CC BY
97
УПРАВЛЕНИЕ РИСКАМИ
ВНУТРЕННИЙ КОНТРОЛЬ И УПРАВЛЕНИЕ РИСКАМИ В КОММЕРЧЕСКОМ БАНКЕ*
a.b. Шульгин;
кандидат технических наук, заместитель руководителя службы
внутреннего контроля ЗАО "КБ" Гута-банк"
Эта статья продолжает серию материалов, посвященных созданию системы внутреннего контроля коммерческого банка. В ней будут рассмотрены вопросы организации процедур внутреннего контроля в отношении операций банка в платежных системах.
2.3. Контроль операций банка в платежных системах
2.3.1. Особенности операций банка в платежных системах
Контроль операций с банковскими картами является одним из наиболее технически сложных контрольных вопросов. Это связано с рядом причин, обусловленных спецификой данного банковского продукта. Рассмотрим эти причины, но предварительно кратко остановимся на основных принципах проведения операций в платежных системах при помощи банковских карт.
Банковская карта является способом обеспечения клиенту банка доступа к своим средствам или к кредитным ресурсам. Использование банковской карты предполагает:
а)идентификацию клиента в торгово-сервис-ном предприятии;
б) передачу запроса о состоянии счета клиента в платежную систему;
в) передачу запроса из платежной системы в банк, выпустивший карту;
г) передачу подтверждения или отказа через платежную систему в торгово-сервисное предприятие;
д) передачу в банк через платежную систему данных о совершенной операции.
Банк, проводя операции в платежной системе, может осуществлять процессирование (обработку) этих операций сам, являясь членом од-
* Продолжение. Начало см. в № 13 (85), № 15 (87) 2001 года.
ной или нескольких платежных систем, а может пользоваться услугами сторонних процессинго-вых центров - членов платежных систем. В первом случае банк имеет собственный процессинговый центр, где осуществляет обмен информацией с платежной системой: проводит обработку приходящих из платежной системы транзакций и авторизационных запросов и передает в платежную систему данные о состоянии карточных счетов. Разумеется, в первом случае банк несет значительно больше расходов по обеспечению указанных операций, поскольку обработка данных в процессинговом центре значительно сложнее, чем в системе ведения карточных счетов, использующей информацию стороннего процессингового центра, требует круглосуточного присутствия персонала. Соответственно различны и подходы к обеспечению контроля операций.
Как правило, для проведения операций с банковскими картами в банке открываются счета синтетического учета, на которых ведется учет совокупности операций по группе карточных счетов, являющихся счетами аналитического учета. Карточные счета могут быть объединены в группы по различным признакам: по принадлежности их владельцев к одному предприятию, находящемуся на обслуживании в банке, по форме собственности владельцев, по их региональной принадлежности или по каким-либо другим. Каждая операция по пополнению или списанию средств с карточного счета ведет к соответствующему кредитованию или дебетованию сводного счета на ту же сумму. Правила бухгалтерского учета предписывают неукоснительное соблюдение со-
ответствия данных синтетического и аналитического учета. Это значит, что на каждый момент времени дебетовый оборот по сводному счету должен совпадать с суммой дебетовых транзакций по множеству соответствующих ему карточных счетов, кредитовый оборот - с суммой кредитовых транзакций. Должны также совпадать остатки на сводном счете и на соответствующих ему карточных счетах.
Поскольку операции в платежных системах проходят круглосуточно, а учет в балансе банка организован, как правило, в соответствии с банковским днем, то часть транзакций, выполненных сегодня, но после прекращения принятия документов на обработку, будет отражена в балансе банка завтра. Для снижения влияния этого фактора на сходимость данных вводится понятие даты операции и даты валютирования (постирования, процессирования), то есть даты учета этой операции в балансе банка. Операции, учтенные в синтетическом учете по дате валютирования, должны соответствовать данным аналитического учета на ту же дату.
Пополнение карточных счетов производится путем взноса наличных, за счет перевода на них средств с других банковских, в том числе и карточных счетов, за счет начисления процентов на остатки. При этом по счетам синтетического учета делаются проводки, отражающие операции по счетам аналитического учета (карточным счетам). Возможно пополнение карточного счета из другого банка путем перечисления средств на него межбанковским переводом. Возможно также пополнение карточного счета из платежной системы. Последний вариант пополнения счета имеет место, например, при отказе держателя карты от какой-либо покупки, при возврате купленного товара, при отказе держателя карты от платежа, выполненного в платежной системе, и проч. Этот вариант пополнения, как будет рассмотрено ниже, является для банка наиболее критичным с точки зрения возможных потерь.
Операции по списанию средств с карточного счета, как правило, предваряются авторизационным запросом, назначение которого состоит в том, чтобы получить от банка-эмитента или авторизационного центра, обслуживающего банк-эмитент, сведения о платежеспособности держателя карточного счета. Положительный ответ на авторизационный запрос обязывает банк-эмитент впоследствии удовлетворить требование банка-партнера или торговой точки о поставке средств на сумму сделанной в соответствии с запросом покупки или выдачи средств через банкомат. Поэтому при получении авторизационного запроса
и выдаче положительного ответа банк-эмитент блокирует на карточном счете клиента соответствующую запросу сумму до прихода документа (возможно, электронного) на ее списание. Иногда в платежных системах устанавливается лимит авторизации. При проведении операции на сумму ниже этого лимита допускается обслуживание клиентов в торговых точках без авторизации (так называемые подлимитные платежи). К сожалению, это часто является источником злоупотреблений. Операции по снятию наличных через банкомат всегда сопровождаются авторизационным запросом. Если в течение установленного платежной системой срока, как правило, это 45 дней, соответствующий авторизационному запросу платежный документ не был обработан платежной системой, запрос снимается, а заблокированная сумма разблокируется. В некоторых системах, например в российской платежной системе Юнион Кард, автоматическое снятие блокировки не предусмотрено. Снятие запроса может произойти и ранее, если из торговой точки, где этот запрос был сформирован, поступила отмена запроса.
Данные об операциях по карточному счету поступают в платежную систему изнутри банка и извне. Извне данные поступают в виде авторизационных запросов и в виде информации о произведенных операциях по картам в торговых точках и пунктах выдачи наличных. Эти данные про-цессируются, то есть обрабатываются и превращаются в транзакции по карточным счетам.
2.3.2. Организация внутреннего контроля
при проведении операций в платежных системах
Проведение операций с банковскими картами, в соответствии с принятым подходом, должно удовлетворять требованиям внутреннего контроля. Перечень этих требований условно можно разделить на требования к процессам формирования, обработки и сохранения данных в информационных системах, требования к порядку проведения эмиссии и учета операций и требования к хранению ценностей и бланков отчетности. Рассмотрим эти вопросы подробно.
2.3.3. Хранение информации
При работе с банковскими картами, как правило, происходит обработка больших массивов данных при помощи специальных программ, называемых системами ведения карточных счетов (СВКС). Эти программы строятся на основе систем управления базами данных (СУБД). Как правило, используются СУБД, разработанные круп-
нейшими мировыми фирмами-разработчиками программного обеспечения, такие как Paradox, Oracle, MS SQL и др. СВКС, работающая с картами той или иной платежной системы, должна пройти сертификацию этой платежной системы в соответствии с установленными платежной системой правилами. Иногда банки используют СВКС собственной разработки или СВКС, не прошедшие сертификацию. Это наиболее часто распространено среди банков, которые сами не выполняют процессирование операций по своим картам, а пользуются услугами других банков или процессинговых центров.
В любом случае в СВКС хранятся данные о клиентах, о счетах, о транзакциях, о связях карточных счетов (главный-подчиненный), о номерах карт, о привязке карт к счетам, о привязке карт к сводным счетам. Во многих случаях несанкционированное использование этих данных может принести ущерб клиентам банка и банку. Это позволяет сформулировать первое требование внутреннего контроля к хранению данных: хранение данных СВКС должно быть организовано таким образом, чтобы исключить несанкционированный доступ.
Следует особо обратить внимание на хранение данных о ПИН-кодах владельцев карточных счетов, поскольку именно ПИН-код позволяет произвести снятие наличных через банкомат. Хранение этих данных в самих СВКС регламентируется правилами платежных систем, поэтому контролеру необходимо убедиться в точном соблюдении установленных правил. Хранение конвертов с ПИН-кодами, которые создаются при эмиссии карт и служат для передачи ПИН-кода клиенту, является потенциальным источником риска компрометации ПИН-кода.
СВКС не должна допускать возможности доступа пользователя к базам данных, минуя пользовательский интерфейс. Возможность ручной правки данных должна быть исключена. Каждое действие пользователя по изменению данных в системе должно протоколироваться в журналах доступа. Ведение этих журналов выполняется СВКС автоматически и не может быть заблокировано пользователем системы, а сами журналы могут быть доступны только администратору СВКС.
Возможности, предоставляемые СВКС пользователю в части изменения и особенно удаления уже введенной информации, должны быть ограничены и обязательно известны контролеру.
При организации СВКС в виде древовидной структуры, когда к главной карте присоединяются несколько подчиненных, возможны сбои и ошибки в программе обработки авторизационных
запросов, приводящие к выдаче необоснованных остатков при обработке запроса. Известны случаи, например, когда ошибка разработчика привела к тому, что при ошибочной установке на главную карту статуса "подчиненная", программа пыталась найти лимит на соответствующей главной, а, не найдя, воспринимала эту "подчиненную" как безлимитную. Понятно, что такая ошибка в программе может привести к значительным потерям для банка. Нельзя сбрасывать со счетов и предположение о том, что такого рода ошибки в программе могут быть допущены неслучайно.
При проведении операций с банковскими картами, связанными даже с относительно небольшим числом клиентов, банк в скором времени сталкивается с проблемой удаления из актуальных баз данных информации о проведенных операциях, то есть архивирования. Задачей внутреннего контроля является обеспечение такого режима архивирования операций, который позволит в будущем при необходимости адекватно восстановить перенесенные в архив данные, не утратив при этом связей и параметров проведенных операций. Особо следует обратить внимание на возможность восстановления связей основных и присоединенных карт и карточных счетов, связей карточных счетов с банковскими счетами, соответствия карточных счетов клиентам и группам клиентов. Утрата этих связей приведет к невозможности проведения в будущем аудиторской проверки, поскольку за любой прошедший промежуток времени всегда найдутся операции, перенесенные в архивы. Все сказанное относится в полной мере и к операциям закрытия карточных счетов и ликвидации карт. По каждой ликвидированной карте и по каждому закрытому карточному счету должна сохраняться возможность полного восстановления информации, необходимой для проведения аудиторской проверки, и это должно быть предметом внимания контролера при анализе СВКС с точки зрения организации хранения информации.
Обычно в СВКС для защиты от возможной утраты данных применяют копирование информации, а для минимизации объемов хранимых данных и облегчения работы с базами - архивирование.
При копировании создается резервная копия, которая может быть использована при утрате актуальных данных. Важнейшей характеристикой резервного копирования является время, которое необходимо оператору системы для восстановления утраченной информации. Резервное копирование может быть физическим и логическим. Под физическим копированием понимают создание точной физической копии, которая
может быть просто поставлена на место утраченных данных. Это наиболее простой и не требующий специальных средств способ, который позволяет в то же время быстро восстановить утраченные данные. Однако этот способ требует значительных ресурсов для хранения информации. Логическое копирование требует значительно меньших ресурсов, поскольку при этом копируются лишь те составляющие информационных систем, которые необходимы для их восстановления. Для создания логических копий и для восстановления данных по логическим копиям применяются специальные процедуры, входящие в состав СВКС и поставляемые разработчиком. Основные требования внутреннего контроля к организации процедуры резервного копирования состоят в следующем.
1. Резервное копирование баз данных СВКС должно осуществляться ежедневно. Резервная копия должна храниться не менее 5 дней.
2. Резервное копирование баз данных СВКС должно дополнительно осуществляться при текущей работе с базой данных, во время которой может быть подвергнута изменению ее структура: перед сжатием, архивированием и проч. При этом резервная копия, созданная при текущей работе с базами данных, может при каждом последующем копировании перезаписываться.
3. Необходимо описать последовательность действий, позволяющую исполнителю точно убедиться в том, что создание резервной копии завершено успешно. Это может быть, например, сравнение размеров файлов. Недопустима ситуация, когда при выяснении причины отсутствия резервной копии или архива, контролер получает объяснение, состоящее в том, что в момент копирования произошел сбой компьютера, и резервная копия не создалась.
4. Должен быть описан регламент хранения резервных копий и правила маркировки упаковок с информационными носителями.
5. Должны быть описаны правила ведения бумажного журнала, в котором ответственный исполнитель указывает все необходимые данные о проведенной операции архивирования или резервного копирования: дату операции, место хранения копии.
2.3.4. Порядок эмиссии карт и учет операций
Основные требования к учету операций, проводимых с банковскими картами, изложены в положении ЦБ РФ от 09.04.98 № 23-П "О порядке эмиссии кредитными организациями банковских
карт и осуществлении расчетов по операциям, совершаемым с их использованием".Выдача банковских карт клиенту осуществляется на основании заключенного с ним договора. На банковской карте должны присутствовать наименование и логотип банка-эмитента, однозначно его идентифицирующие.
Банк-эмитент обязан уведомить клиентов о необходимости обязательного получения разрешения Банка России для совершения валютных операций, связанных с движением капитала (в том числе при совершении трансграничных платежей с последующим возмещением в валюте Российской Федерации расходов эмитента), в соответствии с валютным законодательством.
Как правило, в каждом банке, выпускающем собственные карты, имеется несколько тарифных планов, устанавливающих порядок взимания платы за предоставленные услуги и определяющих порядок начисления процентов на остатки на карточных счетах. Некоторые из этих тарифных планов могут быть применимы только при условии выполнения определенной разрешительной процедуры. Например, эмиссия "золотых" карточек может производиться при размещении клиентом в банке определенного страхового депозита, или с санкции ряда высших менеджеров. При построении системы внутреннего контроля должна быть учтена возможность получения контролером полной информации о соблюдении установленного порядка эмиссии карт с нестандартными тарифными планами. Особенное значение это обстоятельство имеет при организации контроля эмиссии в многофилиальном банке.
Выдача карты клиенту производится ответственными сотрудниками подразделения, обеспечивающего эмиссию карт. При этом с точки зрения безопасности необходимо, чтобы выдача карты и выдача конверта с ПИН-кодом производилась различными сотрудниками. Карты и ПИН-конверты должны храниться отдельно, их поступление и выдача должны регистрироваться в различных журналах. Для исключения возможности использования сотрудником банка невостребованных карт в личных целях следует не реже одного раза в полгода менять лиц, ответственных за выдачу ПИН-конвертов и карт. Следует иметь в виду, что банковская карта с ПИН-кодом является ключом в платежную систему и, оказавшись в руках нечестного человека, имеющего доступ к базам данных, может быть предметом многочисленных злоупотреблений и привести к значительным потерям для банка. При этом не обязательно, чтобы на карточном счете был остаток, поскольку карточка может быть несанк-
ционированно пополнена или присоединена к другой карточке. Возможно также использование карточки для выполнения подлимитных платежей в торговых точках, что также является источником возможных убытков для банка. Поэтому важным моментом с точки зрения контроля является проверка того, чтобы все эмитированные карты были получены клиентами и активированы. Если карта в течение длительного срока (1-2 месяца) не активирована и по ней не начались операции, то такая карта должна быть в установленном порядке возвращена в процессии-говый центр банка и уничтожена.
При обслуживании клиентов в филиалах и дополнительных офисах банка необходимо обеспечить безопасную доставку карт и ПИН-конвер-тов. Желательно, чтобы карты и ПИН-конверты доставлялись разными рейсами, и абсолютно необходимо, чтобы каждая карта и каждый ПИН-конверт были упакованы в отдельный конверт курьерской службы. Упаковку и вскрытие курьерской упаковки должны производить два сотрудника, чтобы исключить недовложение. Следует иметь в виду, что некоторые курьерские службы (например DHL) не предоставляют номерных упаковок для перевозимых документов, поэтому при пользовании их услугами необходимо учитывать, что при перевозке может произойти несанкционированное вскрытие упаковки с последующей ее заменой. Это требует дополнительных мер предосторожности, которые в каждом отдельном случае должны быть направлены на исключение незаметного ознакомления с содержимым перевозимой почты. Для технически подготовленных злоумышленников нет необходимости иметь в своем распоряжении оригинал карты, достаточно знать ее номер и ПИН-код и скопировать данные, нанесенные на магнитную полосу, а изготовить карту можно в считанные минуты.
2.3.5. Наиболее часто встречающиеся злоупотребления и методы борьбы с ними
Способы хищения средств с карточных счетов изнутри банка. Как правило, эти способы основаны на фальсификации данных в базах данных систем ведения карточных счетов и сводятся либо к необоснованному увеличению остатка на ка-ком-либо карточном счете, либо к отнесению дебетовой операции по счету на другой счет. Возможны также комбинации этих вариантов.
Рассмотрим несколько типовых схем.
1. В распоряжении недобросовестного сотрудника подразделения банка, проводящего операции с банковскими картами, оказывается невос-
требованная карта клиента и соответствующий ей ПИН-код. Имея доступ к базам данных системы ведения карточных счетов, этот сотрудник может изменить остаток на клиентском счете, открытом для этой карты, добавив некоторую сумму, а затем снять эту сумму через банкомат. При этом разумеется, возникнут проблемы с бухгалтерским учетом, поскольку нарушится соответствие остатков на счетах аналитического учета в системе ведения карточных счетов и на счетах синтетического учета в банке. Но поскольку системы ведения карточных счетов работают в реальном масштабе времени, а баланс банка сводится один раз в день, как правило, при отсутствии жесткого контроля возникают несоответствия в датах проводимых в балансе банка проводок и транзакций по карточным счетам. При некотором навыке можно обеспечить постоянное несовпадение остатков и оборотов в синтетическом и аналитическом учете, а это в свою очередь сделает незаметным описанную выше операцию. Можно также скрыть несоответствие на транзитном счете, предназначенном для учета операций по пополнению карт или по расчетам с платежной системой.
2. Имеющий доступ к базам данных сотрудник может удалить из базы данных транзакций дебетовую транзакцию по уже закрытому счету клиента. После этого он увеличивает остаток на счете на сумму удаленной транзакции и устанавливает связь какой-либо доступной ему карты (см. выше) с измененным счетом. Это дает ему возможность производить покупки или снятие средств через банкоматы за счет увеличенного остатка, будучи уверенным, что клиент этого не обнаружит. Особенно удобно это сделать, если в распоряжении злоумышленника оказалась неповрежденная и не разрезанная должным образом карта, сданная клиентом до истечения срока ее действия.
3. Как правило, при реализации зарплатных проектов имеется круг лиц, чья зарплата раз от раза колеблется. Немногие из них получают на руки листки с расчетом зарплаты, и это позволяет недобросовестному сотруднику, осуществляющему ввод данных, производить разовые и регулярные перераспределения средств в свою пользу.
Иногда юридические лица-клиенты банка, реализующие через банк зарплатные проекты, резервируют часть средств на своих сводных счетах, не зачисляя их на лицевые карточные счета своих сотрудников. Это вызывает расхождения в данных синтетического и аналитического учета, обусловленное пожеланием клиента, но в то же
время дает возможность недобросовестному сотруднику банка воспользоваться этими средствами в свою пользу.
4. Имеющий доступ к базам данных недобросовестный сотрудник может установить на попавшую в его распоряжение карту лимит овердрафта (кредитный бонус), который позволит выполнить операцию снятия средств сверх остатка. После проведения несанкционированной операции прежний лимит может быть восстановлен.
5. При транспортировке и хранении карт перед выдачей клиенту, возможно, их копирование и получение данных о PIN - коде.
6. Возможно сокрытие расхождения в учете операций по картам в балансовом учете банка путем ежедневного переноса остатка на транзитном счете.
7. Если недобросовестный сотрудник банка имеет доступ к отправке сообщений в платежную систему о проведенных в банкоматах или пунктах выдачи наличных банка операциях с банковскими картами, выпущенными другим банком, он может задержать или сделать нечитаемым сообщение о проведении какой-либо операции (это возможно только в процессинговом центре). По прошествии 30 дней владелец карты сможет отказаться от оплаты операции по причине запоздалого представления требования об оплате в платежную систему.
Каким образом должна быть построена система внутреннего контроля карточного бизнеса, чтобы риск потерь от внутренних злоупотреблений для банка был минимален?
В первую очередь следует обратить внимание на необходимость ежедневной сверки оборотов и остатков в системе ведения карточных счетов и балансе банка, то есть данных синтетического и аналитического учета. Аккуратное и регулярное проведение такой сверки позволит решить многие из перечисленных выше проблем, в частности:
• исключить возможность ввода транзакции по пополнению карточного счета, не имеющей соответствия в балансе банка;
• исключить возможность непроведения по балансу банка дебетовой транзакции по карточному счету.
Следующей важной контрольной позицией является контроль целостности и внутренней непротиворечивости баз данных счетов и транзакций. Контроль целостности предполагает исключение возможности несанкционированного изменения баз данных, дающего возможность использовать чужие средства. К таким изменениям следует отнести в первую очередь изменения остатков на карточных счетах. Следует заметить, что
при одновременном увеличении остатка на одном счете и уменьшении на другом не произойдет расхождения данных синтетического и аналитического учета, если оба счета соответствуют одному и тому же сводному счету в балансе банка. Однако в этом случае неминуемо произойдет нарушение внутренней непротиворечивости баз данных карточных счетов и транзакций, что проявится в виде несоответствия остатков на измененных карточных счетах и множества транзакций, выполненных по этим счетам. Таким образом, контрольная процедура, позволяющая исключить несанкционированное увеличение остатка на одном карточном счете за счет уменьшения остатка на другом карточном счете в пределах одного сводного счета, открытого в балансе банка, заключается в следующем: проверяется соответствие остатков на каждом карточном счете и множества транзакций, выполненных по этому счету. При этом производится суммирование всех кредитовых транзакций со знаком плюс и дебетовых транзакций со знаком минус.
К сожалению, описанная выше контрольная процедура не позволяет исключить снятие средств с чужой карты путем установления несанкционированного соответствия (так называемого "при-линковывания") карт. В этом случае карта, которая оказалась в распоряжении злоумышленника, имеющего доступ к базам данных СВКС, делается на время присоединенной (подчиненной, соответствующей одному карточному счету или одному карточному контракту - в зависимости от принятой в конкретной СВКС терминологии) к другой карте, с которой предполагается выполнить хищение средств. Обнаружить злоупотребление такого рода можно, только осуществляя мониторинг, то есть постоянный контроль изменений баз данных карточных счетов. Такой мониторинг осуществляется путем сравнения текущего состояния контролируемых параметров подчиненной структуры всех карт и запомненного ее состояния в момент предыдущего запуска контрольной процедуры. К сожалению, изменения, внесенные и затем удаленные через короткий промежуток времени, таким образом, могут быть пропущены.
Иногда на момент ввода в эксплуатацию контрольной процедуры СВКС уже содержит ряд ошибок и неточностей, которые не могут быть исправлены. Это может быть связано, в частности, с тем, что эти ошибки или вмешательства в базы данных были допущены в прошлом и отражены по балансу и исправление их приведет к дополнительным расхождениям и нарушениям соответствия данных синтетического и аналити-
ческого учета. В этом случае перечень ошибок фиксируется контролером, и дальнейшие контрольные мероприятия проводятся для выявления новых ошибок по отношению к уже зафиксированным.
Чрезвычайно важным моментом, обеспечивающим безопасность банка и его клиентов при проведении операций с банковскими картами, является обеспечение нормального режима транспортировки, хранения и уничтожения банковских карт, новых и отработанных. Нормальная организация этих процессов должна быть направлена не только на обеспечение невозможности утери карты и использования ее кем-либо вне банка, но и на обеспечение невозможности копирования и использования карты сотрудниками банка.
Рассмотрим основные правила, соблюдение которых позволит минимизировать риски, связанные с указанными выше причинами.
Хранение неперсонализированных банковских карт должно быть определено инструкцией, утвержденной приказом по банку. При этом должно быть определено лицо, отвечающее за их сохранность и место (сейф), где они будут храниться. Важно определить режим хранения основных и запасных ключей от сейфа, чтобы исключить доступ к неперсонализированным картам посторонних лиц.
Аналогично должно быть организовано хранение ПИН-конвертов. При этом сейфы для хранения карт и конвертов и лица, ответственные за их использование, должны быть различными. В каждом сейфе должна находиться актуальная опись его содержимого.
Изготовление ПИН-конвертов и персонали-зация карт должны производиться разными сотрудниками.
Доставка неперсонализированных и персонализированных карт в банк должна производиться только службой инкассации в соответствии с правилами доставки денег и ценностей. Доставка персонализированных карт и ПИН-конвертов должна производиться различными рейсами.
В банке должен быть определен порядок уничтожения бракованных карт и карт, возвращенных клиентами по различным причинам. Карты, не подлежащие дальнейшему использованию, в том числе бракованные карты, карты с истекшим сроком действия и др., а также другие материалы, связанные с изготовлением и обращением карт, в том числе использованная топпирую-щая фольга и тсЗеШ-ленты, подлежат уничтожению. При уничтожении составляется акт, подписываемый ответственными сотрудниками, а на карте делается надрез вдоль магнитной полосы,
исключающий их повторное использование. Очень важно, чтобы составляемый акт содержал перечень уничтоженных карт, поскольку в противном случае появляется возможность полного уничтожения следов карты в банке при удалении части информации из базы данных.
Способы хищения средств с карточных счетов извне. При вводе в строй нового процессингово-го центра или при реорганизации существующего порядка ведения карточных счетов в банке банк может подвергнуться атаке со стороны организованных групп мошенников.
Наиболее частым и трудно устранимым способом хищения средств является использование особенностей платежных систем, позволяющих сделать покупку без авторизации. Известно, что стоимость авторизационного запроса достаточно высока, поскольку при его исполнении часто оказываются задействованы различные дорогостоящие каналы связи. Поэтому платежные системы устанавливают торговым точкам и разного рода сервисным предприятиям лимиты безавторизационных платежей, то есть лимиты, в пределах которых предприятие может выполнить прием карты в оплату за покупку или услугу без проведения авторизации. При этом риски неуплаты по счету несет платежная система. Мошенник, имея карту с нулевым остатком на счете, делает покупки в пределах безавторизационного лимита, которым соответствуют так называемые под-лимитные транзакции, а затем не покрывает своих расходов. При выяснении обстоятельств оказывается, что документы, на которые была зарегистрирована карта, поддельные или краденные. Кроме того, возможна ситуация, когда в торговой точке недобросовестный продавец по сговору с покупателем разбивает сумму покупки на несколько меньших сумм, обеспечивая, таким образом, покупку без авторизации на более крупную сумму, чем это предусмотрено правилами платежной системы. Известны случаи, когда злоумышленники давали объявления о приеме на работу, а в качестве обязательного условия требовали от будущих сотрудников заведения ими международной банковской карточки, якобы для начисления зарплаты. Затем карточки собирались, как бы для регистрации. На самом деле злоумышленник отправлялся с собранными карточками куда-нибудь за границу, где делал с их помощью множество мелких покупок, разумеется, без авторизации. За один такой "шоп-тур" могло быть приобретено товара на несколько тысяч долларов.
Избежать крупных потерь от хищений такого рода банку поможет хорошо отлаженная работа службы внутреннего контроля и службы безопас-
ности. Минимальные организационные мероприятия, которые дают значительный эффект и почти полностью исключают получение и использование карточки по подложным документам, состоят в следующем.
1. Разработка и использование банком технологии углубленной проверки потенциального владельца карты силами собственной службы безопасности. Технология проверки должна включать:
• проверку достоверности предоставляемых клиентом данных о себе;
• сверку этих данных с аналогичными данными по всем другим клиентам (включая адреса, телефоны и кодовые слова); для этого создается и поддерживается специальная база данных;
• проверку действительности указанных клиентом контактных телефонов путем контрольных звонков. При любом подозрении в выдаче карточки отказывать.
2. Предоставление клиенту при его первом обращении карты с обязательной авторизацией, например, Cirrus/Maestro или VISA ELECTRON, с последующей ее заменой на другие карты.
3. Обязательный первоначальный взнос на карту для лиц, не являвшихся ранее клиентом банка,
4. Ввести порядок, в соответствии с которым при предоставлении карты клиент должен предъявить второй документ. Это может быть загранпаспорт, водительское удостоверение, военный билет, страховой полис и проч. Это значительно снизит вероятность получения карты по чужим, украденным или найденным случайно документам и в то же время не отпугнет потенциальных законопослушных клиентов.
5. Не выдавать банковские карты лицам, не имеющим возможности подтвердить свою кредитоспособность (неработающим, студентам, домохозяйкам и проч.). При необходимости рекомендовать таким клиентам карты с обязательной авторизацией, например Cirrus/Maestro или VISA ELECTRON.
Необходимо постоянно контролировать активность карт, выявляя множественные безавторизационные транзакции. При возникновении овердрафта на карточном счете в результате подозрительной активности клиента карта должна быть блокирована, а личность клиента должна быть дополнительно уточнена службой безопасности банка. В большинстве случаев при возникновении перерасхода по карте и подозрении, что клиент не хочет его погасить, визит сотрудников службы безопасности банка к клиенту домой или по месту работы с предложением погасить обра-
зовавшуюся задолженность приводит к разрешению конфликтной ситуации. Большинство клиентов банка не являются представителями криминального мира и допускают перерасход средств по карточке, исходя из некриминальных посылок, предполагая расплатиться позже или полагая, что операция может остаться "незамеченной".
Косвенным признаком возможного злоупотребления является множество безавторизационных покупок, сделанных различными клиентами в одном месте, особенно, если сроки открытия карточных счетов клиентов близки или совпадают.
Определенную опасность потерь для банка несет возможность поступления из платежной системы отмены транзакции. Дело в том, что в ряде случаев возможно зачисление средств на счет клиента извне, в частности в виде отмены ка-кой-либо покупки или платежа. Не следует путать такое зачисление с поступлением средств на карточный счет переводом из другого банка, когда деньги поступают на корсчет и зачисляются на карточный счет клиента. Эта операция для банка не несет риска. Иногда также может иметь место прямое кредитование клиентского счета из платежной системы без комментариев, позволяющих определить его природу. Если следом за прямым кредитованием клиентского счета следует отмена этой операции, то по итогу обработки пары этих операций доступный остаток на клиентском счете не возрастет и клиент не получит неоправданного доступа к средствам. Если же кредитовая транзакция и ее отмена, следуя одна за другой с незначительным промежутком времени, попадают в разные файлы, поступающие из платежной системы в СВКС, то на некоторый период времени на счете клиента может возникнуть ничем не обоснованный доступный для использования остаток. При определенной поддержке со стороны сотрудника торгового или сервисного предприятия может возникнуть даже ситуация, когда первой в систему поступит кредитовая транзакция, а разрыв во времени будет несколько дней. Это произойдет, если слипы в банк-эквайер передаются нерегулярно, а собственного пос-тер-минала на торговом предприятии нет, что достаточно характерно для малых торгово-сервисных предприятий. Если в период между поступлением кредитовой и дебетовой транзакциями клиент воспользуется средствами, то после того как придет отмена кредитовой транзакции, на счете клиента возникнет овердрафт, а использованные клиентом средства могут оказаться потерянными для банка. Аналогичная ситуация может возникнуть при дебетовании счета клиента с последующей его отменой, например при возврате куп-
ленного товара. Если в этом случае по ошибке или из-за недобросовестности персонала торгового предприятия отмена дебетовой транзакции поступит на обработку вперед самой дебетовой транзакции, то отмена дебетовой транзакции может быть обработана как кредитовая, что также вызовет возникновение неоправданного остатка на клиентском счете. Возможным признаком подготовки мошенничества такого рода может служить повышенная авторизационная активность клиента при отсутствии или недостатке средств на счете: мошенник через банкомат проверяет, поступила ли кредитовая транзакция.
Для предотвращения потерь банка от действий такого рода следует иметь в виду, что осуществить хищение средств этим методом можно либо при неплохой внутренней поддержке в банке, либо при помощи некоторой подготовительной работы.
В первом случае служба внутреннего контроля и служба безопасности банка должны тщательно проанализировать круг лиц, задействованных в процессе приема и обработки информации из платежных систем. Как правило, даже в крупных банках, этот круг ограничен.
Во втором случае следует иметь в виду, что вероятность "попадания" с первого раза именно в требуемый момент времени достаточно низка. Для того чтобы выяснить особенности расписания приема и обработки файлов в процессинго-вом центре, злоумышленник будет инициировать авторизационные запросы с некоторой периодичностью, возможно, с интервалом в несколько часов. Например, если клиент с интервалом 1-2 часа пытается снять через банкомат сумму 1 ООО долларов при остатке на счете 100 долларов, которые он сам за день до этого разместил, есть основания предполагать, что в этом случае могут планироваться мошеннические действия. В этом случае необходимо рассмотреть вопрос о приостановке операции по карте или о направлении средств, которые могут поступить на карту из платежной системы, на диспутный счет, недоступный клиенту, до выяснения всех обстоятельств при его личном обращении в банк.
Разумеется, сам факт периодического поступления авторизационных запросов, превышающих платежный лимит по карте, не свидетельствует о том, что банк подвергся атаке. Однако на такую карту следует немедленно обратить внимание. Авторизационные запросы на суммы, значительно превышающие остаток на карте, могут быть также свидетельством того, что при помощи данной карты готовится попытка несанкционированного снятия средств. В какой-то момент времени "по ошибке" кого-либо из младшего персонала
или из-за заранее подготовленного технического сбоя системы ведения карточных счетов произойдет несанкционированное зачисление средств на карту или установление несанкционированного кредитного лимита и хотя эта ошибка будет быстро обнаружена и исправлена, средства будут сняты через банкомат.
Разумной мерой предосторожности является обеспечение недоступности для клиента средств, поступивших извне, в течение срока, установленного в платежной системе для возможной отмены кредитовой транзакции (обычно 30 дней). В этом случае средства, поступившие из платежной системы в виде кредитовой транзакции, становятся доступными для клиента либо при предъявлении клиентом в банк документов, подтверждающих факт зачисления средств на счет, либо по истечении указанного срока, когда отмена транзакции становится невозможной. Риска потерь для банка в этом случае не возникает. Можно построить обработку кредитовых транзакций, приходящих из платежной системы, таким образом, что пополнение счета клиента происходит не сразу, а поступившая сумма зачисляется на специальный карточный счет, открываемый клиенту. Такие счета принято называть диспутными. При этом, если следом за кредитовой транзакцией из системы поступает дебетовая, происходит дебетование диспутного счета. Если в системе уже присутствует дебетовая транзакция, отменой которой является поступившая кредитовая транзакция, что соответствует нормальному порядку возврата денег клиенту при отказе от покупки или услуг, то происходит их взаимозачет, в результате чего остаток на счете клиента увеличивается на требуемую сумму. В описанном выше примере с авторизационными запросами, значительно превышающими платежный лимит, карточка до выяснения обстоятельств может быть переведена в режим работы через диспутный счет, что исключит возможность использования "случайно" зачисленных средств.
Наиболее опасной для клиента банка является ситуация, когда злоумышленнику становится известен либо PIN-код карты, позволяющий проводить операции через банкоматы, либо появляется возможность изготовить копию карты, не привлекая внимания владельца. Это может быть сделано, например, в ресторане, когда клиент дает свою карту для оплаты и служащий уносит ее в другое помещение. Изготовив поддельную карту, злоумышленник сможет снимать наличные через банкомат (в этом случае будут иметь место потери клиента), или производить покупки, и в этом случае при подозрении клиента о
фальсификации его подписи на слипе банк может понести убытки. К сожалению, такого рода фальсификации во многих случаях не могут быть ни предотвращены, ни обнаружены. Единственным способом, позволяющим в некоторых случаях их выявить, является организация мониторинга активности карт с точки зрения места совершения операций. Это позволит выделить операции, совершенные в различных местах с разрывом по времени, заведомо меньшим, чем время, необходимое для перемещения из одного места в другое, что может служить косвенным признаком наличия дубликата карты.
Очевидно, что чем раньше будет обнаружено подобного рода злоупотребление, тем меньше будут потери банка или клиента. Поэтому банки, которые серьезно относятся к возможным потерям, проводят рассылку клиентам выписок по их карточным счетам, указывая в сопроводительном письме, что в случае согласия с приведенным в выписке перечнем проведенных операций клиент может не отвечать банку на присланное письмо, но, если у клиента возникает подозрение, что какая-либо операция, указанная в выписке, в действительности не была им совершена, клиенту предлагается незамедлительно связаться с банком.
Поскольку ущемление интересов клиента является также одним из факторов риска для банка (риск потери репутации), следует рассмотреть еще один важный с точки зрения внутреннего контроля аспект карточного бизнеса, не связанный напрямую с хищением средств. Речь идет об авторизационных овердрафтах, то есть об овердрафтах на карточных счетах клиентов, которые возникают в результате проведения авторизации и блокирования определенной суммы без ее списания с карточного счета. Это может произойти по ряду причин, например при отказе от покупки, при поломке банкомата в момент выдачи денег, после прохождения авторизационного запроса, при бронировании билетов или гостиничных номеров, а также во многих других случаях. Часто при регистрации клиентов в гостиницах или при предоставлении автомобиля в аренду на карточном счете блокируется некоторая сумма, которая может быть впоследствии использована для компенсации возможного ущерба, нанесенного клиентом. Иногда по неаккуратности продавца, оформляющего авторизационный запрос через пос-терминал, запрос может быть отправлен дважды. Во всех случаях на лицевом карточном счете клиента оказывается заблокированной сумма, соответствующая подтвержденному авторизационному запросу, которая в зависимости от
правил платежной системы будет оставаться заблокированной в течение какого-то периода времени. Если по правилам платежной системы по истечении определенного периода времени требование платежа может быть отклонено банком по причине позднего представления, то очевидно, что по истечении этого срока и заблокированные суммы могут быть разблокированы без риска потерь для банка. Обычно этот период составляет 30 дней, но в ряде случаев может быть больше. Например, российская платежная система Юнион Кард допускает неопределенно долгое существование заблокированных сумм. При этом клиент не может использовать принадлежащие ему средства, которые он фактически не тратил.
Для защиты интересов клиента и недопущения ущемления интересов банка в таких случаях должна быть организована процедура мониторинга авторизационных запросов, в течение длительного времени не подтвержденных движением средств по счету клиента. Запросы, блокирующие средства на счетах клиентов и в течение некоторого, установленного при организации контрольной процедуры срока, не завершившиеся дебетовой транзакцией по счету, должны тщательно анализироваться и при необходимости удаляться. При разблокировании заблокированных сумм на клиентских счетах необходимо тщательно анализировать каждый случай в отдельности и принимать решения на основе сопоставления множества признаков: кодов авторизации, сумм, места платежа, времени платежа, назначения платежа. Необходимо помнить, что в некоторых случаях, например при оплате гостиничного номера или аренды автомобиля, сумма и дата оплаты могут значительно отличаться от заблокированной суммы и даты проведения авторизации. Если нет возможности связаться с клиентом и уточнить детали платежа, следует придерживаться правила: осуществлять принудительное снятие авторизации необходимо только тогда, когда остаток на счете клиента может привести или уже привел к овердрафту при выполнении клиентом очередной операции. Клиент должен быть заранее проинформирован об особенностях платежной системы и о необходимости внимательно следить за тем, чтобы при отказе от покупки или услуги соответствующий авторизационный запрос был бы снят продавцом.
Некоторые особенности характерны для организации контроля операций в платежных системах при обработке операций по картам и бухгалтерском учете на различных, удаленных друг от друга площадках банка. Например, если в филиал поступают финансовые сообщения о проведе-
нии операций по картам в процессинговом центре банка, а соответствующие этим операциям проводки по сводным счетам делаются в филиале, необходимо контролировать, как отражаются на этих счетах проведенные операции. Кроме того, важной контрольной позицией в этом случае является эмиссия карт, а именно: соответствие выпущенных в процессинговом центре карт клиентским заявлениям, поступившим в филиал. Эти вопросы должны сниматься путем периодической сверки, проводимой сотрудником службы внутреннего контроля банка. Сверяются остатки на сводных счетах в балансе филиала и в СВКС, вычисленные на одну дату, и сверяются списки эмитированных карт по данным СВКС и клиентские дела, хранящиеся в филиале.
Таким образом, на основании изложенного выше можно описать контрольную процедуру, которая позволит снизить риск потерь денежных средств банком из-за возможных хищений в банке и вне его.
Контрольная процедура для осуществления мониторинга операций, проводимых банком в платежных системах, состоит из следующих частей.
1. Контроль эмиссии карт:
• контроль выполнения тарифных планов;
• контроль соблюдения порядка принятия решений о нестандартных условиях эмиссии;
• контроль наличия эмитированных, но не активированных в течение долгого времени карт.
2. Контроль баз данных:
• контроль целостности всех финансово -значимых баз данных;
• контроль соответствия остатков и транзакций;
• контроль двойных транзакций;
• контроль возникновения новых ошибок и исправлений;
• контроль представлений в платежную систему данных о проведенных операциях.
3. Контроль активности карт:
• контроль кредитовой активности карт;
• контроль дебетовой активности карт;
• контроль авторизационной активности карт (*);
• контроль овердрафтов по карточным счетам;
• контроль авторизационных овердрафтов по карточным счетам (*);
• контроль отмены дебетовых транзакций
И;
• контроль соответствия ответов СВКС на запросы об остатках реальным остаткам.
4. Контроль бухгалтерского учета:
• контроль остатков на транзитных счетах, предназначенных для пополнения карт и расчетов с системой; недопущение переходящих в течение долгого времени сумм;
• контроль соответствия остатков на счетах синтетического и аналитического учета;
• контроль соответствия дебетовых оборотов;
• контроль соответствия кредитовых оборотов;
• контроль остатков на балансов филиалов (**);
• контроль списков эмитированных филиалами карт (**).
(*) - эти позиции могут быть реализованы только при обработке операций в процессинговом центре банка.
(**) - эти позиции характерны для многофилиальной банковской структуры.
2.3.6. Особенности учета снятия наличных средств через банкоматы и возможные факторы риска
Тесно связана с проблемой защиты банка от ошибок и злоупотреблений в карточном бизнесе проблема контроля выдачи средств через банкоматы банка.
Банкоматы банка, как правило, позволяют проводить операции выдачи наличных денег как по карточкам, эмитированным самим банком, так и по карточкам, эмитированным другими банками. Данные по этим операциям обрабатываются по-разному.
При выдаче средств через банкоматы обязательно формируется авторизационный запрос. После проведения операции снятия средств снятая сумма блокируется на счете клиента. В конце дня данные об операциях, проведенных в банкоматах банка, передаются в бэк-офис, где производится учет операций, проведенных по "своим" и "чужим " карточкам. Банкомат также фиксирует проведенные операции на банкоматной ленте.
Операции, проводимые в банкоматах, учитываются на балансовом счете 20208. Данные об остатках в каждом банкомате формируются в процессинговом центре на основании информации, поступающей из каждого банкомата. Процессин-говый центр формирует проверочные ведомости (в разных платежных системах они могут называться по-разному). Основная проблема учета операций снятия наличных в банкомате состоит в
том, что момент формирования данных об остатке в банкомате и момент формирования остатка на соответствующем счете в банке различны. Это не позволяет точно сопоставить данные и является потенциальным источником ошибок и злоупотреблений.
Наиболее простой и надежный способ снижения риска ошибки или злоупотребления состоит в синхронизации остатков в банкомате и на соответствующем ему счете в момент инкассации. Протокол инкассации должен содержать сумму инкассированного остатка и точное время инкассации. Для проведения контрольной процедуры остаток на соответствующем банкомату счете на конец дня инкассации приводится с использованием данных банкоматной ленты или проверочной ведомости, формируемой в СВКС, к остатку на момент инкассации. Остаток на момент инкассации, вычисленный таким способом, сравнивается с остатком, зафиксированным в протоколе инкассации. При отсутствии злоупотреблений и ошибок должно иметь место полное совпадение.
При проведении операции инкассации следует иметь в виду, что иногда в протоколе инкассации не указывается содержимое режект-кас-сеты, то есть кассеты, в которой происходит сохранение дефектных, слипшихся и замятых купюр.
Современные банкоматы являются устройствами с достаточно высокой степенью защиты от внешнего вмешательства и от несанкционированной выдачи купюр. Выдача купюр производится, как правило, с помощью специального устройства, позволяющего разделить слипшиеся купюры, производится контроль толщины купюры и сравнение ее с эталонным значением. В случае отличия толщины от эталонной купюра сбрасывается в режект-кассету. Каждый этап следования купюры по тракту выдачи в банкомате фиксируется специальным датчиком, а в случае нарушения режима прохождения купюры по тракту купюра также сбрасывается в режект-кассету. В случае отказа или неадекватной реакции на команды из процессингового центра узлов и управляющих устройств банкомата банкомат должен быть принудительно остановлен. Команда на принудительную остановку банкомата вырабатывается автоматически программой процессингового центра, которая для этого должна иметь соответствующие настройки.
Задача службы внутреннего контроля по обеспечению безопасности эксплуатации банкоматной сети банка состоит в том, чтобы а) обеспечить наличие нормативной документации по обслуживанию и тестированию используемых банком банкоматов и описание в ней соответствую-
щих настроек управляющей программы, тестовых процедур для банкоматов и регламента их выполнения, и б) обеспечить порядок выполнения инкассации с одновременной сверкой остатков на момент фактического изъятия средств из банкомата. Служба внутреннего контроля должна также следить за выполнением требований по настройкам и за своевременным выполнением тестовых процедур и регламентных работ. Инструкция по настройке должна содержать однозначный перечень сообщений выдаваемых банкоматами каждого используемого в банке типа с указанием действий, которые производит управляющая программа по каждому из сообщений. Контролер должен иметь уверенность в том, что банкомат будет принудительно остановлен при возникновении любой нештатной ситуации в обработке купюр. Если это не так, возникновение нештатной ситуации может привести к потерям. Инструкция по инкассации должна содержать также методику и регламент тестирования банкоматов, поскольку банкомат, как и любое механическое устройство, может выходить из строя. Пример. Среди сообщений, выдаваемых банкоматом, присутствовало сообщение "Не идентифицирована кассета № 3", которое то возникало, то пропадало из-за плохого контакта в устройстве держателя кассет. Настройка управляющей программы процессингового центра не предусматривала принудительного отключения банкомата при появлении такого сообщения. Обработка авторизационного запроса в момент пропадания контакта вызвала неадекватную непредсказуемую реакцию банкомата: при обработке команды процессингового центра на формирование пачки купюр для выдачи количественный состав купюр был соблюден, а купюрность не выдержана. Был нанесен ущерб банку. При этом в процессинговый центр прошло сообщение о благополучном завершении операции.
Важной с точки зрения контроля особенностью банкоматов различных типов является способ получения данных, выводимых на чек при выполнении операции инкассации. Дело в том, что при формировании чека используются данные различных счетчиков, часть этих данных вычисляется и хранится в памяти банкомата, часть не вычисляется, а формируется на основе сигналов, поступающих от электронно-механических блоков. В свою очередь, вычисляемые и хранящиеся в памяти банкомата значения могут быть не подвержены риску утраты при сбое системы питания (хранящиеся на жестком диске или в энергонезависимой памяти), а могут быть легко утрачиваемыми. Например, в чеке, выдаваемом од-
ной из моделей банкоматов, при инкассации, фигурирует значение переменной 8 = "сумма средств, загруженных в банкомат при последней инкассации". Это значение может быть хранимым в энергонезависимой памяти в виде значения, введенного инкассатором при установке кассет, а может вычисляться как сумма 8 = "остаток средств в кассетах" + "выдано" + "отправлено в режект-кассету". Если при этом приходный кассовый ордер при инкассации формируется на основе чека, то, очевидно, в первом случае данные будут абсолютно достоверны, а во втором -подвержены различным воздействиям. В последнем случае инструкция по инкассации должна предполагать дополнительные меры по верификации чека на основе других данных. Полезно иметь в виду, что во многих системах банкоматов единственным достоверным и независимым счетчиком является счетчик выданных купюр.
Операции снятия наличных через пункты выдачи наличных несколько отличаются от операций в банкоматах присутствием кассира-операциониста как технологического звена, что неизбежно приводит к увеличению риска возникновения ошибок.
Наиболее распространенная ошибка при выдаче наличных заключается в проведении авторизации в рублях, а выдаче суммы в долларах. Например, клиент запрашивает 500 руб., а получает 500 дол. США. Такого рода ошибки, как правило, связаны с усталостью кассира и потерей концентрации внимания. Бороться с такими ошибками достаточно легко путем установления
специальной процедуры внутреннего контроля на рабочем месте кассира-операциониста пункта выдачи наличных. Процедура фиксирует сумму авторизационного запроса, и после проведения авторизации повторно запрашивает у кассира подтверждения выдаваемой суммы и проверяет ее совпадение с суммой запроса. Эта процедура может быть организована автономно, а может быть, совмещена с программой печати чека.
Другой ошибкой операциониста является ошибочное или неполное завершение операции по карте. Пример. Клиент А запрашивает остаток на своем карточном счете. Кассир формирует запрос и получает значение остатка 8, которое сообщается клиенту А. Следом подходит клиент В, который просит выдать ему сумму 51, меньшую, чем 8, но остаток на счете клиента В не позволяет провести данную операцию. При невнимательности кассира ответ на запрос клиента А может послужить основанием для выдачи средств клиенту В, деньги будут списаны со счета А, а впоследствии банк будет вынужден их возвратить, понеся убыток. Возможны различные варианты такой ошибки, в том числе и предварительный сговор А и В, совмещенный с различными отвлекающими внимание кассира действиями. Снизить риск ошибки такого рода можно также программным путем, обеспечив запрос со стороны СВКС о принудительном завершении операции запроса остатка.
Ниже приведена анкета внутреннего контроля, предназначенная для определения слабых мест в области операций с банковскими картами.
Анкета внутреннего контроля Активность в области операций с банковскими картами
№п.п. Контрольная позиция ВЕС
Раздел I. Политика Банка в области операций с банковскими картами
1 Правление приняло изложенную в письменном виде политику в области операций с банковскими картами. 1
2 Политика в области операций с банковскими картами включает перечень конкретных задач. 1
3 Каждая задача, поставленная в политике, имеет ответственного за ее исполнение. 1
4 Политика области операций с банковскими картами обновлялась в текущем году. 1
5 Политика области операций с банковскими картами включает политику безопасности в области хранения и 1 передачи документов, ценностей и информации, связанных с использованием банковских карт.
Политика в области операций с банковскими картами включает учетную политику по операциям с использованием банковских карт. Политика доведена до исполнителей.
Раздел II. Процедура принятия решений
7 В банке существует единый коллегиальный орган, отвечающий за принятие решений и нормативных документов в 1 области операций с банковскими картами.
8 Установлена процедура контроля за исполнением принятых решений. 1
9 Принятие решений, связанных с обеспечением безопасности операций с банковскими картами, входит в 1 компетенцию указанного органа.
10 Все решения и нормативные документы в области операций с банковскими картами обязательны для удаленных 1 площадок и филиалов.
11 Изменение порядка хранения и передачи документов, ценностей и информации, связанных с использованием банковских карт, не входит в компетенцию одного из менеджеров Банка
Раздел III. Наличие нормативных документов
Разработаны и внедрены следующие нормативные документы, касающиеся операций банка с банковскими картами:
12 - порядок эмиссии карт 2
13 - порядок пополнения и списания средств с карточных счетов 2
14 - инструкция пользователя по работе с системой ведения карточных счетов (по категориям пользователей в 1 зависимости от объема доступа);
15 - порядок транспортировки и хранения карт; 1
16 - порядок уничтожения карт и отработанных материалов; 1
17 - порядок внедрения нового и внесения изменений действующее ПО; 1
18 - резервное копирование актуальных данных и хранение резервных копий; 3
19 - инструкция по обеспечению непрерывной работы и восстановление функционирования СВКС в случае 3 возникновения программных и аппаратных сбоев, а также форс-мажорных обстоятельств (стихийных бедствий и
т.п.);
20 - порядок предоставления доступа в помещения, в которых расположены устройства хранения информации; 2
21 - порядок предоставление доступа к ресурсам и функциям СВКС; 1
22 - порядок обмена информацией с банковской ИС, с филиалами и удаленными площадками; 2
23 - порядок отражения операций по банковским картам в балансе банка; 2
24 - порядок документооборота при проведении операций с банковскими картами; 1
25 - разработаны и утверждены руководством банка функциональные инструкции для каждого сотрудника, 1 работающего в области банковских карт.
26 - порядок инкассации банкоматов; 1
Раздел IV. Содержание нормативных документов
Порядок эмиссии карт включает:
27 - описание последовательности действий по проверке потенциального клиента при поступлении заявления на 1 выпуск карты;
28 - описание порядка передачи документов на эмбоссирование; 1
29 - описание порядка ввода в систему данных о клиенте; 1
30 - порядок присвоения карте уникального неповторяющегося номера; 1
31 - описание порядка закрытия клиентского счета и изъятия карты. 1 Порядок пополнения карточных счетов включает
32 - комплекс мер, исключающий пополнение карточного счета, до того, как произойдет поступление средств на 2 соответствующий счет в балансе банка;
33 - комплекс мер, исключающих возможность незамедлительного использования средств, поступивших в виде 2 кредитовых транзакций из платежных систем
34 - при работе с удаленными рабочими местами СВКС, шифрование передаваемого финансового сообщения одним из 2 современных криптостойких алгоритмов
35 - снабжение передаваемых финансовых сообщений электронно-цифровой подписью 2
36 - отсутствие возможности выполнить распоряжение на пополнение/списание средств с карточного счета, переданное 2 в незашифрованном виде или без подписи
37 - отсутствие возможности выполнить распоряжение на пополнение/списание средств с карточного счета, переданное 2 по открытым каналам связи (факс, телекс и проч.)
Порядок транспортировки и хранения карт включает:
38 - хранение изготовленных карт отдельно от РШ-конвертов; 1
39 - транспортировка изготовленных карт отдельно от РШ-конвертов; 1 - порядок уничтожения невостребованных карт; 1
40 Порядок уничтожения карт и отработанных материалов включает составление акта с перечнем уничтожаемых карт, I подписанного комиссией;
Функциональные инструкции персонала включают:
41 - точное определение зон ответственности; 1
42 - квалификационные требования; 1
43 - положение о передаче полномочий в случае увольнения или перехода на другую работу. 1
Порядок инкассации банкоматов включает:
44 - инструкцию инкассатору по проведению тестирования банкомата в момент загрузки с указанием случаев, когда 1 банкомат не должен быть включен;
45 - описание бухучета операций по выгрузке и пополнению банкомата, включающее описание сверки 1 инкассированного остатка с операциями, проведенными по СВКС и по банкоматной ленте.
Существующая система управления доступом к ресурсам СВКС:
46 - исключает доступ пользователей к БД в обход штатных приложений; 2
47 - обеспечивает разграничение доступа к счетам и транзакциям на уровне отдельных счетов и групп счетов; 2
48 - обеспечивает разграничение доступа к информации о клиентах на уровне отдельных клиентов и групп клиентов; 2
49 - обеспечивает разграничение доступа к БД договоров на уровне отдельных договоров и групп договоров; 2
50 - обеспечивает разграничение доступа к осуществлению операций в СВКС (открытие счетов, выполнение 1 транзакций, ввод проводок в банк, изменение статусов счетов).
Подсистемы регистрации действий персонала, встроенные в СВКС, позволяют регистрировать следующие события:
51 - начало сеанса работы пользователя; 1
52 - окончание сеанса работы пользователя; 1
53 - начало работы программы; 1
54 - окончание работы программы; 1
55 - просмотр, открытие, закрытие, модификация счета; 1
56 - просмотр, ввод, удаление, модификация транзакции; 1
57 - просмотр, открытие, закрытие, модификация входящих и исходящих файлов обмена с платежными системами; 1
58 - просмотр, ввод, удаление, модификация данных о клиенте. 1
59 Срок хранения архивов системных журналов составляет не менее 3 лет. 1
Раздел V. Функции службы внутреннего контроля в части контроля операций с банковскими картами
60 Контроль реализации мероприятий, направленных на снижение операционных рисков, возникающих при работе с 1 банковскими картами, входит в зону ответственности СВК.
61 Контроль соблюдения внутренних стандартов и инструкций в области работы с банковскими картами входит в зону 1 ответственности СВК.
62 Все нормативные документы, касающиеся технологий работы с банковскими картами, проходят согласование в 1 СВК.
63 Все нормативные и разрешительные документы, касающиеся ограничения доступа к информации, связанной с 1 работой с банковскими картами, проходят согласование в СВК.
64 СВК имеет доступ ко всем данным систем ведения карточных счетов, использующимся в банке. 1
65 СВК разработан план мероприятий по контролю операций с банковскими картами. 1
66 СВК осуществляет ежедневный мониторинг операций с банковскими картами во всех системах ведения карточных 1 счетов, используемых в банке.
В перечень вопросов ежедневного мониторинга входит:
67 - контроль целостности баз данных; 1
68 - контроль соответствия остатков на карточных счетах и транзакций по этим счетам; 1
69 - контроль двойных транзакций; 1
70 - контроль возникновения новых ошибок и исправлений; 1
71 - контроль активности карт; 1
72 - контроль овердрафтов; 1
73 - контроль соблюдения правил бухучета; 1
74 - контроль соблюдения порядка эмиссии карт 1
(Продолжение следует)
