейном	159 500	47 102	2 года
Итого		3 759 273	1 075 018

В 2006 году выросли все объемные показатели по оказанию услуг частным лицам, которые приведены в табл.5

Показатели по оказанию услуг частным лицам.

Таблица 5

Наименование показателя	на 01.01.2007 г.	Рост с начала года
Прием платежей	3 566 млн.руб.	26%
Денежные переводы	1 023 млн.руб.	17%
Выпуск банковских карт	175 294 штук	22%
Объем вкладов	1 783 млн.руб.	31%
Кредитный портфель	1 435 337 млн.руб.	91%
Доходы	141 899 тыс.руб.	63%

В настоящее время Банк продолжает увеличивать объёмы эмиссии банковских карт (рис.8). За 2006 год объём эмиссии банковских карт увеличился по сравнению с 2005 годом по картам STB на 32,1 тыс.карт (122%), MasterCard на 392 карты (168%) и общее количество действующих в обращении карт составило на 01.01.2007 по STB - 174,3 тыс. карт, по МasterCard - 962 карты. Основную долю выпущенных карт STB составляют банковские карты, выпущенные по "зарплатному проекту".

Рис. 8 Динамика роста обслуживания банковских карт

Структура кредитного портфеля

Кредиты, выданные физическим лицам

Факторинг

Кредиты, выданные юридическим лицам

Рис.9 Структура кредитного портфеля Банка

Политика управления персоналом основана на миссии ОАО "АКИБАНК", целью которой является обеспечение прибыли акционерам посредством оказания высококачественных услуг клиентам банка. Наше видение системы управления персоналом определяется бизнес-стратегией Банка, нацелено на обеспечение и развитие его конкурентных преимуществ [32].

Успех ОАО "АКИБАНК" обеспечивает его персонал. Партнёрские взаимоотношения внутри коллектива, социальная ответственность и справедливость, поощрение инициативы и соблюдение высоких профессиональных стандартов в работе с персоналом являются залогом нашего общего благополучия и процветания.

Корпоративная политика в области управления персоналом в 2006 году была направлена на достижение следующих целей:

* повышение результативности труда;

* создание эффективной системы оплаты труда и мотивации сотрудников;

* развитие системы оценки, обучения и развития персонала;

* формирование кадрового потенциала, адекватного потребностям Банка;

* поддержание организационного порядка.

Внедрение новой системы оплаты труда и мотивации сотрудников, позволило создать эффективную систему общего вознаграждения, целью которой является привлечь, удержать и мотивировать сотрудников, чья квалификация и результативность обеспечат успешное выполнение Банком своей миссии и достижение бизнес-целей.

При удовлетворении потребностей в персонале определенного качества Банк, прежде всего, ориентируется на развитие необходимых навыков и компетенций у своих сотрудников.

Необходимый уровень профессиональной компетентности сотрудников поддерживался и развивался системой обучения и повышения квалификации (рис.10). В 2006 году на обучение и развитие персонала было потрачено 0,7 млн. руб. В 2007 году корпоративная система обучения и развития персонала будет основываться на стратегических потребностях бизнеса, бизнес-планах и должностных требованиях.

В целях управления лояльностью сотрудников в отчетном году было принято решение устанавливать ежемесячную доплату за непрерывный стаж работы в ОАО "АКИБАНК". Для обеспечения непрерывности и преемственности управления разработан и внедрён механизм формирования внутреннего кадрового резерва на замещение должностей Банка.

Организационный порядок является основой деятельности Банка и достигается через безусловное выполнение сотрудниками требований "Правил внутреннего трудового распорядка ОАО "АКИБАНК".

Рис. 10 Структура персонала по уровню образования