С целью расширения зоны обслуживания клиентов открыты филиалы во всех промышленно-развитых районах Республики Татарстан: в городах Казань (Северо-западный промышленный район), Альметьевск (Закамье), Нижнекамск (Северо-восточный регион РТ). Начиная с 2003 г. банк расширил сферу своего влияния за пределы Республики, открыв филиалы в Москве и Воронеже. В конце 2004 года зарегистрирован филиал в Уфе.

Сегодня банк обслуживает более 7000 клиентов - юридических лиц свыше 300000 вкладчиков. Ежегодно более тысячи предприятий различных форм собственности и предпринимателей открывают счета в банке. ОАО "АКИБАНК" входит в рейтинги крупнейших банков России, имеет несколько профессиональных премий - знак признания достойного вклада в развитие финансовой системы страны.

Взвешенная политика, основанная на точном анализе рыночной ситуации и долгосрочном прогнозе, знание текущих тенденций позволяют банку сохранять стабильность и динамично развиваться.

Внимательное и оперативное обслуживание клиентов, максимальное удовлетворение их потребностей в банковских продуктах высокого качества являются основой клиентской политики банка.

На протяжении многих лет банк занимается благотворительной и спонсорской деятельностью, помогая решать самые разные социальные проблемы. ОАО "АКИБАНК" много делает для поддержки талантливой молодежи.

ОАО "АКИБАНК" сегодня ставит перед собой новые масштабные задачи по увеличению объемов и расширению деятельности. Банк планирует существенно увеличить уставный капитал за счет дополнительной эмиссии акций. В составе его акционеров появится иностранный инвестор. Это позволит АКИБАНКу привлечь дополнительные финансовые ресурсы и еще активнее развивать программы кредитования малого, среднего бизнеса, населения, а также совершенствовать бизнес - процессы, внедрять высокотехнологичные услуги. И это еще больше повысит конкурентоспособность банка.

Стратегией развития ОАО "АКИБАНК" предусмотрено значительное увеличение объемов розничного бизнеса. Для достижения поставленных целей планируется укрепление позиций Банка в существующих регионах присутствия, а также географическое расширение за счет новых регионов. Предполагается географическое расширение точек продаж розничных продуктов за счет открытия представительств и кредитно-кассовых офисов

в крупных городах Российской Федерации.

Будет открыто 7 дополнительных офисов, приобретено 18 банкоматов и 60 POS-терминалов по городам присутствия Банка.

Акционерный коммерческий ипотечный банк "АКИБАНК" (открытое акционерное общество) зарегистрирован 25.11.1993 года, регистрационный номер № 2587. Адрес: г. Набережные Челны, пр. Мира, д.88 а.

2.2 Анализ управления рисками в ОАО "АКИБАНК"

В ОАО "АКИБАНК" создана эффективная система управления уровнем всех видов рисков, сопровождающих его деятельность.

Целью системы управления рисками является поддержание принимаемого на себя Банком совокупного риска на уровне, определенном Банком в соответствии с собственными стратегическими задачами. Приоритетным является обеспечение максимальной сохранности активов и капитала на основе минимизации подверженности рискам, которые могут привести к неожиданным потерям.

Стратегия управления рисками ОАО "АКИБАНК" базируется на соблюдении принципа безубыточности деятельности и направлена на обеспечение оптимального соотношения между прибыльностью бизнес - подразделений Банка и уровнем принимаемых на себя рисков. Основными структурными подразделениями, на которые возлагаются функции контроля над рисками в ОАО "АКИБАНК", являются отдел контроля банковских рисков, казначейство Банка и отдел внутреннего контроля Банка.

В течение 2006 года были созданы внутренние положения, регламентирующие порядок выявления, оценки, контроля и минимизации рисками в ОАО "АКИБАНК". Данные документы разработаны в соответствии с требованиями нормативных актов ЦБ РФ, документов Базельского

комитета, Общепризнанных Принципов Управления Рисками (Generally Accepted Risk Principles - GARP), собственных методик оценки, показателей и инструментов управления рисками [30].

В Банке разработана система лимитов, которая ограничивает (минимизирует) кредитные, региональные, отраслевые риски, риски ликвидности и рыночный риск. Мониторинг данных показателей о выполнении лимитов производится ежеквартально, результаты доводятся Наблюдательному Совету и Правлению Банка.

Оценка уровня основных видов рисков производится с использованием таких инструментов, как, стресс-тестирование и сценарный анализ.

Действующая в ОАО "АКИБАНК" система управления рисками позволяет с большой долей запаса выполнять основные нормативы Банка России:

* норматив достаточности капитала Н1 = 13,1% (min = 10%);

* норматив мгновенной ликвидности Н2 = 36,7% (min = 15%);

* норматив текущей ликвидности Н3 = 63,9% (min = 50%);

* норматив долгосрочной ликвидности Н4 = 82,9% (max = 120%);

* максимальный размер риска на одного заемщика или группу связанных

заемщиков Н6 = 24,4% (max = 25%);

* максимальный размер крупных кредитов Н7 = 388,6% ( max = 800%).

Об эффективности системы управления рисками свидетельствует высокое качество ссудного портфеля. Размер созданных резервов составляет 2,1%

от суммы ссудного портфеля, а доля просроченной задолженности не превышает 0,17% [26].

В целях оценки, контроля и минимизации кредитных рисков в ОАО "АКИБАНК" действует утвержденный порядок проведения операций, включающий в себя соответствующие правила и процедуры, утвержденные полномочия по принятию решений и лимиты по объему проводимых операций. Разработана система управления кредитными рисками, которые ограничиваются установленными лимитами по оптимизации регионального, отраслевого риска, по типам заемщиков, риска на одного или группу взаимосвязанных заемщиков, по крупным кредитам, максимальный риск по связанным с банком лицам и акционерам банка. В 2006 году были установлены лимиты и постоянно производится мониторинг суммы условных обязательств кредитного характера и суммы кредитов, выданных связанным с Банком сторонам. Отделом контроля банковских рисков производится расчет ежедневного значения показателя "вероятность дефолта заемщика", начиная с периода 01.09.2004 г. до текущего момента, на основе которого производится расчет величины Value-at-Risk (VaR)..

Риск ликвидности контролируется ежедневно отделом казначейства, Отдел контроля банковских рисков и главным бухгалтером путем установления лимитов мгновенной, текущей ликвидности, долгосрочной и общей ликвидности и ежедневного контроля за их состоянием в ПК "Управленческий учет" и в программе ЦБ "Obved".

Для оценки и анализа риска потери ликвидности Банк использует следующие методы:

* метод коэффициентов (ежедневный расчет обязательных нормативов в соответствии с требованиями Инструкции №110-И от 16.01.2004г.);

* метод анализа разрыва в сроках погашения требований и обязательств с расчетом показателей ликвидности: избыток/дефицит ликвидности, коэффициент избытка/дефицита ликвидности (ежедневный расчет ф.125);

* прогноз движения потоков денежных средств.

Операционный риск минимизируется за счет регламентирования и контроля всех проводимых в Банке процедур, делегирования и разделения полномочий, постоянного совершенствования используемых технологий и информационных систем. В 2006 году Банк начал вести учет операционных рисков и расчет капитала, необходимого для резервирования под операционные риски. Расчет капитала под операционные риски производится двумя методами: базовым индикативным (BIA) и стандартизированным (TSA). Ежеквартально рассчитывается уровень операционного риска Банка. Выявление операционных убытков и потерь ведется всеми подразделениями банка, включая и филиалы. Отчеты по операционным рискам составляются отделом контроля банковских рисков ежеквартально и направляются Правлению банка и Наблюдательному совету Банка [5].

Рыночный риск включает в себя валютный, фондовый и процентный риск. В валюте баланса вложения в торговый портфель занимает менее 0,1%, валюта - 0,6%, поэтому на данном этапе валютный и фондовый риски незначительны. Контроль и управление фондовым риском осуществляется в соответствии с внутренними утвержденными документами. Ежедневно осуществляется контроль за соблюдением установленных лимитов по проводимым операциям на рынке ценных бумаг, за доходностью сделок с ценными бумагами. Процентный риск контролируется путем ежемесячного мониторинга ставок привлечения и размещения ресурсов, маржи прибыли, внутренней себестоимости и других факторов, оказывающих влияние на уровень процентных рисков.

В 2006 году также начата работа по проведению стресс-тестирования Банка. В программном комплексе ИНЭК "Финансовый риск менеджер"

производится ежеквартальное стресс-тестирование банка для расчета максимальных потерь - капитала под риском (VAR). Методы оценки рисков

на основе VAR- анализа позволяют рассчитать с заданной вероятностью максимальные ожидаемые убытки банковского портфеля при условии сохранения текущих рыночных тенденций. Основной методикой стресс-тестирования в ОАО АКИБАНК" является сценарный анализ, проводимый на основе либо исторических событий, произошедших в прошлом, либо на основе гипотетических событий, которые могут произойти в будущем, и анализ чувствительности портфеля активов Банка к изменению факторов риска, на

основании которых рассчитываются максимальные потери банка, которые могут возникнуть при самых неблагоприятных, но вероятных условиях.

Сценарный анализ позволяет оценивать не только максимально возможные потери, но и проводить анализ чувствительности финансового результата банковского портфеля к изменению значений факторов риска и их волатильности.

Отдел информационных технологий. Отдел информационных технологий является структурным подразделением Управления обеспечения деятельности банка, осуществляющим удовлетворение потребностей банка в следующих услугах:

- автоматизация бизнес-процессов всех подразделений (под бизнес-процессом в целях настоящего Положения понимаются действия сотрудников банка, направленные на реализацию функций, возложенных на них утвержденными внутрибанковскими положениями и должностными инструкциями);

- автоматизация процессов управления банком;

- формирование и представление всех видов информации, связанной с автоматизацией бизнес-процессов всех подразделений банка и их программным обеспечением, начальнику управления обеспечения деятельности банка;

Общей целью (миссией) Отдела определяется повышение благосостояния акционеров ОАО "АКИБАНК", его работников и клиентов, что является:

- условием, определяющим перспективы развития банка, финансовые результаты его деятельности;

- первым и необходимым условием существования самого отдела информационных технологий;

Задачей Отдела является оказание определенных настоящим положением услуг, таким образом и на таком уровне, чтобы:

- обеспечить повышение производительности труда сотрудников банка методом автоматизации процессов сбора и анализа входящей и исходящей информации до уровня производительности труда конкурентов банка;

- обеспечить повышение уровня качества и комфорта управления банком путем автоматизации процессов формирования и вывода управленческой информации до уровня конкурентов банка;

- минимизировать риски, возникающие в процессе деятельности всех подразделений банка, связанных с использованием программного обеспечения до уровня конкурентов банка (под конкурентами банка в целях настоящего Положения понимаются коммерческие банки, входящие в состав первой сотни европейских банков в соответствии с официальными данными международных рейтинговых агентств);

- обеспечить своевременное формирование достоверной и полной управленческой информации, связанной с автоматизацией бизнес-процессов всех подразделений банка и их программным обеспечением.

- обеспечить возможность формирования любых новых видов информации, необходимых для составления и реализации стратегических и тактических планов банка, и отвечающих требованиям достоверности, полноты и своевременности для ее пользователей;

- обеспечить постоянный рост производительности труда должностных лиц банка путем создания комфортных условий их деятельности. Роль Отдела в создании комфортных условий для должностных лиц банка заключается в своевременном и полном выполнении закрепленных за ним функций, связанных с автоматизацией бизнес-процессов всех управлений банка, обеспечением бесперебойной работы всех программных средств, своевременным сбором и формированием полной и достоверной управленческой информации.

Отдел подчиняется непосредственно Заместителю Председателя Правления - начальнику Управления обеспечения деятельности банка и возглавляется начальником Отдела.

В своей работе Отдел руководствуется миссией банка, внутрибанковскими документами, действующим законодательством Российской Федерации, уставом банка, Решениями Наблюдательного Совета банка, приказами и распоряжениями Председателя Правления банка, правилами оказания банковских услуг.

Принципы работы отдела информационных технологий

Сотрудники Отдела заинтересованы в экономическом росте каждого доходного подразделения и банка в целом.

Отдел на постоянной основе производит поиск резервов роста конкурентоспособности и инвестиционной привлекательности банка. Предлагает и реализует мероприятия по использованию данных резервов.

Стоимость вновь закупаемых программных продуктов не должна превышать экономического эффекта от их использования в определенный период и не превышать бюджета, предусмотренного финансовым планом.

Выполняя функции, возложенные на отдел, сотрудники должны заботиться о постоянном повышении комфорта руководства и сотрудников банка. В целях реализации миссии Отдела и как средство достижения финансовых целей в процессе своей деятельности работники Отдела придерживаются следующих принципов, которые представлены в табл.6.

Принципы деятельности

Таблица 6

Принципы деятельности Отдела	Содержание принципов
1.Сотрудники Отдела заинтересованы в экономическом росте каждого доходного подразделения и банка в целом.	В процессе обслуживания Банка сотрудники Отдела обязаны осознавать свою непосредственную заинтересованность в экономическом росте банка, его акционеров и клиентов. Доходы банка являются частью доходов клиентов и, следовательно непосредственно зависят от их размера. В свою очередь доходы сотрудников Отдела являются частью доходов, получаемых банком, и также зависят от их размера.
2.Отдел на постоянной основе производит поиск резервов роста конкурентоспособности и инвестиционной привлекательности банка. Предлагает и реализует мероприятия по использованию данных резервов.	Отдел в процессе осуществления своих функций анализирует бизнес-процессы, осуществляемые сотрудниками банка, на предмет возможности их автоматизации. В результате данного анализа выявляются резервы увеличения производительности труда, повышение уровня надежности проводимых операций для клиентов Управления обеспечения деятельности банка. Рост конкурентоспособности банка отделом информационных технологий также обеспечивается за счет деятельности, направленной на снижение рисков (доработка программного обеспечения, разработка внутренних стандартов документов). Исходя из цели по повышению конкурентоспособности банка и инвестиционной привлекательности, отдел анализирует рынок банковского программного обеспечения на предмет возможного использования в бизнес-процессах управлений.
3.Стоимость вновь закупаемых программных продуктов не должна превышать экономического эффекта от их использования в определенный период и не превышать бюджета, предусмотренного финансовым планом.	Решение о приобретении программных продуктов всегда должно основываться на предварительном анализе экономической целесообразности изъятия средств из доходных активов и расчета периода их окупаемости. Приобретение программных средств непосредственно влияет на риск потери ликвидности банка. Поэтому приобретение программных средств должно производиться в объемах, предусмотренных годовым финансовым планом банка. Нецелесообразным признается приобретение программных продуктов со сроком окупаемости более срока их морального и/или технического износа. Нецелесообразным признается приобретение программных продуктов, если их потребительские качества используются менее чем на 70 %;

Продолжение таблицы 6

Принципы деятельности Отдела	Содержание принципов
4.Выполняя функции, возложенные на отдел, сотрудники должны заботиться о постоянном повышении комфорта руководства и сотрудников банка.	Уровень комфорта руководства банка и его сотрудников в значительной степени зависит от возможностей программного обеспечения, отсутствия сбоев в его работе. В свою очередь уровень комфорта условий труда руководства и персонала банка влияет на производительность труда, степень выполнения миссии банком, эффективность управления банком. Таким образом, создание комфортных условий труда для руководства и персонала непосредственно сказывается на развитии конкурентных преимуществ банка и его инвестиционной привлекательности.

Организационная структура Отдела информационных технологий представлена на рис. 11.

77

Рис 11. Организационная структура Отдела информационных технологий

Отдел информационных технологий возглавляет Начальник отдела.

Финансовые показатели Отдела информационных технологий представлены в табл. 7

Финансовые показатели

Таблица 7

Финансовые показатели	Отдел информационных технологий
1.Максимально допустимый объем изымаемых средств клиентов и акционеров банка в результате воздействия рисков, вызываемые последствиями неправомерных или некомпетентных решений отдельных работников.	0,03% балансовой прибыли
2.Объем автоматизированных функций (подлежащие автоматизации) в подразделениях банка	100% функций
3.Рост производительности труда сотрудников банка в результате автоматизации функций.	30%
4.Объем потерь имущества находящегося на складе, в кассе или переданного в эксплуатацию сотрудникам Отдела	от $20
5.Количество претензий к деятельности Отдела со стороны руководителей доходных подразделений банка.	10 претензий

Функции, осуществляемые Отделом - виды его деятельности, осуществляя которые, Отдел достигает поставленных для него целей.

Количественные и качественные цели, которые необходимо достичь Отделом к 2007 году, выражены в следующих основных показателях:

Функции, возложенные на Отдел информационных технологий, заключаются в:

- оказании полного комплекса услуг, связанных с автоматизацией бизнес-процессов управлений банка, минимизирующих риски, повышающих качество управления банком и создающих условия для комфортной деятельности доходных подразделений банка;

- создании и поддержании психологически комфортной атмосферы в отношениях с клиентами Управления обеспечения деятельности банка и клиентами доходных управлений банка;

Для оценки результатов по выполнению функций, закрепленных за Отделом, ежемесячно, не позднее 10 числа, составляется отчет, где отражается степень достижения количественных и качественных целей. Отчет составляется по форме, утвержденной Председателем Правления Банка.

Функции, направленные на выполнение целей и задач Отделом, сгруппированы и представлены в табл. 8

Функции Отдела информационных технологий

Таблица 8

Функции	Отдел информационных технологий
1.Анализ бизнес-процессов, осуществляемых в банке, на предмет возможности их автоматизации с целью повышения производительности труда.	Минимизация риска недостижения целей, операционного риска
2.Подготовка предложений по повышению производительности труда в банке методом автоматизации бизнес-процессов
3.Разработка на основании принятых предложений годовых, квартальных планов автоматизации процессов, и представление их руководству управления для утверждения.
4.Реализация утвержденных планов автоматизации процессов.
5.Внесение изменений бизнес-процессы, связанные с их автоматизацией для последующего утверждения.	Минимизация риска потери конкурентоспособности и риска недостижения целей.
6.Создание концепции удаленного управления банком и его подразделениями без территориального ограничения	Минимизация риска потери конкурентоспособности и риска недостижения целей.
7.Разработка плана реализации и бюджета концепции удаленного управления банком и его подразделениями без территориального ограничения
8.Реализация плана концепции удаленного управления банком и его подразделениями без территориального ограничения.
9.Исходя из стратегических целей банка составление плана и бюджета обеспечения банка программными средствами на 10 лет.

Прдолжение таблицы 8

Функции	Отдел информационных технологий
10.Разработка и представление руководству банка директивных и методических документов по использованию программного обеспечения для утверждения.	Минимизация рисков вызываемых последствиями неправомерных или некомпетентных решений отдельных работников и потери репутации банка
11.Сбор и анализ информации о выявленных персоналом банка ошибках программного обеспечения. Доработка и исправление выявленных ошибок.	Минимизация рисков вызываемых последствиями неправомерных или некомпетентных решений отдельных работников и потери репутации банка
12.Разработка внутренних стандартов по формированию документов на машинных и бумажных носителях.

Риски, воздействующие на Отдел информационных технологий приведены в табл.9.

Под рисками банковской деятельности, воздействующими на функции, осуществляемые Отделом, здесь и далее понимается возможность утери ликвидности и (или) финансовых потерь (убытков), связанная с внутренними и внешними факторами, влияющими на деятельность банка.

Контроль над уровнем рисков в Отделе осуществляется по линии административного и финансового контроля. Административный и финансовый контроль осуществляется в предварительном, текущем и последующем порядке.

Административный контроль состоит в обеспечении проведения операций только уполномоченными на то лицами и в строгом соответствии с определенными банком полномочиями и процедурами принятия решений по проведению операций.

Распределение ответственности по регулированию рисков внутри Отдела. Виды рисков

Таблица 9

Виды рисков	Отдел информационных технологий
Неблагоприятные изменения государственной экономической политики
Кредитный риск
Риск потери деловой репутации	+
Правовой риск	+
Риск несоответствия интересам банка емкости и доходности финансовых рынков
Рыночный риск
Процентный риск
Страновой риск и риск не перевода средств
Риски, вызываемые последствиями неправомерных или некомпетентных решений отдельных работников.	+
Риск потери ликвидности
Операционный риск	+
Валютный риск
Риск потери конкурентоспособности	+
Риск не достижения целей	+

Финансовый контроль состоит в обеспечении проведения операций в строгом соответствии с принятой и закрепленной документами политикой банка применительно к разным видам финансовых услуг и их адекватного отражения в учете и отчетности.

Административный и финансовый контроль должен с достаточной степенью надежности удостоверить как минимум следующее:

- доступ сотрудников банка к имуществу банка, к осуществлению операций по счетам клиентов и кредиторов допускается только в строгом соответствии с надлежащим образом удостоверенными полномочиями сотрудников;

- операции отражаются в учете в соответствии с установленными Банком России требованиями, реально отражают состояние активов и пассивов банка и обеспечивают составление установленных форм отчетности;

- данные учета активов и пассивов банка надлежащим образом подтверждаются как с точки зрения их охвата, так и с позиций периодичности проверок соответствия, и при наличии отклонений предпринимаются необходимые действия, направленные на ликвидацию расхождений.

Отдел обязан минимизировать риски, возникающие при осуществлении функций, в соответствии с методикой минимизации рисков, утвержденной Председателем Правления банка, нормативными требованиями ЦБ РФ, и здравым смыслом.

В ОАО "АКИБАНК" начата работа по проведению стресс-тестирования Банка. В программном комплексе ИНЭК "Финансовый риск-менеджер" производится ежеквартальное стресс-тестирование Банка для расчета максимальных потерь - капитала под риском (VAR). Методы оценки рисков на основе VAR- анализа позволяют рассчитать с заданной вероятностью максимальные ожидаемые убытки банковского портфеля при условии сохранения текущих рыночных тенденций [30].

Основной методикой стресс-тестирования в ОАО "АКИБАНК" является сценарный анализ, проводимый на основе либо исторических событий, произошедших в прошлом, либо на основе гипотетических событий, которые могут произойти в будущем, и анализ чувствительности портфеля активов Банка к изменению факторов риска, на основании которых рассчитываются максимальные потери банка, которые могут возникнуть при самых неблагоприятных, но вероятных условиях. Сценарный анализ позволяет оценивать не только максимально возможные потери, но и проводить анализ чувствительности финансового результата банковского портфеля к изменению значений факторов риска.

Кредитная организация разрабатывает основные принципы управления операционным риском, определяющие:

- цели и задачи управления операционным риском с учетом приоритетных направлений деятельности кредитной организации;

- основные методы выявления, оценки, мониторинга (постоянного наблюдения) операционного риска;

- основные методы контроля и (или) минимизации операционного риска (принятие мер по поддержанию риска на уровне, не угрожающем интересам кредиторов и вкладчиков, устойчивости кредитной организации);

- порядок представления отчетности и обмена информацией по вопросам управления операционным риском;

- распределение полномочий и ответственности между советом директоров (наблюдательным советом) и исполнительными органами за реализацию основных принципов управления операционным риском.

Степень детализации основных принципов управления операционным риском зависит от уровня операционного риска, которому подвергается кредитная организация [11].

Основные принципы управления операционным риском реализуются во внутренних документах кредитной организации, определяющих:

- организационную структуру кредитной организации, разделение и делегирование полномочий, функциональные обязанности, порядок взаимодействия подразделений, служащих и обмена информацией;

- порядок, правила, процедуры совершения банковских операций и других сделок, учетную политику, организацию внутренних процессов;

- правила, порядки и процедуры функционирования систем (технических, информационных и других);

- порядок разработки и представления отчетности и иной информации;

- порядок стимулирования служащих и другие вопросы.

При изменении, разработке и принятии новых внутренних документов кредитной организации необходимо проводить оценку их соответствия основным принципам управления операционным риском [6].

В целях создания условий для эффективного управления операционным риском кредитной организации рекомендуется учредительными и (или) внутренними документами отнести к компетенции совета директоров (наблюдательного совета) следующие вопросы:

- утверждение основных принципов управления операционным риском;

- создание организационной структуры кредитной организации, соответствующей основным принципам управления операционным риском;

- осуществление контроля за полнотой и периодичностью проверок службой внутреннего контроля соблюдения основных принципов управления операционным риском отдельными подразделениями и кредитной организацией в целом;

- утверждение мер по обеспечению непрерывности финансово-хозяйственной деятельности при совершении банковских операций и других сделок, включая планы действий на случай непредвиденных обстоятельств (планы по обеспечению непрерывности и (или) восстановления финансово-хозяйственной деятельности);

- оценка эффективности управления операционным риском;

- контроль за деятельностью исполнительных органов кредитной организации по управлению операционным риском.

На этапе выявления операционного риска особое внимание необходимо обращать на случаи пересечения полномочий и ответственности подразделений, служащих кредитной организации.

Все нововведения, производимые кредитной организацией, - изменения структуры или процедур, внедрение новых услуг и технологий, в том числе с использованием аутсорсинга, освоение новых направлений деятельности - рекомендуется на этапе разработки подвергать тщательному анализу с целью выявления факторов операционного риска [9].

3. Регулирование информационных и телекоммуникационных рисков в системе управления операционным риском кредитных организаций

3.1. Методы управления рисками, связанными с использованием информационных и телекоммуникационных систем

Во внутренних документах кредитной организации рекомендуется определить методы оценки операционного риска. Кредитные организации могут разрабатывать методы оценки операционного риска самостоятельно либо использовать методы, принятые в международной банковской практике. В международной банковской практике применяются следующие методы [3]:

- статистический анализ распределения фактических убытков;

- балльно-весовой метод (метод оценочных карт);

- моделирование (сценарный анализ).

Во второй половине 90-х годов компания C & A Systems Security [33] разработала методику и одноименный инструментарий для анализа и управления информационными рисками, получившие название COBRA. Эта методика позволяет выполнить в автоматизированном режиме оценку информационных рисков банка. Для этого предлагается использовать специальные электронные базы знаний и процедуры логического вывода, ориентированные на требования ISO 17799.

Из программных комплексов российских производителей можно отметить "Кондор" и "Гриф" производства компании Digital Security [35].Они привлекают простым и понятным пользовательским интерфейсом и сравнительно невысокой ценой. Демонстрационные версии этого программного обеспечения можно бесплатно скачать с сайта производителя. Аудиторам информационной безопасности предлагаются консалтинговые версии данных программных продуктов. Они много дороже своих корпоративных аналогов, зато в их базах содержатся исчерпывающие наборы аналитических данных.

Четкой методики количественного расчета величин рисков как не было, так и нет. Это связано в первую очередь с отсутствием достаточного объема статистических данных о вероятности реализации той или иной угрозы. В результате наибольшее распространение получила качественная оценка информационных рисков.

В спорах на тему оценки информационных рисков или экономического обоснования инвестиций в информационную безопасность сломано немало копий. В настоящее время идет активное накопление данных, на основании которых можно было бы с приемлемой точностью определить вероятность реализации той или иной угрозы. К сожалению, имеющиеся справочники опираются на зарубежный опыт и потому с трудом применимы к российским реалиям. К тому же определение величины стоимости информационного ресурса (будь то физический сервер или файлы и записи СУБД) тоже зачастую затруднено. К примеру, если владелец ресурса (в предположении, что таковой идентифицирован) может назвать стоимость оборудования и носителей, то указать точную стоимость находящихся в его ведении данных он практически никогда не в состоянии. Поэтому наиболее распространенной остается качественная оценка информационных рисков, когда при отсутствии точных данных значения параметров устанавливает проводящий анализ рисков эксперт[20].

Идентификация угроз.

Для управления рисками требуется идентифицировать возможные опасности, угрожающие обследуемой информационной системе. Таковыми могут являться, например, наводнение, отключение электропитания или атаки злоумышленников с последствиями разной степени тяжести. На данном этапе рекомендуется учесть все риски, однако оценивать лишь те, реализация которых возможна исходя из принятой модели нарушителя. Таким образом, после идентификации угрозу следует соотнести с моделью нарушителя с целью определения соответствующей категории нарушителя и последующей оценки вероятности реализации данной угрозы. Например, если модель нарушителя не описывает категорию удаленных пользователей (в банке не предусмотрен удаленный доступ), то вероятность утечки информации в результате доступа к ней извне ничтожно мала, и ею можно пренебречь при расчете рисков.

Расчет информационных рисков.

Формула, чаще всего используемая при расчете рисков, представляет собой произведение трех параметров:

1. стоимость ресурса (Asset Value, AV). Указанная величина характеризует ценность ресурса. При качественной оценке рисков стоимость ресурса чаще всего ранжируется в диапазоне от 1 до 3, где 1 -- минимальная стоимость ресурса, 2 -- средняя стоимость ресурса и 3 -- максимальная стоимость ресурса. К примеру, сервер автоматизированной банковской системы имеет AV = 3, тогда как отдельный информационный киоск, предназначенный для обслуживания клиента, имеет AV = 1 по отношению к информационной банковской системе;

2. мера уязвимости ресурса к угрозе (Exposure Factor, EF). Этот параметр показывает, в какой степени тот или иной ресурс уязвим по отношению к рассматриваемой угрозе. Например, с точки зрения банка ресурс автоматизированной банковской системы имеет наибольшую доступность. Таким образом, атаки с целью реализации отказа в обслуживании (Denial of Service, DoS) представляют для него максимальную угрозу. При качественной оценке рисков данная величина также ранжируется в диапазоне от 1 до 3, где 1 -- минимальная мера уязвимости (слабое воздействие), 2 -- средняя (ресурс подлежит восстановлению), 3 -- максимальная (ресурс требует полной замены после реализации угрозы);

3. оценка вероятности реализации угрозы (Annual Rate of Occurrence, ARO) демонстрирует, насколько вероятна реализация определенной угрозы за определенный период времени (как правило, в течение года) и также ранжируется по шкале от 1 до 3 (низкая, средняя, высокая).

На основании полученных данных выводится оценка ожидаемых потерь (уровень риска):

· оценка ожидаемого возможного ущерба от единичной реализации определенной угрозы (Single Loss Exposure, SLE) рассчитывается по формуле:

SLE = AV x EF; (1)

· итоговые ожидаемые потери от конкретной угрозы за определенный период времени (Annual Loss Exposure, ALE) характеризуют величину риска и рассчитывается по формуле:

ALE = SLE x ARO. (2)

Таким образом, конечная формула расчета рисков представляет собой произведение:

ALE = ((AV x EF = SLE) x ARO). (3)

Как видим, большинство из описанных параметров принимается на основе мнения эксперта. Это связано с тем, что количественная оценка вероятности реализации угрозы затруднена ввиду относительной новизны информационных технологий и, как следствие, отсутствия достаточного количества статистических данных. В случае оценки стоимости ресурса (AV) количественная оценка (например, в денежном эквиваленте) чаще всего не проводится, и тогда оценка параметра SLE затруднена [34].

Методики управления рисками.

После проведения первичной оценки рисков полученные значения следует систематизировать по степени важности для выявления низких, средних и высоких рисков. Методика управления рисками подразумевает несколько способов действий. Риск может быть:

- принят (assumption), т. е. пользователь согласен на риск и связанные с ним потери, поэтому работа информационной системы продолжается в обычном режиме;

- снижен (mitigation) -- с целью уменьшения величины риска будут приняты определенные меры;

- передан (transference) -- компенсацию потенциального ущерба возложат на страховую компанию, либо риск трансформируют в другой риск -- с более низким значением -- путем внедрения специальных механизмов.

Некоторые методики дополнительно предусматривают еще один способ управления -- "упразднение" (avoidance). Он подразумевает принятие мер по ликвидации источника риска. Например, удаление из системы функций, порождающих риск, либо выведение части системы из эксплуатации. Однако, на мой взгляд, такой подход неконструктивен ввиду того, что, если величина риска достаточно велика, порождающий его компонент критичен для информационной системы и, следовательно, не может быть удален. При низких значениях риска данный метод трансформируется в метод снижения риска (mitigation).

После ранжирования рисков определяются требующие первоочередного внимания; основным методом управления такими рисками является снижение, реже -- передача. Риски среднего ранга могут передаваться или снижаться наравне с высокими рисками. Риски низшего ранга, как правило, принимаются и исключаются из дальнейшего анализа. Диапазон ранжирования рисков принимается исходя из проведенного расчета их качественных величин. Так, например, если величины рассчитанных рисков лежат в диапазоне от 1 до 18, низкие риски находятся в диапазоне от 1 до 7, средние -- в диапазоне от 8 до 13, высокие -- в диапазоне от 14 до 18.

Таким образом, управление рисками сводится к снижению величин высоких и средних рисков до характерных для низких рисков значений, при которых возможно их принятие. Снижение величины риска достигается за счет уменьшения одной или нескольких составляющих (AV, EF, SLE) путем принятия определенных мер. В основном это возможно применительно к EF и SLE, так как AV (стоимость ресурса) -- фиксированный параметр. Однако возможно и его снижение. Например, если хранящаяся на сервере информация относится к конфиденциальной, но проверка выявила, что гриф "конфиденциально" в силу каких-либо причин может быть снят. В результате стоимость ресурса автоматически уменьшается. В системе Internet-банкинга, например, параметр EF можно уменьшить путем фиксации ответственности сторон в договорном порядке. В этом случае считается, что стороны предупреждены об ответственности, которую может повлечь за собой нарушение правил эксплуатации системы, и, таким образом, фактор уязвимости снижается [27].

Снижение параметра SLE, т. е. вероятности реализации угрозы, может быть достигнуто за счет технических мер. Например, при наличии угрозы кратковременного отключения электропитания установка источника бесперебойного питания снижает вероятность ее реализации.

Возникшие (оставшиеся) после применения методики управления риски называются остаточными, и именно они применяются для обоснования инвестиций в информационную безопасность. Перерасчет рисков производится в отношении всех рисков, если они оценены как высокие и средние.

Анализ информационных рисков - это процесс определения угроз информации, уязвимостей информационной системы и возможного ущерба. Анализ информационных рисков служит для количественной оценки возможного материального ущерба (в т.ч. в денежном выражении) от реализации выявленных угроз безопасности информации, а также при страховании информационных рисков (в этом случае Северо-Западный центр защиты информации "Актив" может выступать в качестве главного).

Этапами анализа информационных рисков являются:

* классификация информационных ресурсов по критериям безопасности;

* оценка стоимости ресурсов;

* анализ угроз безопасности информации с определением перечней актуальных источников угроз и актуальных уязвимостей;

* определение перечня возможных атак на объект защиты и механизмов их реализации;

* оценивание возможного ущерба и последствий реализации угроз;

* формирование перечня, классификация и определение характеристик информационных рисков, оценка эффективности существующих методов управления рисками;

* выработка предложений по управлению рисками с помощью организационных, административных и технических мер и средств защиты информации.

Результат выполнения:

* отчет с описанием реальных угроз безопасности информации и уязвимостей системы, а также расчетом всех возможных информационных рисков банка и прогнозом их реализации.

* результаты анализа и оценки используются при выборе адекватных оптимальных методов парирования угроз, а также для составления бюджета дальнейших работ по защите информации и построения системы парирования угроз, адекватной самим угрозам.

Оценка информационных рисков.

Развитие ИТ-инфраструктуры банка неизменно влечет за собой неконтролируемый рост числа информационных угроз и уязвимостей информационных ресурсов. В этих условиях оценка информационных рисков позволяет определить необходимый уровень защиты информации и осуществлять его поддержку, а также выработать стратегию развития информационной структуры банка.

Точно определить возможный ущерб от большинства информационных и телекоммуникационных рисков (IT-рисков) довольно сложно, но примерно оценить их вполне возможно.

Обозначим основные статьи расходов, которые несет банк в процессе создания и эксплуатации системы риск-менеджмента.

1. Построение технологии управления рисками: определение стратегии банка, создание карты рисков, определение стоимости рисков, определение методов контроля риска и управления риском.

2. Подбор, приобретение и внедрение программного обеспечения (ПО).

3. Регламентирование бизнес-процессов.

4. Поддержание технологии в актуальном состоянии.

5. Ведение данных.

6. Сопровождение ПО.

Все эти затраты могут быть оценены количественно -- в денежном выражении или в трудозатратах.

Для принятия решения о целесообразности внедрения той или иной технологии управления рисками и покупки ПО, поддерживающего выбранную технологию, банк, как правило, сравнивает планируемые затраты на внедрение и прогнозируемый эффект от внедрения. В расчете следует учесть не только разовые затраты в ходе внедрения, а также стоимость поддержания технологии в актуальном состоянии и сопровождения ПО. Эффект от внедрения системы -- долговременный. По нашему мнению, при определении стоимости внедрения технологии управления рисками следует рассчитывать не менее чем на пять лет функционирования системы и экстраполировать прогнозируемый эффект соответственно.

Разработка и реализация политики по минимизации информационных и телекоммуникационных рисков (IT-рисков) не принесет пользы, если рекомендуемые стандарты и правила неверно используются, например, если сотрудники не обучены их применению и не понимают их важности. Поэтому работа по обеспечению IT-безопасности должна быть комплексной и продуманной [16].

Страхование рисков как элемент управления.

В качестве одного из основных экономических методов управления информационными рисками, предлагается "создание системы страхования информационных рисков физических и юридических лиц" [2]. Страхование как таковое не снижает риски, однако уменьшает финансовые потери страхователя при наступлении страхового случая. Несмотря на то что эта эффективнейшая система управления информационными рисками юридически декларирована в России довольно давно, рынок услуг страхования на сегодняшней день еще не сформировался - в основном из-за отсутствия хорошо зарекомендовавших себя методов оценки их стоимости.

Как в мировой, так и в российской практике непосредственно информация страхуется в размере расходов, необходимых для ее восстановления. При таком подходе страховая компания возмещает расходы на оплату сверхурочной работы сотрудников банка, привлечение специалистов сторонних организаций, а также другие целесообразные расходы, направленные на восстановление утраченной информации. Но страхование информационных рисков не может сводиться только к страхованию информации. Должны страховаться вообще риски, связанные с информационными технологиями, а к ним относятся риски утраты финансовых активов, риски остановки коммерческой деятельности, риски, связанные с возникновением гражданской ответственности. Прежде всего это страхование от преступлений в сфере информационных технологий: действий компьютерных вирусов, несанкционированного доступа к информации, кражи или непреднамеренной утраты носителей информации, финансового мошенничества с использованием информационных технологий. Объектами страхования в этом случае могут быть:

финансовые активы в электронной форме, в том числе в системах клиент-банк;

- биллинговые системы;

- центры сертификации (удостоверяющие центры);

- Web-серверы, в том числе виртуальные;

- ERP-системы и средства защиты;

- базы данных на любых носителях информации;

- ценная информация, для которой существует вероятность утраты без возможности восстановления.

Исходя из приведенной классификации рисков и учитывая, что информация принадлежит к одному из видов объектов гражданских прав, а следовательно, к системе товарных и имущественных отношений (ст. 128; ст. 129; ст. 139 Гражданского кодекса РФ № 51-ФЗ от 30 ноября 1994 г. с изм. и доп.), можно сделать вывод, что информационные риски относятся к чистым, имущественным, производственным рискам.

Информационные риски выступают объектом страхования имущественных интересов юридических и физических лиц, связанных с владением, распространением, пользованием и распоряжением информацией. Это может быть как имущественное страхование (связанное с владением, пользованием, распоряжением информацией как объектом гражданских прав), так и страхование ответственности (связанной с возмещением страхователем причиненного им вреда личности или имуществу физического лица, а также вреда, причиненного юридическому лицу). Например, возможно страхование ответственности, возникающей в связи с перерывами в деятельности банка; плохой технической поддержкой клиентов (убытки клиентов в виде неполученной прибыли по причине нарушений в каналах связи); недостаточными мерами по защите данных, принадлежащих третьим лицам; непреднамеренным разглашением конфиденциальной информации; ошибками в программных продуктах, вследствие которых наносится ущерб пользователям[13].

Страхование предполагает последовательное выполнение нескольких обязательных шагов:

· поиск страховой компании;

· согласование условий и предложений по страхованию;

· проведение экспертизы страхователя;

· выполнение рекомендаций, полученных в результате экспертизы;

· подписание договора о страховании.

3.2 Рекомендации по организации управления операционным риском в ОАО "АКИБАНК"

Одна из самых ярких современных тенденций в банковском деле переход к электронному способу ведения бизнеса, кардинальным образом изменяющему соотношение между различными видами риска, с которыми сталкиваются банки [24].

Подводя итоги вышеизложенного, можно отметить следующие основные черты, присущие сфере электронных банковских услуг и оказывающие важное влияние на соотношение отдельных категорий банковского риска:

- выход за пределы отдельных стран и за пределы финансового сектора в целом, требующий сотрудничества учреждений банковского надзора с надзорными органами других стран и отраслей;

- сильная зависимость от прогресса информационных и коммуникационных технологий, что приводит к резкому увеличению стратегических и операционных рисков;

- динамичность развития, отражающаяся в сокращении инновационных циклов (с точки зрения как финансовых инструментов, так и банковских технологий) и, следовательно, в повышении значения стратегического риска;

- рост ориентированности на клиентов в связи с уменьшением информационных асимметрий (неравномерности распределения информации между банками и клиентами), что ведет к увеличению правового и репутационного рисков;

- обострение конкуренции в банковском бизнесе, влекущее за собой повышение общего уровня системного риска.

Рекомендации по управлению информационными рисками. Корректируя корпоративную политику информационной безопасности и оптимизируя архитектуру информационной системы банка с точки зрения повышения защищенности информационной системы, внедрение рекомендаций позволяет повысить эффективность системы управления ИБ и оптимизировать затраты на нее по соотношению цена / допустимый уровень информационных рисков.

Рекомендации по контролю за текущим уровнем риска. Осуществляя контроль за выполнением мер и требований по обеспечению информационной безопасности, а также уровнем информационного риска критически важных компонентов системы, внедрение рекомендаций обеспечивает не только соблюдение минимального уровня информационных рисков, но и помогает оценить эффективность мероприятий по защите информации.

Кредитным организациям рекомендуется на регулярной основе пересматривать существующие внутренние процессы и процедуры, используемые информационно-технологические системы с целью выявления не учтенных ранее источников операционного риска.

Кредитным организациям рекомендуется уделять особое внимание обеспечению сохранности и возможности восстановления информационных систем и ресурсов. Помещение для установки резервного оборудования или оборудования, на которое должно производиться резервное копирование информации, рекомендуется выбирать так, чтобы минимизировать риск одновременной утраты первичной и резервной копии данных или одновременного выхода из строя основного и резервного оборудования.

Кредитным организациям рекомендуется наряду с ведением аналитической базы данных о понесенных операционных убытках на постоянной основе с использованием различных источников собирать и анализировать информацию о случаях операционных убытков в других кредитных и финансовых организациях.

Кредитным организациям рекомендуется регулярно производить оценку операционного риска в целом по кредитной организации и его распределения в разрезе направлений деятельности кредитной организации, внутренних процессов, информационно-технологических систем и банковских продуктов, составляющих эти направления деятельности.

Кредитной организации рекомендуется определять периодичность осуществления мониторинга операционного риска на основе его существенности для соответствующего направления деятельности, внутреннего процесса или информационно-технологической системы.

В качестве индикаторов уровня операционного риска могут быть использованы сведения о количестве несостоявшихся или незавершенных банковских операций и других сделок, увеличении их частоты и (или) объемов, текучести кадров, частоте допускаемых ошибок и нарушений, времени (продолжительности) простоя информационно-технологических систем и других показателях.

Контроль над уровнем рисков в Отделе должен быть направлен на ограничение рисков, принимаемых банком, и на обеспечение порядка проведения операций и сделок, который способствует достижению установленных банком целей и задач, при соблюдении требований законодательства, нормативных актов Банка России, стандартов профессиональной деятельности и правил деловых обычаев.

Как показывает опыт многих российских банков, наиболее успешные стратегии предупреждения информационных и телекоммуникационных рисков (IT-рисков) базируются на трех основных правилах.