–PAGE_BREAK–
Продолжение таблицы 1
5. Физическая и экологическая безопасность:
· Области безопасности
· Безопасность оборудования
6. Управление коммуникациями и операциями:
· Рабочие процедуры и ответственность
· Управление передачей информации третьим лицам
· Системное планирование и принятие решений
· Защита от злонамеренного программного обеспечения
· Резервное копирование
· Управление сетевой безопасностью
· Транспортировка носителей информации
· Обмен информацией
· Обслуживание электронной коммерции
· Мониторинг
7. Управление доступом:
· Бизнес-требования для контроля доступа
· Управление доступом пользователя
· Ответственность пользователей
· Контроль и управление сетевым (удаленным) доступом
· Контроль доступа к операционным системам
· Контроль и управление доступом к приложениям и информации
· Мобильные пользователи и телекоммуникации
8. Приобретение, разработка и поддержка информационных систем:
· Требования по безопасности информационных систем
· Правильная работа приложений
· Криптография
· Безопасность системных файлов
· Безопасность разработки и поддержки процессов
· Техническая безопасность управления
9. Управление инцидентами информационной безопасности:
· Сообщение о недостатках информационной безопасности
· Управление инцидентами информационной безопасности и их устранением
10. Управление непрерывностью бизнеса:
· Управление аспектами информационной безопасности для обеспечения непрерывности бизнеса
11. Согласование:
· Соответствие требованиям законодательства
· Соответствие политикам безопасности и стандартам и техническое согласование
· Анализ аудита информационных систем
В предыдущей версии стандарта (ISO 17799:2000) было 10 пунктов. Разработчики новой версии выделили «Управление инцидентами информационной безопасности» в отдельный пункт ввиду высокой важности этого вопроса [8].
Анализ информационных рисков вне зависимости от выбранных стандартов можно представить как некий сценарий или алгоритм действий, направленный на сбор и обобщение информации об исследуемой системе (рис. 3).
Рис. 3 Возможный сценарий анализа информационных рисков
На первом и втором этапах анализа рисков составляется перечень наиболее критичной и конфиденциальной информации. Третий этап — построение схем каналов доступа, через которые может выполняться несанкционированное воздействие на информацию (например, установленные у пользователя факс-модем или адаптер Bluetooth для соединения с ноутбуком или мобильным телефоном).
Четвертый этап предполагает анализ способов защиты всех возможных точек атак; его результатом должна стать характеристика всех предполагаемых уязвимостей в обороне, в том числе с учетом неблагоприятных обстоятельств. На пятом этапе, исходя из накопленной информации обо всех возможных способах и средствах преодоления защиты, определяют вероятности реализации угроз для каждой из возможных точек атак.
На заключительном этапе проводится оценка ущерба организации в случае реализации каждой из угроз.
Многообразие видов рисков, сопровождающих операционную деятельность банка, предопределяет необходимость постоянного управления ими, которое рассматривается как неотъемлемая составная часть всей системы управления операционной прибылью. Комплексное управление этими показателями обусловлено высокой степенью связи между уровнем операционной прибыли и уровнем операционных рисков, которая носит прямой характер [1].
Управление операционными рисками представляет собой систему мероприятий по их идентификации, оценке, профилактике и страхованию с целью минимизации связанных с ними финансовых потерь в процессе операционной деятельности банка.
Группировка операций банка по уровню риска позволяет определить какие из них находятся за пределами уровня допустимого риска (особенно в зоне катастрофического риска) с тем, чтобы еще раз взвесить целесообразность их проведения.
Внутренними и внешними факторами (причинами) операционного риска являются:
— случайные или преднамеренные действия физических и (или) юридических лиц, направленные против интересов кредитной организации;
— несовершенство организационной структуры кредитной организации в части распределения полномочий подразделений и служащих, порядков и процедур совершения банковских операций и других сделок, их документирования и отражения в учете, несоблюдение служащими установленных порядков и процедур, неэффективность внутреннего контроля;
— сбои в функционировании систем и оборудования;
— неблагоприятные внешние обстоятельства, находящиеся вне контроля кредитной организации.
Управление операционным риском входит в систему управления рисками кредитной организации.
1.2 Управление банковскими рисками
Необходимость управления информационными и телекоммуникационными рисками (IT- рисками) определяется значительным размером возможных операционных убытков, которые могут создавать угрозу финансовой устойчивости кредитной организации.
Управление рисками рассматривается нами на административном уровне информационной безопасности, поскольку только руководство организации способно выделить необходимые ресурсы, инициировать и контролировать выполнение соответствующих программ [19].
Использование информационных систем связано с определенной совокупностью рисков. Когда возможный ущерб неприемлемо велик, необходимо принять экономически оправданные меры защиты. Периодическая (пере)оценка рисков необходима для контроля эффективности деятельности в области безопасности и для учета изменений обстановки.
С количественной точки зрения уровень риска является функцией вероятности реализации определенной угрозы (использующей некоторые уязвимые места), а также величины возможного ущерба.
Таким образом, суть мероприятий по управлению рисками состоит в том, чтобы оценить их размер, выработать эффективные и экономичные меры снижения рисков, а затем убедиться, что риски заключены в приемлемые рамки (и остаются таковыми). Следовательно, управление рисками включает в себя два вида деятельности, которые чередуются циклически:
— (пере)оценка (измерение) рисков;
— выбор эффективных и экономичных защитных средств (нейтрализация рисков).
По отношению к выявленным рискам возможны следующие действия:
— ликвидация риска (например, за счет устранения причины);
— уменьшение риска (например, за счет использования дополнительных защитных средств);
— принятие риска (и выработка плана действия в соответствующих условиях);
— переадресация риска (например, путем заключения страхового соглашения).
Процесс управления рисками можно разделить на следующие этапы приведенные на рисунке 4.
SHAPE \* MERGEFORMAT
Рис.4 Этапы управления рисками
Уже перечисление этапов показывает, что управление рисками — процесс циклический. По существу, последний этап — это оператор конца цикла, предписывающий вернуться к началу. Риски нужно контролировать постоянно, периодически проводя их переоценку. Отметим, что добросовестно выполненная и тщательно документированная первая оценка может существенно упростить последующую деятельность.
Управление рисками, как и любую другую деятельность в области информационной безопасности, необходимо интегрировать в жизненный цикл информационной системы. Тогда эффект оказывается наибольшим, а затраты — минимальными. Ранее мы определили четыре этапов жизненного цикла. Кратко опишем, что может дать управление рисками на каждом из них.
На этапе инициации известные риски следует учесть при выработке требований к системе вообще и средствам безопасности в частности.
На этапе закупки (разработки) знание рисков поможет выбрать соответствующие архитектурные решения, которые играют ключевую роль в обеспечении безопасности.
На этапе установки выявленные риски следует учитывать при конфигурировании, тестировании и проверке ранее сформулированных требований, а полный цикл управления рисками должен предшествовать внедрению системы в эксплуатацию.
На этапе эксплуатации управление рисками должно сопровождать все существенные изменения в системе.
При выведении системы из эксплуатации управление рисками помогает убедиться в том, что миграция данных происходит безопасным образом.
Подготовительные этапы управления рисками.
Выбор анализируемых объектов и уровня детализации их рассмотрения — первый шаг в оценке рисков. Для небольшой организации допустимо рассматривать всю информационную инфраструктуру; однако если организация крупная, всеобъемлющая оценка может потребовать неприемлемых затрат времени и сил. В таком случае следует сосредоточиться на наиболее важных сервисах, заранее соглашаясь с приближенностью итоговой оценки. Если важных сервисов все еще много, выбираются те из них, риски для которых заведомо велики или неизвестны [4].
Мы уже указывали на целесообразность создания карты информационной системы организации. Для управления рисками подобная карта особенно важна, поскольку она наглядно показывает, какие сервисы выбраны для анализа, а какими пришлось пренебречь. Еслиинформационная системаменяется, а карта поддерживается в актуальном состоянии, то при переоценке рисков сразу станет ясно, какие новые или существенно изменившиеся сервисы нуждаются в рассмотрении.
Вообще говоря, уязвимым является каждый компонент информационной системы — от сетевого кабеля, который могут прогрызть мыши, до базы данных, которая может быть разрушена из-за неумелых действий администратора. Как правило, в сферу анализа невозможно включить каждый винтик и каждый байт.
Очень важно выбрать разумную методологию оценки рисков. Целью оценки является получение ответа на два вопроса: приемлемы ли существующие риски, и если нет, то какие защитные средства стоит использовать. Значит, оценка должна быть количественной, допускающей сопоставление с заранее выбранными границами допустимости и расходами на реализацию новых регуляторов безопасности. Управление рисками — типичная оптимизационная задача, и существует довольно много программных продуктов, способных помочь в ее решении (иногда подобные продукты просто прилагаются к книгам по информационной безопасности) [18].
При идентификации активов, то есть тех ресурсов и ценностей, которые организация пытается защитить, следует, конечно, учитывать не только компоненты информационной системы, но и поддерживающую инфраструктуру, персонал, а также нематериальные ценности, такие как репутация организации. Отправной точкой здесь является представление о миссии организации, то есть об основных направлениях деятельности, которые желательно (или необходимо) сохранить в любом случае.
Одним из главных результатов процесса идентификации активов является получение детальной информационной структуры организации и способов ее (структуры) использования. Эти сведения целесообразно нанести на карту информационной системы в качестве граней соответствующих объектов.
Информационной основой сколько-нибудь крупной организации является сеть, поэтому в число аппаратных активов следует включить компьютеры (серверы, рабочие станции, ПК), периферийные устройства, внешние интерфейсы, кабельное хозяйство, активное сетевое оборудование (мосты, маршрутизаторы и т.п.). К программным активам, вероятно, будут отнесены операционные системы (сетевая, серверные и клиентские), прикладное программное обеспечение, инструментальные средства, средства управления сетью и отдельными системами. Важно зафиксировать, где (в каких узлах сети) хранится программное обеспечение, и из каких узлов оно используется. Третьим видом информационных активов являются данные, которые хранятся, обрабатываются и передаются по сети. Следует классифицировать данные по типам и степени конфиденциальности, выявить места их хранения и обработки, способы доступа к ним. Все это важно для оценки последствий нарушений информационной безопасности.
продолжение
–PAGE_BREAK–Основные этапы управления рисками.
Этапы, предшествующие анализу угроз, можно считать подготовительными, поскольку, строго говоря, они напрямую с рисками не связаны. Риск появляется там, где есть угрозы.
Краткий перечень наиболее распространенных угроз был рассмотрен нами ранее. К сожалению, на практике угроз гораздо больше, причем далеко не все из них носят компьютерный характер. Так, вполне реальной угрозой является наличие мышей и тараканов в занимаемых организацией помещениях. Первые могут повредить кабели, вторые вызвать короткое замыкание. Как правило, наличие той или иной угрозы является следствием пробелов в защите информационной системы, которые, в свою очередь, объясняются отсутствием некоторых сервисов безопасности или недостатками в реализующих их защитных механизмах. Опасность прогрызания кабелей возникает не просто там, где есть мыши, она связана с отсутствием или недостаточной прочностью защитной оболочки.
Первый шаг в анализе угроз — их идентификация. Рассматриваемые виды угроз следует выбирать исходя из соображений здравого смысла (исключив, например, землетрясения, однако не забывая о возможности захвата организации террористами), но в пределах выбранных видов провести максимально подробный анализ.
Целесообразно выявлять не только сами угрозы, но и источники их возникновения — это поможет в выборе дополнительных средств защиты. Например, нелегальный вход в систему может стать следствием воспроизведения начального диалога, подбора пароля или подключения к сети неавторизованного оборудования. Очевидно, для противодействия каждому из перечисленных способов нелегального входа нужны свои механизмы безопасности.
После идентификации угрозы необходимо оценить вероятность ее осуществления. Допустимо использовать при этом трехбалльную шкалу (низкая (1), средняя (2) и высокая (3) вероятность).
Кроме вероятности осуществления, важен размер потенциального ущерба. Например, пожары бывают нечасто, но ущерб от каждого из них, как правило, велик. Тяжесть ущерба также можно оценить по трехбалльной шкале.
После того, как накоплены исходные данные и оценена степень неопределенности, можно переходить к обработке информации, то есть собственно к оценке рисков. Вполне допустимо применить такой простой метод, как умножение вероятности осуществления угрозы на предполагаемый ущерб. Если для вероятности и ущерба использовать трехбалльную шкалу, то возможных произведений будет шесть: 1, 2, 3, 4, 6 и 9. Первые два результата можно отнести к низкому риску, третий и четвертый — к среднему, два последних — к высокому, после чего появляется возможность снова привести их к трехбалльной шкале. По этой шкале и следует оценивать приемлемость рисков. Правда, граничные случаи, когда вычисленная величина совпала с приемлемой, целесообразно рассматривать более тщательно из-за приближенного характера результата.
Если какие-либо риски оказались недопустимо высокими, необходимо их нейтрализовать, реализовав дополнительные меры защиты. Как правило, для ликвидации или нейтрализации уязвимого места, сделавшего угрозу реальной, существует несколько механизмов безопасности, различных по эффективности и стоимости. Например, если велика вероятность нелегального входа в систему, можно потребовать, чтобы пользователи выбирали длинные пароли (скажем, не менее восьми символов), задействовать программу генерации паролей или закупить интегрированную систему аутентификации на основе интеллектуальных карт. Если есть вероятность умышленного повреждения сервера баз данных, что может иметь серьезные последствия, можно врезать замок в дверь серверной комнаты или поставить около каждого сервера по охраннику.
Оценивая стоимость мер защиты, приходится, разумеется, учитывать не только прямые расходы на закупку оборудования и/или программ, но и расходы на внедрение новинки и, в частности, обучение и переподготовку персонала. Эту стоимость также можно оценить по трехбалльной шкале и затем сопоставить ее с разностью между вычисленным и допустимым риском. Если по этому показателю новое средство оказывается экономически выгодным, его можно взять на заметку (подходящих средств, вероятно, будет несколько). Однако если средство окажется дорогим, его не следует сразу отбрасывать, памятуя о приближенности расчетов.
Важным обстоятельством является совместимость нового средства со сложившейся организационной и аппаратно-программной структурой, с традициями организации. Меры безопасности, как правило, носят недружественный характер, что может отрицательно сказаться на энтузиазме сотрудников. Порой сохранение духа открытости важнее минимизации материальных потерь. Впрочем, такого рода ориентиры должны быть расставлены в политике безопасности верхнего уровня [15].
Как и всякую иную деятельность, реализацию и проверку новых регуляторов безопасности следует предварительно планировать. В плане необходимо учесть наличие финансовых средств и сроки обучения персонала. Если речь идет о программно-техническом механизме защиты, нужно составить план тестирования (автономного и комплексного).
Когда намеченные меры приняты, необходимо проверить их действенность, то есть убедиться, что остаточные риски стали приемлемыми. Если это на самом деле так, значит, можно спокойно намечать дату ближайшей переоценки. В противном случае придется проанализировать допущенные ошибки и провести повторный сеанс управления рисками немедленно.
Минимизация IT- риска предполагает осуществление комплекса мер, направленных на снижение вероятности наступления событий или обстоятельств, приводящих к операционным убыткам, и на уменьшение размера потенциальных операционных убытков. Методы минимизации IT- риска рекомендуется применять с учетом характера и масштабов деятельности кредитной организации.
В отношении контроля за операционным риском наиболее важным является:
— контроль за соблюдением установленных лимитов по проводимым банковским операциям и другим сделкам;
— соблюдение установленного порядка доступа к информации и материальным активам банка;
— надлежащая подготовка персонала;
— регулярная выверка первичных документов и счетов по проводимым банковским операциям и другим сделкам.
Снижению операционного риска может способствовать развитие систем автоматизации банковских технологий и защиты информации. При этом кредитной организации рекомендуется принимать во внимание возможную трансформацию операционного риска: при ручной (неавтоматизированной) обработке существует высокая вероятность наступления события, приводящего к убыткам (например, ошибка при вводе данных), а величина потенциальных убытков — небольшая или умеренная, в то время как с повышением уровня автоматизации вероятность наступления события, приводящего к убыткам, снижается, но величина потенциальных убытков может быть весьма значительной (например, ошибка в программном обеспечении или системный сбой) [26].
Снижение уровня отдельных видов операционного риска может быть осуществлено путем передачи риска или его части третьим лицам.
Решение об использовании механизмов передачи риска (например, аутсорсинга — привлечения специализированной сторонней организации для выполнения отдельных видов работ) рекомендуется принимать по результатам тщательного анализа с учетом ожидаемого эффекта, стоимости и возможности трансформации одного вида риска в другой. Кредитной организации рекомендуется наряду с контролем за уровнем остаточного риска сохранять возможность контроля за размером передаваемого операционного риска.
При применении аутсорсинга рекомендуется обратить внимание на то, что в этом случае кредитная организация несет ответственность не только за конечный результат деятельности, но и за способ его достижения, поэтому целесообразно установить контроль за уровнем надежности, качества и соблюдением законодательства Российской Федерации при оказании услуг.
Аутсорсингрекомендуется осуществлять на основе договоров, предусматривающих распределение прав, обязанностей и ответственности между кредитной организацией и поставщиком услуг. Кредитной организации рекомендуется предусмотреть во внутренних документах порядок регулирования рисков, связанных с аутсорсингом, в том числе риска отказа в обслуживании [23].
Уменьшение финансовых последствий операционного риска (вплоть до полного покрытия потенциальных операционных убытков) возможно с помощью страхования. С использованием традиционных видов имущественного и личного страхования кредитными организациями могут быть застрахованы носители информации и сама информация — на случай утраты.
Страхованиеможет быть использовано и в отношении специфических банковских рисков как на комплексной основе (полис комплексного банковского страхования), так и применительно к отдельным видам рисков (например, страхование рисков, связанных с эмиссией и обращением платежных карт, страхование профессиональной ответственности служащих кредитной организации, страхование ущерба от преступлений в сфере компьютерной информации).
Защита информации — это обеспечение непрерывности внутренних бизнес-процессов и безопасности обмена данными с клиентами при использовании информационных систем. На случай возникновения чрезвычайных ситуаций, таких как атаки на основной сервер или сбои в его работе, журнал транзакций периодически копируется на резервный сервер, находящийся в другом помещении, поэтому максимальный объем информации— это данные за последний час работы.
Таким образом, к информационным и телекоммуникационным рискам (IT-рискам) относятся потеря данных из-за сбоя в работе информационных систем, хищение информации, а также передача информации третьим лицам сотрудниками банка. Работа по минимизации таких рисков делится на организационную и техническую. Организационные меры связаны с ограничением доступа к данным. Для этого вся информация классифицируется на общедоступную, для служебного пользования и секретную.
В итоге получается матрица информационных потоков, каждому уровню которой соответствует определенный уровень доступа.
2. Оценка и анализ рисков использования информационных и телекоммуникационных систем в ОАО «АКИБАНК»
2.1 Общая характеристика ОАО «АКИБАНК»
Акционерный коммерческий ипотечный банк «АКИБАНК» (открытое акционерное общество) зарегистрирован в Центральном Банке Российской Федерации 25 ноября 1993 года, лицензия № 2587. ОАО «АКИБАНК» включен в реестр банков — участников системы обязательного страхования вкладов под номером 237.
Наименование – акционерный коммерческий ипотечный банк «АКИБАНК» (открытое акционерное общество)
Лицензия на осуществление банковских операций № 2587 от 10.11.2002г:
Привлечение денежных средств юридических лиц во вклады (до востребования и на определенный срок) [10].
Общая характеристика и организационная структура Банка представлена на рис.5.
ОАО «АКИБАНК»
УСК УСМБ УЧЛ УОДБ
Рис. 5 Структура управления ОАО «АКИБАНК»
УСК – управление по обслуживанию стратегических клиентов;
УСМБ — управление по обслуживанию клиентов среднего и малого бизнеса;
УЧЛ — управление по обслуживанию частных лиц;
УОДБ — управление по обеспечению деятельности банка.
Миссия ОАО «АКИБАНК» заключается в содействии экономическому развитию и благосостоянию сообществ, обслуживаемых банком, путем представления гражданам и предприятиям качественных банковских услуг, которые соответствуют высоким профессиональным и этическим стандартам, обеспечения справедливой и соответствующей прибыли акционерам банка и справедливого отношения к сотрудникам банка.
Миссия банка состоит их 3 основных элементов:
1. Предоставление качественных банковских услуг клиентам;
2.Обеспечение справедливой прибыли акционерам ОАО «АКИБАНК»;
3. Справедливое отношение к сотрудникам ОАО «АКИБАНК»;
Стратегические цели ОАО «АКИБАНК», поставленные акционерами, установлены на таком уровне, что их достижение невозможно без выполнения Миссии. Поэтому достижение стратегических целей банком будет свидетельствовать о выполнение им Миссии
АКИБАНК — универсальный коммерческий банк с устойчивой динамикой роста основных финансовых показателей. Размер уставного капитала на 1 января 2007 года составил 969,3 млн.руб., капитал банка – 1111,3 млн. руб., активы – 9231,5 млн.руб.
Итоги деятельности ОАО «АКИБАНК» в 2006 году вновь подтверждают репутацию успешной, динамично развивающейся компании, ориентированной на продвижение современных банковских услуг, позволяющих клиентам банка повысить эффективность бизнеса и качество жизни.
Общее увеличение эффективности работы Банка в отчетном году положительно отразилось на финансовых и операционных результатах. Как и в предыдущие годы, в 2006 году прослеживалась четкая тенденция роста основных показателей, которая приведена на рисунке 6.
\s
Рис. 6 Тенденция роста основных показателей.
Акционерами банка являются организации различных форм собственности, имеющие стабильный доход и устойчивое финансовое положение. Среди них ОАО «Татэнерго», ООО «Страховая группа „АСКО“, ООО „АССА“, ООО ТПК „Камские автомобили“, ОАО „Генерирующая компания“, ОАО „Сетевая компания“.
Основную долю активных операций ОАО „АКИБАНК“ составляеткредитование „реального сектора“ экономики Российской Федерации. По объемам выданных кредитов банк входит в первую пятерку действующих кредитных организаций республики. ОАО „АКИБАНК“ находится в тройке региональных лидеров по росту объемов выданных кредитов субъектам малого бизнеса и индивидуальным предпринимателям.
Уставный капитал банка составляет 969 296 тыс. руб. По этому показателю ОАО „АКИБАНК“ уверенно входит в число 200 крупнейших кредитных организаций России. За 2004-2005 годы осуществлены три выпуска акций банка на общую сумму 544 млн. руб. Готовность акционеров вкладывать деньги в акции банка свидетельствует о его надежности и стабильности. Планируется наращивание уставного капитала банка до двух млрд. рублей. Увеличение собственного капитала позволит банку увеличить масштабы бизнеса, продолжить развитие сети филиалов, совершенствовать старые и вводить новые услуги.
Результаты деятельности Банка в отчетном году убедительно демонстрируют его финансовую стабильность и поступательный рост. В 2006 году ОАО „АКИБАНК“ существенно улучшил показатели по валюте баланса, активам, кредитным вложениям и привлеченным ресурсам, что является свидетельством правильности выбранной стратегии развития Банка [28].
Рост валюты баланса на 46% во многом определяется аналогичным ростом кредитного портфеля на 47%. Кредитование остается основным направлением размещения средств, приносящим около половины доходов банка. За 2006 год было выдано кредитов на сумму 21 745 млн.рублей, что на 19,8% больше,
чем в 2005г. На финансирование реального сектора экономики направлено свыше 4 400 млн. рублей, что составило более 20% от всех выданных кредитов в течение отчетного года. Предприятиям малого бизнеса (предприятия
и индивидуальные предприниматели) было предоставлено в различных формах заимствования 128,4 млн.рублей. Основные отрасли кредитования – это предприятия сельского хозяйства, промышленности, электроэнергетики, пищевой промышленности, торговли, строительной отрасли, лизинговые фирмы. Объем займов, выданных физическим лицам за 2006 год, составил 1 956 млн. рублей.
\sВ отчетном году произошло изменение структуры портфеля, которая приведена на рисунке 7. Значительное внимание уделялось кредитованию физических лиц, и за отчетный период доля кредитов частных лиц в портфеле банка выросла до 20%. Заметную долю в ссудном портфеле (13%) занимают агропромышленный комплекс и строительная отрасль (9%), что связано с активном участием ОАО «АКИБАНК» в реализации национальных проектов «Развитие АПК» и «Доступное жилье».
\s
Рис.7 Структура кредитного портфеля Банка
В отчетном периоде на увеличение резервов направлены значительные средства – 60,8 млн. руб. С одной стороны, это явилось результатом целенаправленной работы банка по минимизации принимаемых банком кредитных рисков, с другой – увеличением кредитных вложений. Доля созданных резервов в общих кредитных вложениях на 01.01.2007г. составила 2,1%.
Положительным фактором является и увеличение активов по сравнению с началом года без малого на 50 %. Значительное увеличение активов связано, в первую очередь, с ростом ресурсной базы, произошедшем за счет увеличения объема привлеченных средств (табл.2).
продолжение
–PAGE_BREAK–Основным источником привлеченных средств являлись средства клиентов. Наиболее существенный прирост (68%) произошел по сумме остатков на расчетных счетах, которая на 01.01.2007 г. достигла 3705,8 млн. рублей.
Депозиты юридических и физических лиц выросли за год на 20% и составили 40% в структуре привлеченных средств. Достаточно показательным является стабильный рост объемов средств населения во вкладах Банка. Этот показатель за отчетный год стал больше на 31%, составив 1783,5 млн.рублей.
Структура привлеченных средств на 01.01.2007г.
Таблица 2
Показатель
на 01.01.07 (в тыс.руб.)
% от суммы привлеченных средств
Остатки на расчетных счетах
3 705 828
46,1 %
Депозиты физических лиц
1 783 484
22,2 %
Депозиты юридических лиц
1 417 645
17,6 %
Выпущенные долговые обязательства
1 130 097
14,1 %
Итого
8 037 054
100 %
Для удовлетворения потребностей Банка в среднесрочных ресурсах ОАО «АКИБАНК» в отчетном году разместил на фондовой бирже ММВБ первый облигационный заем на 600 млн. рублей со сроком обращения 3 года.
Доля работающих активов в среднем по году составляла 80%, что говорит об эффективном использования привлеченных средств.
Собственный капитал банка с начала года увеличился на 130 млн.рублей или на 13,3%. В июле 2006 г. Банк провел эмиссию уставного капитала на 83,8 млн. рублей за счет капитализации собственных средств (нераспределенной прибыли за 2005год) и на 01.01.2007 уставный капитал банка составил 969,3 млн. рублей Рентабельность уставного капитала за 2006 год достигла уровня 20,7% (при уровне инфляции 8-10%), рентабельность собственных средств (капитала) Банка составила 18%, и это свидетельствует о высокой доходности совершаемых операций, которые приведены в табл. 3.
Показатели финансово-экономической деятельности в динамике
Таблица 3
Показатели
2004 год
(в тыс. руб.)
2005 год
(в тыс. руб.)
2006 год
(в тыс. руб.)
Уставный капитал
825 500
885 500
969 296
Собственные средства (капитал)
886 663
980 954
1 111 336
Балансовая прибыль
97 371
195 225
200 371
Рентабельность капитала (%)
11,0
19,9
18,0
Рентабельность активов (%)
2,3
3,1
2,2
Валюта баланса
4 998 269
7 199 021
10 504 539
Активы
4 211 732
6 275 211
9 231 502
Доходы
826 811
1 438 819
1 903 814
Кредитный портфель
2 995 580
4 749 140
6 990 633
Количество расчетных счетов
4 555
6 023
7 180
Привлеченные средства
3 198 744
5 229 512
8 037 054
ОАО «АКИБАНК» участвует в реализации национальных проектов (табл.4). Правительства Российской Федерации, а именно в программах развития АПК и строительства доступного жилья. Перечень проектов, профинансированных за счет средств банка, по реализации национальных проектов Правительства Российской Федерации.
Национальные проекты
Таблица 4
Название предприятия
Название проекта
Стоимость проекта, (т. р.)
Сумма кредита (т.р.)
Срок окупаемости
ООО «Челны-Бройлер
Реконструкция птицефабрики
988 310
244 716
4 года 9 мес.
ООО „Камский Бекон“
Строительство комплекса по выращиванию свиней
2 031 500
512 360
6,5 лет
ООО „Камские“ Автомобили
Строительство жилья
305 000
181 100
1,2 года
ООО „Магнолия-С“
Строительство жилья
107 963
93 000
7 месяцев
ООО „Грань“
Строительство жилья
167 000
10 900
11 месяцев
ЗАО „Татнефтегаз-стройинвест“
Строительство комплекса жилых домов с плавательным бассейном
159 500
47 102
2 года
Итого
3 759 273
1 075 018
В 2006 году выросли все объемные показатели по оказанию услуг частным лицам, которые приведены в табл.5
Показатели по оказанию услуг частным лицам.
Таблица 5
Наименование показателя
на 01.01.2007 г.
Рост с начала года
Прием платежей
3 566 млн.руб.
26%
Денежные переводы
1 023 млн.руб.
17%
Выпуск банковских карт
175 294 штук
22%
Объем вкладов
1 783 млн.руб.
31%
Кредитный портфель
1 435 337 млн.руб.
91%
Доходы
141 899 тыс.руб.
63%
В настоящее время Банк продолжает увеличивать объёмы эмиссии банковских карт (рис.8). За 2006 год объём эмиссии банковских карт увеличился по сравнению с 2005 годом по картам STB на 32,1 тыс.карт (122%), MasterCard на 392 карты (168%) и общее количество действующих в обращении карт составило на 01.01.2007 по STB – 174,3 тыс. карт, по МasterCard — 962 карты. Основную долю выпущенных карт STB составляют банковские карты, выпущенные по „зарплатному проекту“.
\s
Рис. 8 Динамика роста обслуживания банковских карт
Структура кредитного портфеля
\s
\s\s
Кредиты, выданные физическим лицам
Факторинг
Кредиты, выданные юридическим лицам
Рис.9 Структура кредитного портфеля Банка
Политика управления персоналом основана на миссии ОАО «АКИБАНК», целью которой является обеспечение прибыли акционерам посредством оказания высококачественных услуг клиентам банка. Наше видение системы управления персоналом определяется бизнес-стратегией Банка, нацелено на обеспечение и развитие его конкурентных преимуществ [32].
Успех ОАО «АКИБАНК» обеспечивает его персонал. Партнёрские взаимоотношения внутри коллектива, социальная ответственность и справедливость, поощрение инициативы и соблюдение высоких профессиональных стандартов в работе с персоналом являются залогом нашего общего благополучия и процветания.
Корпоративная политика в области управления персоналом в 2006 году была направлена на достижение следующих целей:
• повышение результативности труда;
• создание эффективной системы оплаты труда и мотивации сотрудников;
• развитие системы оценки, обучения и развития персонала;
• формирование кадрового потенциала, адекватного потребностям Банка;
• поддержание организационного порядка.
Внедрение новой системы оплаты труда и мотивации сотрудников, позволило создать эффективную систему общего вознаграждения, целью которой является привлечь, удержать и мотивировать сотрудников, чья квалификация и результативность обеспечат успешное выполнение Банком своей миссии и достижение бизнес-целей.
При удовлетворении потребностей в персонале определенного качества Банк, прежде всего, ориентируется на развитие необходимых навыков и компетенций у своих сотрудников.
Необходимый уровень профессиональной компетентности сотрудников поддерживался и развивался системой обучения и повышения квалификации (рис.10). В 2006 году на обучение и развитие персонала было потрачено 0,7 млн. руб. В 2007 году корпоративная система обучения и развития персонала будет основываться на стратегических потребностях бизнеса, бизнес-планах и должностных требованиях.
В целях управления лояльностью сотрудников в отчетном году было принято решение устанавливать ежемесячную доплату за непрерывный стаж работы в ОАО «АКИБАНК». Для обеспечения непрерывности и преемственности управления разработан и внедрён механизм формирования внутреннего кадрового резерва на замещение должностей Банка.
Организационный порядок является основой деятельности Банка и достигается через безусловное выполнение сотрудниками требований «Правил внутреннего трудового распорядка ОАО „АКИБАНК“.
\s
Рис. 10 Структура персонала по уровню образования
С целью расширения зоны обслуживания клиентов открыты филиалы во всех промышленно-развитых районах Республики Татарстан: в городах Казань (Северо-западный промышленный район), Альметьевск (Закамье), Нижнекамск (Северо-восточный регион РТ). Начиная с 2003 г. банк расширил сферу своего влияния за пределы Республики, открыв филиалы в Москве и Воронеже. В конце 2004 года зарегистрирован филиал в Уфе.
Сегодня банк обслуживает более 7000 клиентов – юридических лиц свыше 300000 вкладчиков. Ежегодно более тысячи предприятий различных форм собственности и предпринимателей открывают счета в банке. ОАО «АКИБАНК» входит в рейтинги крупнейших банков России, имеет несколько профессиональных премий – знак признания достойного вклада в развитие финансовой системы страны.
Взвешенная политика, основанная на точном анализе рыночной ситуации и долгосрочном прогнозе, знание текущих тенденций позволяют банку сохранять стабильность и динамично развиваться.
Внимательное и оперативное обслуживание клиентов, максимальное удовлетворение их потребностей в банковских продуктах высокого качества являются основой клиентской политики банка.
На протяжении многих лет банк занимается благотворительной и спонсорской деятельностью, помогая решать самые разные социальные проблемы. ОАО «АКИБАНК» много делает для поддержки талантливой молодежи.
ОАО «АКИБАНК» сегодня ставит перед собой новые масштабные задачи по увеличению объемов и расширению деятельности. Банк планирует существенно увеличить уставный капитал за счет дополнительной эмиссии акций. В составе его акционеров появится иностранный инвестор. Это позволит АКИБАНКу привлечь дополнительные финансовые ресурсы и еще активнее развивать программы кредитования малого, среднего бизнеса, населения, а также совершенствовать бизнес – процессы, внедрять высокотехнологичные услуги. И это еще больше повысит конкурентоспособность банка.
Стратегией развития ОАО «АКИБАНК» предусмотрено значительное увеличение объемов розничного бизнеса. Для достижения поставленных целей планируется укрепление позиций Банка в существующих регионах присутствия, а также географическое расширение за счет новых регионов. Предполагается географическое расширение точек продаж розничных продуктов за счет открытия представительств и кредитно-кассовых офисов
в крупных городах Российской Федерации.
Будет открыто 7 дополнительных офисов, приобретено 18 банкоматов и 60 POS-терминалов по городам присутствия Банка.
Акционерный коммерческий ипотечный банк «АКИБАНК» (открытое акционерное общество) зарегистрирован 25.11.1993 года, регистрационный номер № 2587. Адрес: г. Набережные Челны, пр. Мира, д.88 а.
2.2 Анализ управления рисками в ОАО «АКИБАНК»
В ОАО «АКИБАНК» создана эффективная система управления уровнем всех видов рисков, сопровождающих его деятельность.
Целью системы управления рисками является поддержание принимаемого на себя Банком совокупного риска на уровне, определенном Банком в соответствии с собственными стратегическими задачами. Приоритетным является обеспечение максимальной сохранности активов и капитала на основе минимизации подверженности рискам, которые могут привести к неожиданным потерям.
Стратегия управления рисками ОАО «АКИБАНК» базируется на соблюдении принципа безубыточности деятельности и направлена на обеспечение оптимального соотношения между прибыльностью бизнес — подразделений Банка и уровнем принимаемых на себя рисков. Основными структурными подразделениями, на которые возлагаются функции контроля над рисками в ОАО «АКИБАНК», являются отдел контроля банковских рисков, казначейство Банка и отдел внутреннего контроля Банка.
В течение 2006 года были созданы внутренние положения, регламентирующие порядок выявления, оценки, контроля и минимизации рисками в ОАО «АКИБАНК». Данные документы разработаны в соответствии с требованиями нормативных актов ЦБ РФ, документов Базельского
комитета, Общепризнанных Принципов Управления Рисками (Generally Accepted Risk Principles – GARP), собственных методик оценки, показателей и инструментов управления рисками [30].
В Банке разработана система лимитов, которая ограничивает (минимизирует) кредитные, региональные, отраслевые риски, риски ликвидности и рыночный риск. Мониторинг данных показателей о выполнении лимитов производится ежеквартально, результаты доводятся Наблюдательному Совету и Правлению Банка.
Оценка уровня основных видов рисков производится с использованием таких инструментов, как, стресс-тестирование и сценарный анализ.
Действующая в ОАО «АКИБАНК» система управления рисками позволяет с большой долей запаса выполнять основные нормативы Банка России:
• норматив достаточности капитала Н1 = 13,1% (min = 10%);
• норматив мгновенной ликвидности Н2 = 36,7% (min = 15%);
• норматив текущей ликвидности Н3 = 63,9% (min = 50%);
• норматив долгосрочной ликвидности Н4 = 82,9% (max = 120%);
• максимальный размер риска на одного заемщика или группу связанных
заемщиков Н6 = 24,4% (max = 25%);
• максимальный размер крупных кредитов Н7 = 388,6% ( max = 800%).
Об эффективности системы управления рисками свидетельствует высокое качество ссудного портфеля. Размер созданных резервов составляет 2,1%
от суммы ссудного портфеля, а доля просроченной задолженности не превышает 0,17% [26].
В целях оценки, контроля и минимизации кредитных рисков в ОАО «АКИБАНК» действует утвержденный порядок проведения операций, включающий в себя соответствующие правила и процедуры, утвержденные полномочия по принятию решений и лимиты по объему проводимых операций. Разработана система управления кредитными рисками, которые ограничиваются установленными лимитами по оптимизации регионального, отраслевого риска, по типам заемщиков, риска на одного или группу взаимосвязанных заемщиков, по крупным кредитам, максимальный риск по связанным с банком лицам и акционерам банка. В 2006 году были установлены лимиты и постоянно производится мониторинг суммы условных обязательств кредитного характера и суммы кредитов, выданных связанным с Банком сторонам. Отделом контроля банковских рисков производится расчет ежедневного значения показателя «вероятность дефолта заемщика», начиная с периода 01.09.2004 г. до текущего момента, на основе которого производится расчет величины Value-at-Risk (VaR)…
Риск ликвидности контролируется ежедневно отделом казначейства, Отдел контроля банковских рисков и главным бухгалтером путем установления лимитов мгновенной, текущей ликвидности, долгосрочной и общей ликвидности и ежедневного контроля за их состоянием в ПК «Управленческий учет» и в программе ЦБ «Obved».
Для оценки и анализа риска потери ликвидности Банк использует следующие методы:
• метод коэффициентов (ежедневный расчет обязательных нормативов в соответствии с требованиями Инструкции №110-И от 16.01.2004г.);
• метод анализа разрыва в сроках погашения требований и обязательств с расчетом показателей ликвидности: избыток/дефицит ликвидности, коэффициент избытка/дефицита ликвидности (ежедневный расчет ф.125);
• прогноз движения потоков денежных средств.
Операционный риск минимизируется за счет регламентирования и контроля всех проводимых в Банке процедур, делегирования и разделения полномочий, постоянного совершенствования используемых технологий и информационных систем. В 2006 году Банк начал вести учет операционных рисков и расчет капитала, необходимого для резервирования под операционные риски. Расчет капитала под операционные риски производится двумя методами: базовым индикативным (BIA) и стандартизированным (TSA). Ежеквартально рассчитывается уровень операционного риска Банка. Выявление операционных убытков и потерь ведется всеми подразделениями банка, включая и филиалы. Отчеты по операционным рискам составляются отделом контроля банковских рисков ежеквартально и направляются Правлению банка и Наблюдательному совету Банка [5].
продолжение
–PAGE_BREAK–Рыночный риск включает в себя валютный, фондовый и процентный риск. В валюте баланса вложения в торговый портфель занимает менее 0,1%, валюта – 0,6%, поэтому на данном этапе валютный и фондовый риски незначительны. Контроль и управление фондовым риском осуществляется в соответствии с внутренними утвержденными документами. Ежедневно осуществляется контроль за соблюдением установленных лимитов по проводимым операциям на рынке ценных бумаг, за доходностью сделок с ценными бумагами. Процентный риск контролируется путем ежемесячного мониторинга ставок привлечения и размещения ресурсов, маржи прибыли, внутренней себестоимости и других факторов, оказывающих влияние на уровень процентных рисков.
В 2006 году также начата работа по проведению стресс-тестирования Банка. В программном комплексе ИНЭК «Финансовый риск менеджер»
производится ежеквартальное стресс-тестирование банка для расчета максимальных потерь – капитала под риском (VAR). Методы оценки рисков
на основе VAR- анализа позволяют рассчитать с заданной вероятностью максимальные ожидаемые убытки банковского портфеля при условии сохранения текущих рыночных тенденций. Основной методикой стресс-тестирования в ОАО АКИБАНК” является сценарный анализ, проводимый на основе либо исторических событий, произошедших в прошлом, либо на основе гипотетических событий, которые могут произойти в будущем, и анализ чувствительности портфеля активов Банка к изменению факторов риска, на
основании которых рассчитываются максимальные потери банка, которые могут возникнуть при самых неблагоприятных, но вероятных условиях.
Сценарный анализ позволяет оценивать не только максимально возможные потери, но и проводить анализ чувствительности финансового результата банковского портфеля к изменению значений факторов риска и их волатильности.
Отдел информационных технологий. Отдел информационных технологий является структурным подразделением Управления обеспечения деятельности банка, осуществляющим удовлетворение потребностей банка в следующих услугах:
— автоматизация бизнес-процессов всех подразделений (под бизнес-процессом в целях настоящего Положения понимаются действия сотрудников банка, направленные на реализацию функций, возложенных на них утвержденными внутрибанковскими положениями и должностными инструкциями);
— автоматизация процессов управления банком;
— формирование и представление всех видов информации, связанной с автоматизацией бизнес-процессов всех подразделений банка и их программным обеспечением, начальнику управления обеспечения деятельности банка;
Общей целью(миссией) Отдела определяется повышение благосостояния акционеров ОАО «АКИБАНК», его работников и клиентов, что является:
— условием, определяющим перспективы развития банка, финансовые результаты его деятельности;
— первым и необходимым условием существования самого отдела информационных технологий;
Задачей Отдела является оказание определенных настоящим положением услуг, таким образом и на таком уровне, чтобы:
— обеспечить повышение производительности труда сотрудников банка методом автоматизации процессов сбора и анализа входящей и исходящей информации до уровня производительности труда конкурентов банка;
— обеспечить повышение уровня качества и комфорта управления банком путем автоматизации процессов формирования и вывода управленческой информации до уровня конкурентов банка;
— минимизировать риски, возникающие в процессе деятельности всех подразделений банка, связанных с использованием программного обеспечения до уровня конкурентов банка (под конкурентами банка в целях настоящего Положения понимаются коммерческие банки, входящие в состав первой сотни европейских банков в соответствии с официальными данными международных рейтинговых агентств);
— обеспечить своевременное формирование достоверной и полной управленческой информации, связанной с автоматизацией бизнес-процессов всех подразделений банка и их программным обеспечением.
— обеспечить возможность формирования любых новых видов информации, необходимых для составления и реализации стратегических и тактических планов банка, и отвечающих требованиям достоверности, полноты и своевременности для ее пользователей;
— обеспечить постоянный рост производительности труда должностных лиц банка путем создания комфортных условий их деятельности. Роль Отдела в создании комфортных условий для должностных лиц банка заключается в своевременном и полном выполнении закрепленных за ним функций, связанных с автоматизацией бизнес-процессов всех управлений банка, обеспечением бесперебойной работы всех программных средств, своевременным сбором и формированием полной и достоверной управленческой информации.
Отдел подчиняется непосредственно Заместителю Председателя Правления — начальнику Управления обеспечения деятельности банка и возглавляется начальником Отдела.
В своей работе Отдел руководствуется миссией банка, внутрибанковскими документами, действующим законодательством Российской Федерации, уставом банка, Решениями Наблюдательного Совета банка, приказами и распоряжениями Председателя Правления банка, правилами оказания банковских услуг.
Принципы работы отдела информационных технологий
Сотрудники Отдела заинтересованы в экономическом росте каждого доходного подразделения и банка в целом.
Отдел на постоянной основе производит поиск резервов роста конкурентоспособности и инвестиционной привлекательности банка. Предлагает и реализует мероприятия по использованию данных резервов.
Стоимость вновь закупаемых программных продуктов не должна превышать экономического эффекта от их использования в определенный период и не превышать бюджета, предусмотренного финансовым планом.
Выполняя функции, возложенные на отдел, сотрудники должны заботиться о постоянном повышении комфорта руководства и сотрудников банка. В целях реализации миссии Отдела и как средство достижения финансовых целей в процессе своей деятельности работники Отдела придерживаются следующих принципов, которые представлены в табл.6.
Принципы деятельности
Таблица 6
Принципы деятельности Отдела
Содержание принципов 1.Сотрудники Отдела заинтересованы в экономическом росте каждого доходного подразделения и банка в целом.
В процессе обслуживания Банка сотрудники Отдела обязаны осознавать свою непосредственную заинтересованность в экономическом росте банка, его акционеров и клиентов. Доходы банка являются частью доходов клиентов и, следовательно непосредственно зависят от их размера. В свою очередь доходы сотрудников Отдела являются частью доходов, получаемых банком, и также зависят от их размера.
2.Отдел на постоянной основе производит поиск резервов роста конкурентоспособности и инвестиционной привлекательности банка. Предлагает и реализует мероприятия по использованию данных резервов.
Отдел в процессе осуществления своих функций анализирует бизнес-процессы, осуществляемые сотрудниками банка, на предмет возможности их автоматизации. В результате данного анализа выявляются резервы увеличения производительности труда, повышение уровня надежности проводимых операций для клиентов Управления обеспечения деятельности банка. Рост конкурентоспособности банка отделом информационных технологий также обеспечивается за счет деятельности, направленной на снижение рисков (доработка программного обеспечения, разработка внутренних стандартов документов). Исходя из цели по повышению конкурентоспособности банка и инвестиционной привлекательности, отдел анализирует рынок банковского программного обеспечения на предмет возможного использования в бизнес-процессах управлений.
3.Стоимость вновь закупаемых программных продуктов не должна превышать экономического эффекта от их использования в определенный период и не превышать бюджета, предусмотренного финансовым планом.
Решение о приобретении программных продуктов всегда должно основываться на предварительном анализе экономической целесообразности изъятия средств из доходных активов и расчета периода их окупаемости. Приобретение программных средств непосредственно влияет на риск потери ликвидности банка. Поэтому приобретение программных средств должно производиться в объемах, предусмотренных годовым финансовым планом банка.
Нецелесообразным признается приобретение программных продуктов со сроком окупаемости более срока их морального и/или технического износа. Нецелесообразным признается приобретение программных продуктов, если их потребительские качества используются менее чем на 70 %;
Продолжение таблицы 6
Принципы деятельности Отдела
Содержание принципов
4.Выполняя функции, возложенные на отдел, сотрудники должны заботиться о постоянном повышении комфорта руководства и сотрудников банка.
Уровень комфорта руководства банка и его сотрудников в значительной степени зависит от возможностей программного обеспечения, отсутствия сбоев в его работе. В свою очередь уровень комфорта условий труда руководства и персонала банка влияет на производительность труда, степень выполнения миссии банком, эффективность управления банком. Таким образом, создание комфортных условий труда для руководства и персонала непосредственно сказывается на развитии конкурентных преимуществ банка и его инвестиционной привлекательности.
Организационная структура Отдела информационных технологий представлена на рис. 11.
SHAPE \* MERGEFORMAT Рис 11. Организационная структура Отдела информационных технологий
Отдел информационных технологий возглавляет Начальник отдела.
Финансовые показатели Отдела информационных технологий представлены в табл. 7
Финансовые показатели
Таблица 7
Финансовые показатели
Отдел информационных технологий
1.Максимально допустимый объем изымаемых средств клиентов и акционеров банка в результате воздействия рисков, вызываемые последствиями неправомерных или некомпетентных решений отдельных работников.
0,03% балансовой прибыли
2.Объем автоматизированных функций (подлежащие автоматизации) в подразделениях банка
100% функций
3.Рост производительности труда сотрудников банка в результате автоматизации функций.
30%
4.Объем потерь имущества находящегося на складе, в кассе или переданного в эксплуатацию сотрудникам Отдела
от $20
5.Количество претензий к деятельности Отдела со стороны руководителей доходных подразделений банка.
10 претензий
Функции, осуществляемые Отделом – виды его деятельности, осуществляя которые, Отдел достигает поставленных для него целей.
Количественные и качественные цели, которые необходимо достичь Отделом к 2007 году, выражены в следующих основных показателях:
Функции, возложенные на Отдел информационных технологий, заключаются в:
— оказании полного комплекса услуг, связанных с автоматизацией бизнес-процессов управлений банка, минимизирующих риски, повышающих качество управления банком и создающих условия для комфортной деятельности доходных подразделений банка;
— создании и поддержании психологически комфортной атмосферы в отношениях с клиентами Управления обеспечения деятельности банка и клиентами доходных управлений банка;
Для оценки результатов по выполнению функций, закрепленных за Отделом, ежемесячно, не позднее 10 числа, составляется отчет, где отражается степень достижения количественных и качественных целей. Отчет составляется по форме, утвержденной Председателем Правления Банка.
Функции,направленные на выполнение целей и задач Отделом, сгруппированы и представлены в табл. 8
Функции Отдела информационных технологий
Таблица 8
Функции
Отдел информационных технологий
1.Анализ бизнес-процессов, осуществляемых в банке, на предмет возможности их автоматизации с целью повышения производительности труда.
Минимизация риска недостижения целей, операционного риска
2.Подготовка предложений по повышению производительности труда в банке методом автоматизации бизнес-процессов
3.Разработка на основании принятых предложений годовых, квартальных планов автоматизации процессов, и представление их руководству управления для утверждения.
4.Реализация утвержденных планов автоматизации процессов.
5.Внесение изменений бизнес-процессы, связанные с их автоматизацией для последующего утверждения.
Минимизация риска потери конкурентоспособности и риска недостижения целей.
6.Создание концепции удаленного управления банком и его подразделениями без территориального ограничения
Минимизация риска потери конкурентоспособности и риска недостижения целей.
7.Разработка плана реализации и бюджета концепции удаленного управления банком и его подразделениями без территориального ограничения
8.Реализация плана концепции удаленного управления банком и его подразделениями без территориального ограничения.
9.Исходя из стратегических целей банка составление плана и бюджета обеспечения банка программными средствами на 10 лет.
Прдолжение таблицы 8
Функции
Отдел информационных технологий
10.Разработка и представление руководству банка директивных и методических документов по использованию программного обеспечения для утверждения.
Минимизация рисков вызываемых последствиями неправомерных или некомпетентных решений отдельных работников и потери репутации банка
11.Сбор и анализ информации о выявленных персоналом банка ошибках программного обеспечения. Доработка и исправление выявленных ошибок.
Минимизация рисков вызываемых последствиями неправомерных или некомпетентных решений отдельных работников и потери репутации банка
12.Разработка внутренних стандартов по формированию документов на машинных и бумажных носителях.
Риски, воздействующие на Отдел информационных технологий приведены в табл.9.
Под рисками банковской деятельности, воздействующими на функции, осуществляемые Отделом, здесь и далее понимается возможность утери ликвидности и (или) финансовых потерь (убытков), связанная с внутренними и внешними факторами, влияющими на деятельность банка.
Контроль над уровнем рисков в Отделе осуществляется по линии административного и финансового контроля. Административный и финансовый контроль осуществляется в предварительном, текущем и последующем порядке.
Административный контроль состоит в обеспечении проведения операций только уполномоченными на то лицами и в строгом соответствии с определенными банком полномочиями и процедурами принятия решений по проведению операций.
Распределение ответственности по регулированию рисков внутри Отдела. Виды рисков
Таблица 9
Виды рисков
Отдел информационных технологий
Неблагоприятные изменения государственной экономической политики
Кредитный риск
Риск потери деловой репутации
+
Правовой риск
+
Риск несоответствия интересам банка емкости и доходности финансовых рынков
Рыночный риск
Процентный риск
Страновой риск и риск не перевода средств
Риски, вызываемые последствиями неправомерных или некомпетентных решений отдельных работников.
+
Риск потери ликвидности
Операционный риск
+
Валютный риск
Риск потери конкурентоспособности +
Риск не достижения целей
+
Финансовый контроль состоит в обеспечении проведения операций в строгом соответствии с принятой и закрепленной документами политикой банка применительно к разным видам финансовых услуг и их адекватного отражения в учете и отчетности.
Административный и финансовый контроль должен с достаточной степенью надежности удостоверить как минимум следующее:
продолжение
–PAGE_BREAK– — доступ сотрудников банка к имуществу банка, к осуществлению операций по счетам клиентов и кредиторов допускается только в строгом соответствии с надлежащим образом удостоверенными полномочиями сотрудников;
— операции отражаются в учете в соответствии с установленными Банком России требованиями, реально отражают состояние активов и пассивов банка и обеспечивают составление установленных форм отчетности;
— данные учета активов и пассивов банка надлежащим образом подтверждаются как с точки зрения их охвата, так и с позиций периодичности проверок соответствия, и при наличии отклонений предпринимаются необходимые действия, направленные на ликвидацию расхождений.
Отдел обязан минимизировать риски, возникающие при осуществлении функций, в соответствии с методикой минимизации рисков, утвержденной Председателем Правления банка, нормативными требованиями ЦБ РФ, и здравым смыслом.
В ОАО «АКИБАНК» начата работа по проведению стресс-тестирования Банка. В программном комплексе ИНЭК «Финансовый риск-менеджер» производится ежеквартальное стресс-тестирование Банка для расчета максимальных потерь – капитала под риском (VAR). Методы оценки рисков на основе VAR- анализа позволяют рассчитать с заданной вероятностью максимальные ожидаемые убытки банковского портфеля при условии сохранения текущих рыночных тенденций [30].
Основной методикой стресс-тестирования в ОАО «АКИБАНК» является сценарный анализ, проводимый на основе либо исторических событий, произошедших в прошлом, либо на основе гипотетических событий, которые могут произойти в будущем, и анализ чувствительности портфеля активов Банка к изменению факторов риска, на основании которых рассчитываются максимальные потери банка, которые могут возникнуть при самых неблагоприятных, но вероятных условиях. Сценарный анализ позволяет оценивать не только максимально возможные потери, но и проводить анализ чувствительности финансового результата банковского портфеля к изменению значений факторов риска.
Кредитная организация разрабатывает основные принципы управления операционным риском, определяющие:
— цели и задачи управления операционным риском с учетом приоритетных направлений деятельности кредитной организации;
— основные методы выявления, оценки, мониторинга (постоянного наблюдения) операционного риска;
— основные методы контроля и (или) минимизации операционного риска (принятие мер по поддержанию риска на уровне, не угрожающем интересам кредиторов и вкладчиков, устойчивости кредитной организации);
— порядок представления отчетности и обмена информацией по вопросам управления операционным риском;
— распределение полномочий и ответственности между советом директоров (наблюдательным советом) и исполнительными органами за реализацию основных принципов управления операционным риском.
Степень детализации основных принципов управления операционным риском зависит от уровня операционного риска, которому подвергается кредитная организация [11].
Основные принципы управления операционным риском реализуются во внутренних документах кредитной организации, определяющих:
— организационную структуру кредитной организации, разделение и делегирование полномочий, функциональные обязанности, порядок взаимодействия подразделений, служащих и обмена информацией;
— порядок, правила, процедуры совершения банковских операций и других сделок, учетную политику, организацию внутренних процессов;
— правила, порядки и процедуры функционирования систем (технических, информационных и других);
— порядок разработки и представления отчетности и иной информации;
— порядок стимулирования служащих и другие вопросы.
При изменении, разработке и принятии новых внутренних документов кредитной организации необходимо проводить оценку их соответствия основным принципам управления операционным риском [6].
В целях создания условий для эффективного управления операционным риском кредитной организации рекомендуется учредительными и (или) внутренними документами отнести к компетенции совета директоров (наблюдательного совета) следующие вопросы:
— утверждение основных принципов управления операционным риском;
— создание организационной структуры кредитной организации, соответствующей основным принципам управления операционным риском;
— осуществление контроля за полнотой и периодичностью проверок службой внутреннего контроля соблюдения основных принципов управления операционным риском отдельными подразделениями и кредитной организацией в целом;
— утверждение мер по обеспечению непрерывности финансово-хозяйственной деятельности при совершении банковских операций и других сделок, включая планы действий на случай непредвиденных обстоятельств (планы по обеспечению непрерывности и (или) восстановления финансово-хозяйственной деятельности);
— оценка эффективности управления операционным риском;
— контроль за деятельностью исполнительных органов кредитной организации по управлению операционным риском.
На этапе выявления операционного риска особое внимание необходимо обращать на случаи пересечения полномочий и ответственности подразделений, служащих кредитной организации.
Все нововведения, производимые кредитной организацией, — изменения структуры или процедур, внедрение новых услуг и технологий, в том числе с использованием аутсорсинга, освоение новых направлений деятельности — рекомендуется на этапе разработки подвергать тщательному анализу с целью выявления факторов операционного риска [9].
3. Регулирование информационных и телекоммуникационных рисков в системе управления операционным риском кредитных организаций
3.1. Методы управления рисками, связанными с использованием информационных и телекоммуникационных систем
Во внутренних документах кредитной организации рекомендуется определить методы оценки операционного риска. Кредитные организации могут разрабатывать методы оценки операционного риска самостоятельно либо использовать методы, принятые в международной банковской практике. В международной банковской практике применяются следующие методы [3]:
— статистический анализ распределения фактических убытков;
— балльно-весовой метод (метод оценочных карт);
— моделирование (сценарный анализ).
Во второй половине 90-х годов компания C & A Systems Security [33] разработала методику и одноименный инструментарий для анализа и управления информационными рисками, получившие название COBRA. Эта методика позволяет выполнить в автоматизированном режиме оценку информационных рисков банка. Для этого предлагается использовать специальные электронные базы знаний и процедуры логического вывода, ориентированные на требования ISO 17799.
Из программных комплексов российских производителей можно отметить «Кондор» и «Гриф» производства компании Digital Security [35].Они привлекают простым и понятным пользовательским интерфейсом и сравнительно невысокой ценой. Демонстрационные версии этого программного обеспечения можно бесплатно скачать с сайта производителя. Аудиторам информационной безопасности предлагаются консалтинговые версии данных программных продуктов. Они много дороже своих корпоративных аналогов, зато в их базах содержатся исчерпывающие наборы аналитических данных.
Четкой методики количественного расчета величин рисков как не было, так и нет. Это связано в первую очередь с отсутствием достаточного объема статистических данных о вероятности реализации той или иной угрозы. В результате наибольшее распространение получила качественная оценка информационных рисков.
В спорах на тему оценки информационных рисков или экономического обоснования инвестиций в информационную безопасность сломано немало копий. В настоящее время идет активное накопление данных, на основании которых можно было бы с приемлемой точностью определить вероятность реализации той или иной угрозы. К сожалению, имеющиеся справочники опираются на зарубежный опыт и потому с трудом применимы к российским реалиям. К тому же определение величины стоимости информационного ресурса (будь то физический сервер или файлы и записи СУБД) тоже зачастую затруднено. К примеру, если владелец ресурса (в предположении, что таковой идентифицирован) может назвать стоимость оборудования и носителей, то указать точную стоимость находящихся в его ведении данных он практически никогда не в состоянии. Поэтому наиболее распространенной остается качественная оценка информационных рисков, когда при отсутствии точных данных значения параметров устанавливает проводящий анализ рисков эксперт[20].
Идентификация угроз.
Для управления рисками требуется идентифицировать возможные опасности, угрожающие обследуемой информационной системе. Таковыми могут являться, например, наводнение, отключение электропитания или атаки злоумышленников с последствиями разной степени тяжести. На данном этапе рекомендуется учесть все риски, однако оценивать лишь те, реализация которых возможна исходя из принятой модели нарушителя. Таким образом, после идентификации угрозу следует соотнести с моделью нарушителя с целью определения соответствующей категории нарушителя и последующей оценки вероятности реализации данной угрозы. Например, если модель нарушителя не описывает категорию удаленных пользователей (в банке не предусмотрен удаленный доступ), то вероятность утечки информации в результате доступа к ней извне ничтожно мала, и ею можно пренебречь при расчете рисков.
Расчет информационных рисков.
Формула, чаще всего используемая при расчете рисков, представляет собой произведение трех параметров:
1. стоимость ресурса (Asset Value, AV). Указанная величина характеризует ценность ресурса. При качественной оценке рисков стоимость ресурса чаще всего ранжируется в диапазоне от 1 до 3, где 1 — минимальная стоимость ресурса, 2 — средняя стоимость ресурса и 3 — максимальная стоимость ресурса. К примеру, сервер автоматизированной банковской системы имеет AV = 3, тогда как отдельный информационный киоск, предназначенный для обслуживания клиента, имеет AV = 1 по отношению к информационной банковской системе;
2. мера уязвимости ресурса к угрозе (Exposure Factor, EF). Этот параметр показывает, в какой степени тот или иной ресурс уязвим по отношению к рассматриваемой угрозе. Например, с точки зрения банка ресурс автоматизированной банковской системы имеет наибольшую доступность. Таким образом, атаки с целью реализации отказа в обслуживании (Denial of Service, DoS) представляют для него максимальную угрозу. При качественной оценке рисков данная величина также ранжируется в диапазоне от 1 до 3, где 1 — минимальная мера уязвимости (слабое воздействие), 2 — средняя (ресурс подлежит восстановлению), 3 — максимальная (ресурс требует полной замены после реализации угрозы);
3. оценка вероятности реализации угрозы (Annual Rate of Occurrence, ARO) демонстрирует, насколько вероятна реализация определенной угрозы за определенный период времени (как правило, в течение года) и также ранжируется по шкале от 1 до 3 (низкая, средняя, высокая).
На основании полученных данных выводится оценка ожидаемых потерь (уровень риска):
· оценка ожидаемого возможного ущерба от единичной реализации определенной угрозы (Single Loss Exposure, SLE) рассчитывается по формуле:
SLE = AV x EF;(1)
· итоговые ожидаемые потери от конкретной угрозы за определенный период времени (Annual Loss Exposure, ALE) характеризуют величину риска и рассчитывается по формуле:
ALE = SLE x ARO. (2)
Таким образом, конечная формула расчета рисков представляет собой произведение:
ALE = ((AV x EF = SLE) x ARO). (3)
Как видим, большинство из описанных параметров принимается на основе мнения эксперта. Это связано с тем, что количественная оценка вероятности реализации угрозы затруднена ввиду относительной новизны информационных технологий и, как следствие, отсутствия достаточного количества статистических данных. В случае оценки стоимости ресурса (AV) количественная оценка (например, в денежном эквиваленте) чаще всего не проводится, и тогда оценка параметра SLE затруднена [34].
Методики управления рисками.
После проведения первичной оценки рисков полученные значения следует систематизировать по степени важности для выявления низких, средних и высоких рисков. Методика управления рисками подразумевает несколько способов действий. Риск может быть:
— принят (assumption), т. е. пользователь согласен на риск и связанные с ним потери, поэтому работа информационной системы продолжается в обычном режиме;
— снижен (mitigation) — с целью уменьшения величины риска будут приняты определенные меры;
— передан (transference) — компенсацию потенциального ущерба возложат на страховую компанию, либо риск трансформируют в другой риск — с более низким значением — путем внедрения специальных механизмов.
Некоторые методики дополнительно предусматривают еще один способ управления — «упразднение» (avoidance). Он подразумевает принятие мер по ликвидации источника риска. Например, удаление из системы функций, порождающих риск, либо выведение части системы из эксплуатации. Однако, на мой взгляд, такой подход неконструктивен ввиду того, что, если величина риска достаточно велика, порождающий его компонент критичен для информационной системы и, следовательно, не может быть удален. При низких значениях риска данный метод трансформируется в метод снижения риска (mitigation).
После ранжирования рисков определяются требующие первоочередного внимания; основным методом управления такими рисками является снижение, реже — передача. Риски среднего ранга могут передаваться или снижаться наравне с высокими рисками. Риски низшего ранга, как правило, принимаются и исключаются из дальнейшего анализа. Диапазон ранжирования рисков принимается исходя из проведенного расчета их качественных величин. Так, например, если величины рассчитанных рисков лежат в диапазоне от 1 до 18, низкие риски находятся в диапазоне от 1 до 7, средние — в диапазоне от 8 до 13, высокие — в диапазоне от 14 до 18.
Таким образом, управление рисками сводится к снижению величин высоких и средних рисков до характерных для низких рисков значений, при которых возможно их принятие. Снижение величины риска достигается за счет уменьшения одной или нескольких составляющих (AV, EF, SLE) путем принятия определенных мер. В основном это возможно применительно к EF и SLE, так как AV (стоимость ресурса) — фиксированный параметр. Однако возможно и его снижение. Например, если хранящаяся на сервере информация относится к конфиденциальной, но проверка выявила, что гриф «конфиденциально» в силу каких-либо причин может быть снят. В результате стоимость ресурса автоматически уменьшается. В системе Internet-банкинга, например, параметр EF можно уменьшить путем фиксации ответственности сторон в договорном порядке. В этом случае считается, что стороны предупреждены об ответственности, которую может повлечь за собой нарушение правил эксплуатации системы, и, таким образом, фактор уязвимости снижается [27].
Снижение параметра SLE, т. е. вероятности реализации угрозы, может быть достигнуто за счет технических мер. Например, при наличии угрозы кратковременного отключения электропитания установка источника бесперебойного питания снижает вероятность ее реализации.
Возникшие (оставшиеся) после применения методики управления риски называются остаточными, и именно они применяются для обоснования инвестиций в информационную безопасность. Перерасчет рисков производится в отношении всех рисков, если они оценены как высокие и средние.
Анализ информационных рисков — это процесс определения угроз информации, уязвимостей информационной системы и возможного ущерба. Анализ информационных рисков служит для количественной оценки возможного материального ущерба (в т.ч. в денежном выражении) от реализации выявленных угроз безопасности информации, а также при страховании информационных рисков (в этом случае Северо-Западный центр защиты информации «Актив» может выступать в качестве главного).
Этапами анализа информационных рисков являются:
• классификация информационных ресурсов по критериям безопасности;
• оценка стоимости ресурсов;
• анализ угроз безопасности информации с определением перечней актуальных источников угроз и актуальных уязвимостей;
• определение перечня возможных атак на объект защиты и механизмов их реализации;
• оценивание возможного ущерба и последствий реализации угроз;
• формирование перечня, классификация и определение характеристик информационных рисков, оценка эффективности существующих методов управления рисками;
продолжение
–PAGE_BREAK–