CC BY
35
УПРАВЛЕНИЕ РИСКАМИ
ВНУТРЕННИЙ КОНТРОЛЬ И УПРАВЛЕНИЕ РИСКАМИ В КОММЕРЧЕСКОМ БАНКЕ*
А.В.Шульгин кандидат технических наук, заместитель руководителя службы внутреннего контроля ЗАО "КБ "Гута-Банк"
Эта статья продолжает серию материалов, посвященных созданию системы внутреннего контроля коммерческого банка. В ней будут рассмотрены общие вопросы организации процедур внутреннего контроля в банке и начато рассмотрение методов внутреннего контроля применительно к конкретным банковским операциям.
1.5.ПРОЦЕДУРЫ ВНУТРЕННЕГО КОНТРОЛЯ
1.5.1 .Предварительный контроль
Под предварительным контролем понимается комплекс мер, направленный на уменьшение вероятности возникновения ошибок на этапе подготовки банковской операции.
Процедуры предварительного контроля являются частью системы внутреннего контроля. Процедуры предварительного контроля реализуются в подразделении, выполняющем операцию. При организации системы внутреннего контроля банка у руководства службы внутреннего контроля может возникнуть желание охватить процедурами предварительного контроля все банковские операции или значительную их часть. Это желание может быть основано на иллюзии, что если это сделать, то все вопросы, связанные с ошибками и злоупотреблениями отпадут сами собой. Однако это не так. Скорее всего, такой подход привел бы к излишней заорганизованное™ в порядке выполнения операций и снизил бы эффективность банка в целом. Предварительный контроль должен быть организован таким образом, чтобы сама технология проведения операции не позволяла проводить каждый ее последующий этап без полного завершения предыдущего и чтобы результаты проведения каждого этапа были зафиксированы на момент его окончания. Пример. При покупке валюты
* Продолжение. Начало см. "Финансы и кредит", 2001, № 13.
по заявке клиента сотрудник торгового подразделения перед приемом заявки проверяет сальдо клиентского счета. При достаточном для выполнения операции остатке заявка принимается и передается исполнителю. Если клиент после подачи заявки идет в операционный зал и передает операционисту несколько платежных поручений, которые в сумме с заявкой уже не могут быть выполнены при текущем остатке, может образоваться несанкционированный овердрафт на расчетном счете клиента и возникнуть риск убытка из-за возможной недобросовестности клиента или из-за не зависящих от клиента обстоятельств. Если введена процедура внутреннего контроля, при которой каждая заявка на проведение конверсионной операции перед передачей исполнителю подписывается операционистом, ведущим счет, с пометкой "сальдо счета позволяет", данной неприятности можно легко избежать, поскольку при планировании клиентского остатка операционист уже будет учитывать сумму, направляемую клиентом на покупку валюты.
Основным методом реализации предварительного контроля является определение и закрепление в нормативных документах банка порядка проведения операции, документооборота, правил учета, а также порядка разрешения и согласования проведения каждой операции. При этом для каждой операции строго определяются полномочия всех лиц, участвующих в ее проведении. Каждое лицо, участвующее в операции, должно делать на соответствующем документе отметку, ставить печать или визу, значение которой должно быть строго определено инструкцией о проведении операции. В приведенном выше примере виза операциониста означает, что предстоящее списание средств с клиентского счета учтено им при планировании остатка, соответствующая сумма зарезервирована, а ответственность за правильное планирование остатка на счете возложена на подписавшего документ. В большинстве крупных банков подобное резервирование и планирование остатка выполняет-
ся при помощи автоматизированного рабочего места операциониста, что существенно облегчает учет встречных платежей и повышает точность прогноза.
Среди контрольных процедур предварительного контроля, выполняемых сотрудниками службы внутреннего контроля, наиболее эффективными показали себя процедуры контроля исходящих платежей. При этом контролю подвергается любое фактическое или предполагаемое движение средств из банка вовне, в том числе и зачисление средств на счета клиента с внутрибанковских счетов, превышающее заданный порог (выборочный контроль, а если порог равен нулю, тогда контроль полный). Предметом контроля является соблюдение в отношении данного платежа правил проведения операции, к которой данный платеж относится. Например, при проведении кредитования контролер получает возможность проверить выполнение правил предоставления кредита, при конверсии - правил проведения конверсионных операций и т.д. Для рисковых продуктов устанавливается обязательность присутствия на платежном документе визы контролера на платежном документе, которая означает, что проверены все требуемые внутрибанковскими положениями условия и согласования. Это не противоречит принципу невключения сотрудника службы внутреннего контроля в технологический процесс, поскольку проверка не является выполнением какого-либо этапа операции. Платежный документ без визы контролера просто не исполняется. В простейшем случае контроль заключается в определении, все ли необходимые подписи присутствуют на платежном документе. В случае необходимости более глубокого контроля контролер может требовать предоставления документов, например договоров и дополнительных соглашений к ним, договоров обеспечения и пр.
Результаты проведения процедуры предварительного контроля документируются в соответствии с правилами, изложенными выше. Должны быть предприняты меры для того, чтобы представленные для проверки документы соответствовали выполняемой процедуре и чтобы результаты выполнения процедуры соответствовали ожидаемым. Это требование связывает предварительный контроль с последующим контролем и приводит к необходимости введения понятия отложенного контроля. Отложенным контролем будем в дальнейшем называть такую процедуру внутреннего контроля, выполнение которой начинается на этапе предварительного контроля и завершается на этапе последующего контроля. При этом на этапе предварительного контроля формулируется условие, которое будет контролироваться в будущем. Пример. При открытии счета с клиентом заключается договор,
в соответствии с которым банк обязуется предоставлять клиенту возможность выполнять платежи сверх остатка на его счете в пределах 30 % средне-квартального остатка (договор об овердрафте). Разумеется, при заключении договора об открытии счета нет возможности определить сумму среднеквар-тального остатка, и предел устанавливается на основании оценочных данных. Порядок предоставления овердрафта предполагает визирование договора ответственным сотрудником службы внутреннего контроля. Контролер, визируя договор, делает запись в журнал отложенного контроля на дату окончания квартала, когда, в соответствии с условием предоставления кредита, должен быть проверен сред-неквартальный остаток по счету данного клиента.
Для выполнения процедур отложенного контроля ведется журнал отложенного контроля. Жур-нал организуется по принципу еженедельника: каждая страница журнала или часть страницы соответствует определенной дате. Обычно журнал заводится на год, и в конце выделяются несколько страниц для записей, которые необходимо будет перенести в следующий журнал. По каждой проверяемой позиции, занесенной в журнал, отмечается дата постановки на контроль, контролируемое условие, номер договора или документа, в соответствии с которым выполняется контролируемая операция, кто ответственный за выполнение операции и кто контролирует. Каждый день или каждую неделю сотрудник службы внутреннего контроля проводит необходимые проверки в соответствии со сделанными записями и делает в журнале необходимые отметки о выполнении, невыполнении или о переносе сроков контроля.
1.5.2. Текущий (оперативный) контроль
Текущим, или оперативным контролем называется комплекс контрольных процедур, которые выполняются в ходе выполнения операции или сразу по завершении выполнения операции, преимущественно в тот же или на следующий день. Оперативный контроль нужен там, где по результатам контроля можно совершить исправительные действия или там, где в целях соблюдения финансовой или административной дисциплины необходимо быстрое обнаружение нарушений.
Основные области применения процедур оперативного контроля:
• контроль полноты и достоверности данных учета;
• контроль обоснованности движения средств по клиентским счетам;
• контроль соблюдения лимитов на проведение рисковых операций;
• контроль уплаты комиссий;
• контроль операций по банковским картам;
• контроль торговых операций;
• контроль привлечения и размещения средств на межбанковском денежном рынке (МБК).
При контроле полноты и достоверности данных учета ставится задача обеспечения соответствия данных учета, в широком смысле слова, реально проводимым операциям. Под учетом здесь понимается бухгалтерский учет, депозитарный учет, учет торговых операций в бэк-офисных учетных системах, а также отражение операций банка в банковских информационных системах и базах данных. Пример. Контрольная процедура сверки данных синтетического и аналитического учета баланса филиала банка. В филиале устанавливается программа, которая по закрытии операционного дня рассчитывает остатки по заданной группе балансовых счетов и автоматически передает их по определенному адресу компьютерной почты в центральный офис, где контролер сверяет их с данными баланса филиала, подтверждая или не подтверждая последние.
При контроле обоснованности движения средств по клиентским счетам ставится задача определения правильности начислений или списаний средств, в предположении, что контролеру известно, как и по каким правилам эти начисления и списания осуществляются. Пример. Контрольная процедура проверки обоснованности увеличения остатка на карточном счете клиента. Проверяется соответствие изменения остатка на карточном счете выполненной транзакции, соответствие транзакции по карточному счету данным балансового учета, определяется источник поступлений.
Контроль лимитов заключается в проверке соблюдения установленных предельных объемов сделок, открытых позиций или убытков по различного рода операциям.
При контроле соблюдения дилинговых лимитов ставится задача оперативного выявления случаев превышения дилерами или торговым подразделением в целом установленных ограничений по совершению сделок. При этом проверяется также процедура установления самих лимитов и соблюдение принятых в банке процедур их пересмотра и корректировки.
Лимиты на проведение торговых операций устанавливаются следующих видов.
Лимиты на контрагентов.Ограничиваются объемы операций с каждым контрагентом или с группой контрагентов.
Лимит на контрагента - это ограничения на сумму необеспеченных активных операций с конкретным контрагентом, то есть на проведение таких
операций, при проведении которых в случае отказа или невозможности контрагента выполнить свои обязательства перед банком сумма сделки будет полностью или частично утрачена. Установление лимитов на контрагентов как часть системы управления рисками банка будет рассмотрено ниже. Лимит на контрагента устанавливается в разрезе типов операций, совершаемых с данным контрагентом. Например, на банк А устанавливается лимит: операции СПОТ -1 млн USD, размещение кредитов типа овернайт - 1.5 млн USD, операции ФОРВАРД и ОПЦИОН - 2 млн USD.
Расход лимита происходит при заключении необеспеченной сделки. Если сделка не является необеспеченной, расход лимита не происходит. Например, при сделке СПОТ по покупке валюты у контрагента с предварительным валютированием, то есть с перечислением контрагентом валюты до перечисления ему рублевых средств, или при работе с контрагентом на условиях получения из банка держателя счета НОСТРО, кредитового авизо, расхода лимита нет. При завершении сделки (завершении расчетов по сделке), лимиты восстанавливаются. В некоторых банках допускается перераспределение лимитов между операциями, иногда с понижающими коэффициентами. В этом случае правом перераспределения лимита наделяется руководитель ди-линшвого подразделения. Ошибочным является мнение, что выполнение "зеркальной" по отношению к лимитируемой активной, но пассивной операции с данным контрагентом увеличивает лимит. Это не так. Привлечение депозита, не являющегося в соответствии с договором обеспечением по сделке, или наличие остатка на корсчете само по себе еще не является гарантией исполнения контрагентом своих обязательств, поскольку договорная основа сделок может не предполагать возможность банка воспользоваться указанными пассивами для покрытия возможных убытков.
Кредитный лимит (кредитная линия) на контрагента определяет максимально возможный убыток банка, который может образоваться в результате неисполнения контрагентом своих обязательств, например при предоставлении контрагенту необеспеченного кредита.
Неттинговыый лимит (неттинговая линия) определяет максимально возможную задолженность контрагента перед банком по поставке денежных средств при условии проведения взаимозачетов по сделкам.
Залоговые (обеспеченные) линии на контрагента устанавливаются после принятия залога и лимитируются стоимостью принятых в залог ак.ивов с учетом их рыночной стоимости и установленного в банке дисконта.
Лимиты на условиях поставки против платежа устанавливаются в основном по операциям с ценными бумагами, проводимым через банк-депози-тарий. Этот лимит устанавливается с учетом того, что риск непоставки основной суммы сделки отсутствует, поскольку при непоставке приобретаемого актива средства возвращаются. Однако в этом случае остается риск изменения курсовой стоимости приобретаемых (реализуемых) бумаг. Кроме того, в этом случае ограничивается суммарный объем по деньгам и по бумагам обязательств банка-депозитария, осуществляющего сделку.
Лимиты на проведение арбитражных операций. Эти лимиты ограничивают покупку или продажу рыночных активов, проводимую в расчете на благоприятное изменение курса. Они устанавливаются отдельно для каждого сектора рынка в виде лимита открытой позиции по каждому финансовому инструменту и в виде лимита потерь (stop-loss).
Лимит открытой позиции подразделения на денежном или фондовом рынке. Под открытием позиции на денежном или фондовом рынке понимают приобретение (длинная позиция) или продажу (короткая позиция) валюты или других рыночных активов. Под риском открытой позиции, или позиционным риском, понимают риск, связанный с изменением рыночной стоимости приобретенных или проданных активов. Открытая позиция может рассчитываться по подразделению, филиалу или по банку в целом.
В некоторых случаях руководителю дилингово-го подразделения делегируется право самостоятельно давать разрешение на превышение лимита по конкретной сделке, однако при этом размер превышения и порядок информирования руководства банка о допущенном превышении должен быть определен инструкцией по выполнению операции и должностной инструкцией руководителя.
Особый вид лимита представляют лимит потерь и лимит прибыли (stop-loss и stop-profit). Эти лимиты, как правило, устанавливаются на ди-линговые подразделения и имеют следующий смысл. При переоценке открытых позиций возникают так называемые плавающие прибыли или убытки, то есть прибыли или убытки, еще не зафиксированные в виде финансового результата, но возможные, если в данный момент произойдет закрытие позиции. Это относится к позициям, открытым на любых денежных и фондовых рынках. Лимит потерь предписывает сотруднику или подразделению, открывшему позицию, при падении рыночной стоимости приобретенного актива (отрицательной переоценке) закрыть ее, продав актив, и зафиксировать убыток, не дожидаясь дальнейшего
падения его стоимости. Лимит прибыли предписывает сотруднику или подразделению, открывшему позицию, при положительной ее переоценке свыше какого-то уровня, зафиксировать прибыль, продав увеличившиеся в цене активы и не дожидаясь дальнейшего роста их стоимости.
Персональные лимиты на дилера. Важно, чтобы действующая система лимитов была персонифицирована, то есть для каждого дилера должен быть установлен персональный лимит, превышение которого будет его персональным нарушением. Персональные лимиты должны быть установлены начальником дилингового подразделения и могут перераспределяться между дилерами. При перераспределении лимитов служба внутреннего контроля должна быть информирована о новых лимитах до их ввода в действие. Сумма персональных лимитов равна лимиту на подразделение.
При контроле соблюдения лимитов кредитных линий проверяется, соответствуют ли объемы кредитов, выданных клиентам в рамках кредитных линий, установленных на контрагента, или объемы полученных гарантий и аккредитивов по импорту, акцептованных в рамках кредитных линий, установленных на банки-корреспонденты, параметрам этих кредитных линий по срокам и суммам. Важной особенностью контроля лимита кредитной линии является учет ее расхода на внебалансовых счетах. Подробнее об этом речь пойдет при обсуждении контроля кредитных операций.
При контроле лимитов рисков проверяется соответствие суммы риска по предоставленным в подразделении продуктам указанному лимиту. Обычно устанавливается лимит кредитного риска на подразделение. Правила расчета суммы риска по кредитному продукту будут рассмотрены ниже.
Лимиты устанавливаются на основе всестороннего анализа контрагента или финансового рынка. Анализ рынка и методика установления лимита находятся вне компетенции службы внутреннего контроля банка. Более того, недопустимо, чтобы установление лимита и контроль за его соблюдением были сосредоточены в одной службе. Это приводит к конфликту интересов.
Каждый лимит, независимо от его назначения, должен быть определен на конкретный срок. По истечении этого срока лимит должен быть пересмотрен и может быть продлен, но это должно быть сделано в установленном порядке. Нельзя не пересматривать лимиты на основании предположения о том, что они не изменились. Контроль актуальности действующих лимитов является предметом внимания службы внутреннего контроля банка.
В мировой банковской практике известны крупные потери, которые понесли банки из-за пренеб-
режительного отношения к установлению лимитов и к контролю за их соблюдением. Специфика работы дилера, проводящего операции за счет банка на финансовом или фондовом рынке, ставит его в условия, схожие с условиями, в которых находится игрок в казино. При этом возможность оперировать средствами банка и потенциальная гарантия отсутствия личных потерь приводят к снятию ряда психологических сдерживающих факторов, которые есть у игрока, играющего на свои деньги. Нужно иметь в виду, что азарт и склонность к риску является изначально данным свойством характера человека, проявляющимся именно в том, что в надежде на выигрыш утрачивается контроль за ситуацией и делаются необоснованные оценки. Если дилер азартен, прибыльность позиции может заставить его увеличить ее объем, отвлекая средства от других финансовых инструментов. Если позиция становится убыточной, дилер также может принять решение увеличить ее, надеясь, что тогда даже незначительное увеличение стоимости приобретенных активов позволит ему "отыграться". Часто объем убыточной позиции скрывается дилером, особенно если это может повлиять на его вознаграждение. Следует отметить также, что мелкое нарушение финансовой дисциплины, оставшееся незамеченным, обязательно приводит к утрате сдерживающих мотивов и, как следствие, к появлению более серьезных нарушений.
Основные направления деятельности службы внутреннего контроля по обеспечению контроля за лимитами состоят в следующем.
Контроль наличия лимита. Для каждой рисковой позиции банка должен быть разработан и принят высшим органом управления банка порядок установления лимита. Лимит должен быть установлен в соответствии с принятым порядком для каждой рисковой позиции. Лимит должен быть актуальным, должна быть известна дата его установления и дата пересмотра. Служба внутреннего контроля следит за наличием актуального лимита по каждой рисковой позиции и не допускает проведения операций, на которые отсутствуют лимиты.
Контроль соблюдения лимита. Система внутреннего контроля банка должна содержать процедуры контроля соблюдения лимитов. Процедуры реализуются в подразделениях и в службе внутреннего контроля. Служба внутреннего контроля фиксирует случаи превышения лимитов подразделениями и проводит выяснение причин и определение виновных.
Оценка объемов рисковых позиций. Важным результатом работы службы внутреннего контроля является независимая оценка объема рисковых позиций банка. Значение информированности руко-
водства банка по этому вопросу чрезвычайно велико. Кроме того, ряд рисковых позиций является предметом отчетности банка перед органами банковского надзора, искажение которой может привести к серьезным последствиям.
Контроль уплаты комиссий. Комиссии взимаются банком при проведении клиентских операций. При большом числе проводимых операций неизбежно возникают нестандартные ситуации, например отсутствие денег на счете при его открытии, забывчивость операционистов и т. п., когда комиссии не взимаются. Поэтому, несмотря на то, что контроль взимания комиссий, по своей сути, более соответствует последующему контролю, контрольные процедуры имеет смысл реализовывать в рамках оперативного контроля. Комиссионный доход становится значимым при больших объемах проводимых клиентских операций, поэтому при организации контрольных процедур важно, чтобы они были автоматическими. В противном случае стоимость их реатазации будет ощутимо влиять на доходность клиентских операций. Для выполнения этого требования необходимо определить порядок проведения каждой клиентской операции, предусматривающий возможность автоматической идентификации (установления взаимного соответствия) выполненной операции и комиссионного вознаграждения. Например, при выполнении клиентских заявок по покупке государственных ценных бумаг на бирже невозможно автоматически отследить уплату комиссии банку клиентом, если сумма комиссии перечисляется с биржевого счета на корсчет банка, но можно сделать это достаточно легко при установлении порядка уплаты комиссии с инвестиционного счета клиента.
Ошибочным является пренебрежительное отношение к вопросу о комиссиях, выработанное в период работы банковской системы России в условиях высокой маржи. Комиссионный доход банков в странах с развитой банковской системой является одним из основных видов доходов, и правильно организованная система внутреннего контроля за его получением приносит ощутимую прибыль.
1.5.3. Последующий контроль
Последующим контролем называется комплекс контрольных процедур, которые выполняются по завершении выполнения операции, но с отсрочкой по времени. Последующий контроль нужен там, где нужно оценить результаты работы подразделения, оценить степень выполнения договорных обязательств банком и его клиентами, получить обобщенные оценки.
Основные области применения процедур последующего контроля:
• контроль выполнения подразделениями банка требований по поддержанию в актуальном состоянии нормативной базы (процедурный контроль);
• контроль соответствия технологии проведения и учета банковских операций принятым нормативным документам (технологический контроль);
• контроль полноты получения банком доходов от активных операций;
• контроль обоснованности уплаты банком процентных платежей;
• контроль финансовых результатов деятельности;
• контроль выплаты дивидендов.
Процедурный контроль. Политика банка в области внутреннего контроля, как это уже обсуждалось, должна предусматривать наличие актуальной собственной нормативной базы для каждой выполняемой операции. Это означает, что каждое банковское подразделение обязано создать описание каждой проводимой этим подразделением операции, утвердить его в установленном порядке и поддерживать в актуальном состоянии. Последнее означает, что при изменении ситуации на рынках, при появлении или уходе с рынка банковских продуктов, при изменениях в законодательстве и в нормативной базе банковской деятельности, при изменении форм отчетности должна соответствующим образом изменяться и собственная нормативная база банка. Отслеживание выполнения данного требования является одной из задач службы внутреннего контроля. Для эффективного решения этой задачи руководство банка должно утвердить порядок, периодического представления службой внутреннего контроля высшему органу банка доклада по результатам процедурного контроля. В службе внутреннего контроля должен вестись журнал учета документов внутренней нормативной базы, в котором утвержденные документы должны учитываться с указанием сроков их принятия и сроков необходимого пересмотра.
Технологический контроль. Как обсуждалось выше, каждая контрольная процедура в большей или меньшей степени опирается на разработанные в банке технологии проведения банковских операций, принятые правила бухучета и документооборота. Поэтому любая контрольная процедура является в той или иной мере процедурой технологического контроля. Существуют два аспекта технологического контроля. Первый состоит во включении в технологию выполнения банковской операции контрольных позиций, соблюдение которых позволит избежать возможных потерь, а второй -
в контроле исполнения этих позиций. Пример. Инструкция инкассатора по инкассации банкомата должна содержать подробное описание всех тестов, которые должен провести инкассатор после загрузки полных кассет, с указанием всех сообщений, которые могут появиться на дисплее, описанием процедуры сброса первых купюр в режект-кассету и т.д. Наличие подробного описания процесса тестирования в инструкции является предметом внимания службы внутреннего контроля (первый аспект технологического контроля). Однако ценность данной инструкции значительно снижается, если она не доведена до сведения исполнителя и, следовательно, нет никакой гарантии, что указанные тесты каждый раз выполняются. Если же с каждым исполнителем проведен инструктаж, контрольный опрос по специально разработанному для этой цели вопроснику, каждый исполнитель расписался в специальном реестре за ознакомление с инструкцией и подтвердил свою персональную ответственность за соблюдение технологии проводимых операций, можно с большей уверенностью утверждать, что процесс инкассации будет проведен без сбоев.
При планировании контрольных процедур технологического контроля необходимо учитывать, что возможные потери при нарушении банковской технологии для разных операций неодинаковы. Например, несоблюдение технологии проведения активных операций может привести к неоправданному возрастанию риска. Нарушение технологии проведения торговых операций по заявке клиента может привести к тому, что клиент оспорит невыгодную для себя сделку и банк понесет убытки, которые должен понести клиент. Соответственно и глубина контроля в различных случаях должна быть неодинаковой, так как в противном случае это приведет к неоправданному распылению усилий.
Контроль полноты получения банком доходов от активных операций состоит в периодической проверке полноты взыскания процентов по предоставленным ссудам, комиссий по выданным гарантиям и авалированным векселям, доходов от участия банка в акционерном капитале других лиц. Как правило, такие проверки не могут быть проведены автоматически и связаны с большим объемом документального контроля, что делает их трудоемкими и дорогостоящими. Именно к проверкам такого рода относятся приведенные выше положения о планировании проверок. Далее при рассмотрении вопросов, связанных с контролем кредитных операций, будет подробно рассмотрен вопрос о контроле полноты доходов.
Контроль обоснованности уплаты банком процентных платежей. Контролируется соответствие
уплаченных процентов заключенным договорам. Если банк обслуживает большое число частных вкладчиков, то, как правило, начисление процентов по частным вкладам производится программно. Всегда предусмотрен и ручной способ начисления процентов, применяемый при досрочном закрытии счетов и при возникновении нестандартных ситуаций. Предметом контроля должны быть все без исключения ручные проводки по начислению процентов по частным вкладам, поскольку здесь возможны ошибки и злоупотребления. Для других процентных расходов банка основным моментом, определяющим возможность контроля и затраты на его проведение, является возможность связать выполненный платеж с пассивом, в уплату за который он выполнен. Если эта возможность определяется правилами бухгалтерского учета, как в случае с частными вкладами, где начисление процентов производится на счет вклада, то никаких дополнительных методов идентификации не требуется. Если правила бухгалтерского учета не устанавливают прямой связи, как в случае с депозитами юридических лиц или с депозитными сертификатами, необходимо введение дополнительных источников информации в виде реестров и регистрационных журналов. Регламент ведения этих реестров является составной частью процедур системы внутреннего контроля.
Контроль финансовых результатов деятельности является традиционной задачей аудита, как внешнего, так и внутреннего. Контроль в этом случае производится с точки зрения определения достоверности декларируемых результатов. Однако в отдельных случаях данную задачу целесообразно частично возложить на систему внутреннего контроля. Дело в том, что, во-первых, отдельные подразделения банка и банк в целом могут иметь различную мотивацию при интерпретации одних и тех же финансовых результатов. Во-вторых, финансовые показатели являются объективным показателем состояния дел в подразделении: уменьшение или увеличение прибыли подразделения, изменение доходности финансовых инструментов, внедрение новых высокодоходных продуктов - все это может быть сигналом об увеличении рисков. Кроме того, при непродуманной системе мотивации персонала возможно искажение или неправильная, с точки зрения политики банка, интерпретация финансовых результатов деятельности подразделения, позволяющая сотрудникам подразделения получать необоснованную компенсацию при отсутствии реальной прибыли.
Контроль выплаты дивидендов. Если банк является акционерным, то в соответствии с его уставом общее собрание акционеров может принять
решение о выплате дивидендов по акциям. На основании этого решения в банке издается приказ о выплате дивидендов, в котором указывается, каким категориям акционеров и в каких объемах должны быть произведены выплаты. Ведение реестра акционеров, как правило, осуществляется внешним регистратором. Задача внутреннего контроля в данном случае состоит в сверке реестра с данными банковского бухгалтерского учета и сверка выплат с реестром.
2. КОНТРОЛЬ ОТДЕЛЬНЫХ ОПЕРАЦИЙ БАНКА
Изложенная выше концепция построения системы внутреннего контроля банка предполагает охват контрольными процедурами всех без исключения сфер деятельности банка (тотальный контроль). Однако, с точки зрения потенциального риска, различные операции, проводимые банком, далеко не равнозначны. Риск возможных потерь колеблется от минимального, возникающего при проведении простейших операций, до риска утраты значительной части активов - при выборе ошибочной стратегии кредитования или при ошибках проведения инвестирования. Соответственно отличается и подход к внутреннему контролю: от создания простейших контрольных процедур в рамках бухгалтерского учета до применения сложных технологий оценки и управления риском с участием многих подразделений банка. Ниже будут подробно рассмотрены подходы к обеспечению внутреннего контроля по нескольким наиболее значительным, с точки зрения риска, типам банковских операций.
2.1. Информационный контроль
Под информационным контролем в широком смысле понимается комплекс мер по обеспечению информационной безопасности банка. Безопасность в данном случае включает следующее.
1. Информационную безопасность баз данных и информационных хранилищ Банка, включающую:
• достоверность информационных баз данных, то есть отсутствие в них ложной информации;
• полноту информационных баз данных, то есть наличие в них необходимой информации;
• конфиденциальность информационных баз данных, то есть невозможность утечки информации вовне и невозможность осуществления несанкционированного доступа к информации изнутри банка;
• техническую защищенность, то есть защищенность информации от утраты или искажения
в результате ошибок программного обеспечения или технических сбоев.
2. Информационную безопасность каналов передачи информации, включающую безопасность всех каналов передачи информации в широком смысле слова, в том числе и каналов передачи информации на бумажных носителях, в текстовом виде, в виде речевых сообщений, по телефону, по факсимильной связи и т. п.
3. Информационную безопасность рабочих станций.
Реализация каждого из описанных аспектов
информационной безопасности опирается на применении комплекса специальных технических, программных и организационных средств.
2.1.1. Информационная безопасность баз данных и информационных хранилищ Банка
Достоверность. Достоверность информации в базах данных определяется: 1) регламентом ведения баз данных, определенным действующими положениями и инструкциями, и 2) режимом контроля. Контроль состоит в проверке соблюдения правил ввода информации в базы данных и в проверке введенной информации на внутреннюю непротиворечивость и на взаимное соответствие данных из различных источников. Последнее положение является фундаментальным принципом информационного контроля и требует некоторого пояснения.
Дело в том, что проверка достоверности данных информационной системы на основе прямого сопоставления этих данных с первичными документами не всегда возможна и весьма трудоемка из-за большого количества первичных документов. Например, данные операционного дня могут формироваться в информационной системе банка на основе ввода тысяч проводок. Чтобы осуществлять контроль, нужно иметь четко определенные правила ввода информации по каждой банковской операции, по которой предусмотрено ведение баз данных. Правила ввода определяют:
• как вводится информация: открытие баз данных на ввод, последовательность ввода, закрытие баз данных, отмена ввода, исправление ошибок, форматы файлов, поступающих извне при автоматизированном вводе;
• какая информация вводится : состав информационных полей, обязательные и необязательные для заполнения поля;
• когда вводится информация: до выполнения операции, после выполнения (в течение какого времени);
• кто контролирует информацию на этапе ввода (реализация принципа "четыре глаза").
Эффективным способом контроля вводимой информации является создание программных средств подготовки бумажных документов на основе информации в базе данных. Например, если заявка на проведение конверсионной операции готовится на основании информации, предварительно введенной в базу данных, вероятность наличия в базе данных неправильного номера клиентского счета или ошибочных данных о сумме проведенной операции становится крайне малой. Наоборот, если данные формируются путем переноса на электронный носитель данных об уже выполненной конверсионной операции, вероятность ошибки достаточно велика.
Наиболее опасным, с точки зрения возникновения возможных ошибок, является ввод проводок в базы данных операционного дня. Под проводками здесь понимаются проводки по лицевым счетам, открытым на балансе банка, а также проводки по лицевым счетам, открытым в системах аналитического учета, в системах ведения карточных счетов, в депозитариях и проводки по внебалансовым счетам. С точки зрения возможности возникновения ошибок ввода и несанкционированного ввода, балансовые проводки наиболее защищены, поскольку отработанные и жестко регламентированные правила бухгалтерского учета являются эффективным контрольным механизмом. В то же время все проводки в системах аналитического и депозитарного учета не столь жестко контролируются по итогам операционного дня, а ущерб, который может быть нанесен банку при нарушении полноты и достоверности баз данных этих проводок, не менее значителен. Поэтому данные проводки должны быть предметом особого внимания службы внутреннего контроля.
Иногда для обеспечения достоверности вводимой информации при вводе проводок применяют двойной ввод: каждый документ вводится двумя операторами, после чего производится контрольное сравнение и в случае несовпадения результаты ввода обнуляются и ввод повторяется. Достоверный ввод проводок крайне важен для обеспечения возможности контроля всех банковских баз данных, поскольку в конечном счете достоверность всех данных сводится к контролю их соответствия данным баланса. Наиболее часто встречающиеся ошибки ввода таковы.
Ввод сдвоенной проводки. Вводится две или более проводок с полностью совпадающими реквизитами. Метод контроля: автоматическая процедура поиска во входном потоке одинаковых проводок.
Неудаленная проводка. Клиент может до окончания операционного дня отменить или переадресовать сделанный им ранее в течение дня платеж.
Если платеж уже попал во входной поток, может случиться так, что новый его вариант также попадет во входной поток, а старый не будет удален. Метод контроля. Контроль выполнения заданий на удаление платежей из входного потока.
Эффективным методом контроля достоверности баз данных является контроль баз данных на внутреннюю непротиворечивость. Особенно эффективным этот метод является при наличии двух и более источников информации. Общий подход состоит в том, что операция отражается в более чем одной базе данных, например в данных операционного дня и в аналитической учетной системе. На основании действующих правил бухгалтерского учета, правил проведения данной операции и ее отражения в информационной системе выделяются признаки, по которым может быть проведено сравнение.
Пример. При эмиссии собственных векселей выполняется проводка по дебету балансового счета 52301,-02...-05 в зависимости от срока погашения векселя. При этом, в зависимости от того, является вексель процентным или дисконтным, выполняется или не выполняется проводка в корреспонденции со счетом "Доходы будущих периодов". В банке определен регламент ведения реестра выпущенных собственных векселей в виде электронной таблицы, обязывающий сотрудника выпускающего подразделения ввести в реестр данные (номер счета, дату выпуска и погашения, дисконт, ставки и пр.) по векселю до выполнения проводки. Контроль достоверности данных реестра производится по следующей схеме:
1. Контроль наличия в реестре каждого выпущенного векселя (полнота).
2. Контроль соответствия балансового счета второго порядка сроку векселя по реестру.
3. Контроль соответствия балансовых проводок и вида векселя (дисконтный или процентный) по реестру.
4. Контроль соответствия балансовых проводок данным о первом векселедержателе, указанным в реестре.
5. Контроль отражения в реестре погашения векселей.
6. Контроль переноса суммы векселя на счет до востребования при истечении срока векселя по реестру.
Автоматическое проведение указанных сверок по данным каждого закрытого операционного дня позволит получить реестр векселей высокой степени достоверности.
Полнота. Полнота базы данных - это, во-первых, наличие в базе данных информации обо всех операциях, для которых предусмотрено их отраже-
ние в данной базе данных, а во- вторых, наличие всех необходимых записей (полей) по каждой операции. Первое тесно соприкасается с проблемой достоверности и уже было рассмотрено выше. Контроль наличия всех необходимых полей в каждой записи наиболее эффективен при его постановке в рамках процедуры ввода информации. Современные системы управления базами данных позволяют на основе встроенных процедур контроля целостности легко организовать процесс ввода информации таким образом, чтобы исключить возможность наличия незаполненных полей вводимой записи.
Контроль полноты и достоверности баз данных должен планироваться для каждой банковской операции отдельно с учетом ее специфики. Общим для всех операций является то обстоятельство, что даже при высокой дисциплинированности персонала ведение баз данных воспринимается сотрудниками бизнес-подразделений как дополнительная и часто обременительная обязанность. В связи с этим требования по поддержанию полноты и достоверности баз данных, основанные на призывах делать так, а не иначе и не подкрепленные жесткими контрольными процедурами, будут выполняться лишь частично или не будут выполняться вообще.
Конфиденциальность. Вопросы конфиденциальности и вопросы защиты компьютерной информации от несанкционированного использования применительно к любому виду информации проработаны очень глубоко. Эти вопросы являются предметом работы не одного исследовательского коллектива и в России, и за рубежом, по ним написано множество научных трудов. Рассмотрение этих вопросов в плане методов реализации систем защиты далеко выходит за рамки обсуждаемых проблем внутреннего контроля банка, однако рассмотреть их в постановочном плане, обеспечивающем возможность при проектировании системы внутреннего контроля, сформулировать проблему и проверить решение поставленных задач, необходимо.
Система защиты информации банка от несанкционированного доступа предназначена для обеспечения порядка, при котором воспользоваться информацией может лишь то лицо, которому это разрешено. Как правило, в банках используются компьютерные сети, представляющие собой соединенные кабелем рабочие станции и файл-серверы. Первые находятся в пользовании сотрудников, последние служат для хранения информации. Существует множество вариантов построения архитектуры сети и ее программного обеспечения, но базовые принципы в основном одинаковы. Несанкционированное использование информации заключается в несанкционированном вводе, чтении,
и копировании информации, передаваемой по сети или хранящейся на рабочей станции. В качестве физического источника информации может быть использован соединительный кабель (шина) и сервер или непосредственно информационный носитель рабочей станции. В первом случае наибольшую опасность представляет прослушивание паролей пользователей с целью их последующего использования и непосредственное прослушивание и искажение передаваемой информации. Во втором случае возможно прямое использование информации. Соответственно различаются и задачи обеспечения конфиденциальности: защита рабочих станций от использования лицами, не имеющими разрешения, защита данных на серверах (баз данных) от несанкционированного доступа и защита информации, передаваемой между элементами сети (защита сетевого трафика).
Очень эффективным и наиболее легко реализуемым способом обеспечения безопасности банковской компьютерной сети является физическое изъятие из компьютеров дисководов для мягких дисков и СО. Мягкий диск или СО, кроме того, что он может быть использован для переноса информации из банка вовне, может быть использован для несанкционированного проникновения в персональный компьютер: с него может быть загружена операционная система, при помощи которой могут быть совершены действия, недоступные для стандартного в данном банке программного обеспечения. Простые в реализации, но проверенные временем административные меры могут многократно снизить вероятность несанкционированного доступа к информации: комнаты должны быть закрыты, на компьютерах установлены пароли. Очень эффективно прямое административное воздействие на персонал с разделением ответственности, с установлением личной ответственности каждого за утечку информации. Однако для эффективного применения этого принципа каждый участник информационного обмена должен быть ограничен в доступе к информации, за которую несут ответственность другие лица.
Обычно процедура разграничения доступа строится на основе использования сетевых имен и паролей пользователя. Существуют системы использования магнитных карточек, считываемых специальным устройством в компьютере перед началом работы, но у нас в стране такие устройства не получили распространения. Обычно в банке вводится должность администратора доступа. Это должен быть человек, имеющий опыт работы с компьютером, разбирающийся в используемой операционной системе, системе управления базами данных и системе разделения доступа. Администра-
тор доступа, используя средства разделения доступа операционной системы и системы управления базами данных, имеет возможность установить для каждого пользователя (сетевого имени) разрешение или запрещение на использование конкретных баз данных и конкретных программ. При этом, чем более развитой является система разделения доступа, тем больше вариантов доступа она может обеспечить. Например, простейшая система может разрешить или запретить пользователю доступ к базе данных лицевых счетов. Более сложная система может разрешить пользователю доступ к определенной группе счетов по маске. Еще более развитая система может обеспечить возможность предоставления доступа к номеру счета и его остатку и закрыть доступ к наименованию счета по определенной группе клиентов. Администратор доступа является только исполнителем разрешения на право доступа. Само разрешение выдает ответственный менеджер по подсистеме. Это, как правило, сотрудник, отвечающий за данную банковскую операцию. Например, права доступа к счетам и платежам разумно распределять главному бухгалтеру или его заместителю, права доступа к базам данных кредитных договоров - начальнику кредитного подразделения и т.д. Ответственный менеджер по каждой подсистеме назначается приказом по банку. Разрешение оформляется в виде разрешительной надписи или визы ответственного менеджера на заявке пользователя и передается администратору доступа, который эту заявку исполняет и сохраняет в установленном порядке. Следует отличать администратора доступа от администратора баз данных, лица, ответственного за поддержку баз данных в рабочем состоянии, своевременное архивирование, создание резервных копий и проведение других мероприятий по обеспечению их сохранности и бесперебойного функционирования.
Каждому пользователю банковской сети в рамках его задач определяется перечень баз данных и общих программ, с которыми он должен работать. Пользователь оформляет заявку, подписывает ее у ответственных менеджеров и передает администратору доступа. Часто пользователи группируются по категориям доступа. Пользователю предоставляется возможность придумать и ввести с рабочей станции администратора пароль, который будет использоваться им в дальнейшем при работе. Пользователь должен быть поставлен в известность, что с этого момента только он является ответственным за использование пароля и за его разглашение и передачу другим лицам.
Пользователь должен знать, что если с использованием его пароля будут осуществлены какие-либо несанкционированные действия в банковс-
кой сети, то виноват в этом будет он. Мировой опыт использования паролей, описанный в многочисленной литературе, показывает, что пароль должен состоять не менее чем из 5 символов, причем должно быть исключено использование имен, дат рождения, наименований предметов, находящихся в комнате, названия банка, названий книг, лежащих на столе, и последовательностей соседних символов клавиатуры. Пароль должен меняться не реже одного раза в три месяца.
Важным способом обеспечения конфиденциальности является отсутствие у пользователя на стандартной рабочей станции средств разработки программ. Имея такие средства, опытный пользователь, в принципе, может вскрыть систему защиты или воспользоваться базами данных в обход стандартных интерфейсов. Для недопущения изготовления и использования средств взлома в банках разрабатываются стандарты на оснащение рабочих станций, которые предполагают использование на рабочих станциях только разрешенных программных продуктов. Для контроля за соблюдением принятых стандартов используются специальные сетевые программы, осуществляющие каждый раз при входе в сеть с рабочей станции проверку содержимого жесткого диска и уничтожение любых файлов, не соответствующих стандарту. Как правило, уничтожению подлежат все выполняемые модули и средства разработки за исключением перечня программных средств, разрешенных к использованию на данной рабочей станции. Разумеется, при многообразии задач и продуктов в каждом банке возникает необходимость использования на отдельных рабочих станциях нестандартного программного обеспечения или средств разработки. Поэтому в банке должна быть разработана и утверждена соответствующая разрешительная процедура, предусматривающая всесторонний анализ устанавливаемого нестандартного продукта и назначение лица, ответственного за его использование и поддержание в рабочем состоянии.
Практика постановки системы внутреннего контроля в крупных банках позволяет определить еще один существенный источник опасности возникновения серьезных сбоев. Использование нестандартного программного обеспечения (собственного или покупного), ориентированного на поддержку бизнес-операций, приводит к формированию зависимости бизнес-операций от его функционирования. Часто при создании программ или при их покупке определяющим фактором являются цена и сроки их ввода в эксплуатацию. После начала эксплуатации^ когда все вопросы улажены, руководители забывают, что не менее важным вопросом, связанным с созданием программ-
ного обеспечения, является его поддержка. При отсутствии должным образом организованной поддержки возникает риск утраты данных и риск остановки бизнес-операций из-за невозможности адаптировать или перенастроить программы при изменении условий бизнеса. Состав персонала меняется, приходят люди, не участвовавшие в разработке или закупке программ. Для обеспечения бесперебойного функционирования программного обеспечения должны быть созданы условия, при которых персонал соответствующей квалификации может обеспечить преемственность поддержки всего программного обеспечения банка.
Вот эти условия.
1. При использовании стандартных средств, разработанных известными производителями, используются только авторизованные версии программ, что позволяет при обнаружении сбоев обращаться к официальным дилерам за консультацией. Следует помнить, что при использовании пиратских копий всегда существует скрытая возможность утраты данных. Эта возможность даже может быть запрограммирована производителем как способ обеспечения своих интересов.
2. При использовании программ, разработанных малоизвестными производителями, следует заключать договор не только на их поставку, но и на поддержку и сопровождение. При этом следует добиваться поставки не только инструкций пользователя, но всей технической документации, включая исходные модули, описания интерфейсов данных, кодов ошибок и диагностических сообщений, функциональное описание используемых модулей с подробным указанием программных средств, использованных при их разработке.
3. При кадровых изменениях среди пользователей и персонала, поддерживающего любые программные продукты, должна быть обеспечена полная преемственность в части передачи паролей. Особенно это касается паролей администраторов доступа и администраторов баз данных.
К серьезным потерям для банка могут привести сбои в программном и аппаратном обеспечении. При недостаточно продуманной системе безопасности используемых информационных систем даже отключение электричества может привести к остановке банка и к утрате информации. Поэтому, кроме использования источников бесперебойного питания на рабочих станциях и серверах, в банке должны быть предусмотрены процедуры архивирования данных и процедуры создания горячего и холодного резервов данных. При этом под горячим резервом понимается информационная структура (носители информации плюс программное обеспечение), которая может без дополнительных зат-
рат времени заменить собой вышедшую из строя, а под холодным - которую можно быстро привести в рабочее состояние.
При несоблюдении указанных правил в банке возникают дополнительные риски, которые могут привести к неоправданным потерям.
В приложении приведена анкета оценки риска, связанного с безопасностью информационных систем. Вопросы полноты и достоверности банковских информационных систем не отражены в данной анкете и будут частично рассмотрены при анализе контрольных процедур по конкретным видам банковских операций.
В особую группу объектов, доступ к которым должен быть строго ограничен, выделяются почтовые машины и в первую очередь системы отправки телексных сообщений и сообщений системы SWIFT. Отправка несанкционированных финансовых сообщений, например сообщения об открытии импортного аккредитива, может привести к серьезным финансовым последствиям для банка. Для снижения риска в этой области действуют следующие правила: для каждой системы связи определяется круг пользователей, имеющий право отправки сообщений определенного содержания. Для систем, использующих стандартные форматы сообщений, определяется перечень форматов, которые могут быть отправлены с конкретной рабочей станции. Не допускается отправка сообщений с дискет.
2.1.2. Информационная безопасность каналов связи
Вопросы информационной безопасности каналов связи, используемых в банке, должны интересовать службу внутреннего контроля банка: во-первых, с точки зрения обеспечения конфиденциальности информации, представляющей коммерческую тайну, а во-вторых, с точки зрения обеспечения достоверности финансовых сообщений и поручений, передаваемых по каналам связи в соответствии с установленным документооборотом. Обратим внимание на то, что в данном понимании передачей сообщения по каналу связи может являться и передача документа с нарочным, и передача голосового сообщения по телефону, и передача факсимильного сообщения. Пример. Операции, проводимые по счету физическим лицом. Операционист выписывает приходный или расходный кассовый ордер, передает его клиенту, который несет его в кассу, где вносит деньги. Кассир делает отметку на ордере и ставит свою подпись, после чего клиент вновь несет его операционисту, который на основании подписанного кассиром документа оформляет взнос денег на счет и выдает
клиенту договор или книжку счета. Канал передачи финансового сообщения, определенный таким документооборотом, незащищен, поскольку клиент может легко подменить или исправить попавший к нему в руки кассовый документ. Если операционист и кассир обмениваются между собой дополнительными подтверждающими сообщениями по внутренней связи, то канал становится более защищенным от злого умысла клиента, но остается незащищенным от внутрибанковских злоупотреблений. Если передача документа между операционистом и кассиром производится без участия клиента с отметкой кассира и операциониста о получении документа, то канал становится защищенным. Другой пример. Операции по счету депо депозитария банка проводятся по подписанному клиентом его личному распоряжению. Канал передачи финансового сообщения защищен, поскольку клиент должен лично явиться в банк, передать операционисту подписанное распоряжение и предъявить операционисту свой паспорт. Клиент, участвуя в торгах на фондовом рынке с использованием системы удаленного доступа, должен иметь возможность быстро проводить операции по покупке и продаже своих активов. Для этого он оказывает давление на банк и на непосредственно обслуживающих его банковских служащих и добивается, чтобы его заявки в виде исключения принимались по факсу. Клиент безупречный, давно обслуживающийся в банке, ему идут навстречу. При передаче и приеме заявки по факсу канал передачи финансовой информации становится незащищенным. Рассмотрим, к каким потерям для банка может привести наличие такого незащищенного канала. Клиент № 1 размещает на своем инвестиционном счете значительную сумму денег и дает распоряжение на покупку надежных бумаг. После зачисления купленных бумаг на его счет депо, клиент дает по факсу распоряжение на перевод этих бумаг на счет депо клиента № 2, своего доверенного лица, открытый им предварительно в этом же банке. При этом последний счет может быть открыт на несуществующее лицо или по утерянному паспорту. С этого счета бумаги немедленно продаются и деньги перечисляются в другой банк или снимаются наличными. По завершении операции клиент № 1 приходит в банк и приносит подписанное им распоряжение на продажу принадлежащих ему активов. Из-за использования незащищенного канала связи - факсимильной связи по телефонному каналу - банк становится жертвой мошенников и несет убытки, поскольку никаких оснований отказать клиенту № 1 в исполнении его распоряжения нет. Приведенный пример является достаточно простым, но иллюстрирует значе-
ние защищенности каналов связи. Если финансовые сообщения передаются по электронным каналам связи (публичным сетям типа Интернет), защита передаваемой информации становится еще более актуальной.
Среди применяемых в настоящее время средств защиты информации, передаваемой по электронным каналам связи, наиболее часто встречаются шифрование информации с открытым ключом и защита информации электронно-цифровой подписью. При шифровании открытым ключом для шифрования и дешифровки используются разные ключи, причем знание одного из них не позволяет воспользоваться информацией. Поэтому ключ для шифрования может быть сделан общедоступным и может быть передан по открытому каналу связи, а ключ для дешифровки генерируется и хранится только получателем информации. Таким образом, отправителей может быть несколько, а получатель один. Теоретической основой данного метода защиты информации является известный математический результат о сложности разложения больших целых чисел на простые сомножители. Со значительными упрощениями алгоритм шифрования можно представить таким образом.
Отправитель выбирает два очень больших простых числа Р и Q, а затем вычисляет N=P*Q и M=(P-1)*(Q-1). Число N служит для формирования открытого ключа, а число M - для закрытого ключа.
Шифрование сообщения производится путем поразрядного преобразования сообщения S : возведения в степень D по модулю N
S'=S°MODN, а расшифровка путем возведения шифровки в степень Е по модулю N:
S = S,E MODN ■ D и N - открытый ключ, который передается по открытым каналам связи, Е - секретный ключ, известный получателю сообщения. Операция MOD означает остаток от деления.
Сложность расшифровки или, как говорят специалисты в области защиты информации, крипто-стойкость такого шифра основывается на том факте, что M не может быть просто вычислено без знания Р и Q, а нахождение этих сомножителей из N является чрезвычайно сложной вычислительной задачей. Известен результат, когда для разложения на простые сомножители числа из 155 десятичных знаков потребовалось реализовать специальный алгоритм, организующий параллельную работу 1 ООО компьютеров, объединенных в сеть в течение времени около 1 ООО часов (6 недель). Если
учесть, что для реализации прикладных алгоритмов, как правило, используются числа, содержащие 250-300 знаков, становится ясно, что задача взлома шифра с открытым ключом чрезвычайно сложна.
На основе изложенного принципа реализуется алгоритм выработки общего секретного ключа для связи любой пары пользователей. Каждый пользователь генерирует свое случайное число, преобразует его посредством некоторой процедуры, сообщает по открытому каналу связи своему корреспонденту, принимает от корреспондента его число, генерирует по определенному правилу общий секретный ключ. Для увеличения криптостойкости канала связи каждый такой ключ может существовать только в течение одного сеанса связи или даже может изменяться в процессе сеанса. Разумеется, такие процедуры полностью автоматизированы и входят в состав специального программного обеспечения каналов связи. Обмен ключами и шифрование передаваемой информации происходят без участия пользователя. Поставщики шифровального оборудования производят специальные процессоры, обеспечивающие реализацию алгоритмов шифрования с большой скоростью.
Поскольку шифрование сообщения само по себе не гарантирует того, что данное сообщение не подвергалось преобразованиям и изменениям при передаче (ведь открытый ключ известен всем), кроме обеспечения конфиденциальности сообщения, необходимо обеспечить его достоверность, то есть удостовериться, во-первых, в авторстве сообщения, а во-вторых, что сообщение не подверглось искажению в процессе передачи. Для решения этой задачи служит цифровая подпись (ЦП).
ЦП - это зашифрованная контрольная сумма сообщения, называемая также имитоприставкой. Математическое преобразование сообщения, используемое для получения ЦП, таково, что при отсутствии у злоумышленника секретного ключа подделать эту подпись невозможно. Невозможно также воспользоваться известной цифровой подписью для другого документа. В России для снабжения передаваемого сообщения цифровой подписью широко используется цифровая плата "Криптон". Достоверность платежных документов, подписанных при помощи этой платы, признается в арбитражном суде. Всемирная сеть передачи банковской информации SWIFT также использует систему цифровой подписи, так называемый стандарт RSA.
В сфере внимания службы внутреннего контроля банка постоянно должны находиться вопросы, связанные с обеспечением безопасности используемых каналов связи. Финансовая информация из удаленных подразделений банка должна передавать-
ся только в зашифрованном виде и подписываться ЦП. На техническом уровне должна быть обеспечена возможность предварительной автоматической проверки зашифрованности сообщения и наличия ЦП. При этом сообщения, переданные с нарушением этого требования, должны автоматически отклоняться. На административном уровне должна быть обеспечена сохранность секретных ключей. Недопустимо, чтобы секретный ключ хранился в открытом виде на рабочей станции исполнителя. Комично выглядит ситуация, когда технические службы банка предпринимают значительные усилия для закрытия каналов связи, а секретные ключи хранятся на рабочей станции, не защищенной паролем в папке с названием "Секретные ключи". Режим хранения и использования секретного ключа и ЦП должен быть предметом анализа при проведении проверок удаленных подразделений банка, проводимых службой внутреннего контроля.
2.1.3. Информационная безопасность рабочих станций
Информационная защита персонального компьютера или, если речь идет о сетевой структуре, рабочей станции, связана в основном с обеспечением недоступности данных для прочтения посторонним лицом. Основа защиты - дисциплина самого пользователя. Ограничение доступа в помещение, в котором установлен компьютер, содержащий конфиденциальную информацию, может решить много проблем безопасности. Второй уровень - идентификация пользователя. Выше обсуждался вопрос о необходимости наличия пароля для входа в BIOS. Пароль программы - экранной заставки с автоматическим ее запуском через несколько минут неактивности пользователя также может оградить информацию в компьютере от случайных взглядов. Разумеется, эти меры не предотвратят взлом компьютера профессионалом.
Для создания системы противодействия профессиональному взлому требуется профессиональный подход. Ограничимся обсуждением лишь нескольких ключевых моментов.
Защита файлов на персональном компьютере средствами, предоставляемыми стандартными и широко используемыми программами типа Microsoft Office, разумеется, дают некоторый эффект, но не предоставляют полной защиты. Следует помнить, что в настоящее время в Интернете и на имеющихся в продаже пиратских дисках есть множество программ взлома стандартных средств защиты. Иллюзия недоступности информации, которая создается в результате непрофессиональной оценки возможности ее несанкционированного использования, значительно опаснее, чем
использование информации без защиты, но с соблюдением соответствующих мер предосторожности. Например, многие неискушенные пользователи полагают, что удаленный файл или элемент базы данных перестает существовать физически, в то время как в большинстве случаев удаление происходит лишь на логическом уровне, а сам файл остается без изменений. Даже в составе повсеместно используемой программы Norton Commander имеются средства, позволяющие восстановить удаленный файл, а имеющиеся в распоряжении профессионалов средства позволяют сделать это гораздо эффективнее. Поэтому удаление особо конфиденциальной информации должно производиться "смыванием" ее с диска при помощи специальных программ или, что не менее эффективно, таким редактированием, при котором все символы текста заменяются, например, нулями. Восстановление файлов, удаленных просто нажатием клавиши F7 или отправленных в корзину операционной системы Windows, чрезвычайно результативно даже по прошествии достаточно длительного времени. С точки зрения обеспечения безопасности хранимой информации только криптографическое преобразование файлов может дать более или менее полную гарантию.
Предоставляемая различными операционными системами возможность делать локальные компьютерные ресурсы доступными из сети, наряду с несомненным удобством в организации работы для групп пользователей, влечет и определенные риски, связанные с тем, что информация на персональном компьютере становится доступной извне. При этом при небрежном или неумелом распределении ресурсов рабочей станции доступным может стать и то, что доступным быть не должно.
Вот некоторые правила, которые должны соблюдаться каждым пользователем для обеспечения минимального уровня безопасности информации, располагающейся на его рабочей станции.
Ресурсы общего доступа, если необходимость в них имеется, должны храниться на одном жестком диске, на котором не должно быть секретной информации и это не должен быть диск С.
Необходимо ежедневно контролировать отсутствие изменений в системных областях дисковой памяти своего компьютера (например при помощи антивирусной программы).
Необходимо ежедневно контролировать, какие ресурсы рабочей станции открыты для использования из сети.
Перед началом сеанса модемной связи (подключения к публичным сетям) необходимо закрыть все файлы, содержащие секретную информацию.
Задачи внутреннего контроля в вопросах обеспечения информационной безопасности банка, ра-
зумеется, не включают в себя создание всего комплекса описанных мер. Этим должны заниматься специалисты по информационным технологиям и по банковской безопасности. Контролеру необходимо иметь в виду, что часто "дыры" в системе информационной безопасности банка появляются на стыке банковских технологий, как в приведенном выше примере хранения секретного ключа в незащищенном месте или как в случае передачи финансового сообщения по незащищенной связи.
Контролер обязан определить перечень направлений для проявления повышенного внимания, проверить, охватывают ли принятые меры все возможные факторы риска, адекватно оценить степень защищенности и определить необходимые меры по обеспечению информационной безопасности банка. Приведенная в приложении анкета внутреннего контроля для оценки безопасности информационных систем поможет ему в этом.
Приложение
Анкета внутреннего контроля для оценки безопасности информационных систем
№ п.п. Контрольная позиция ВЕС
Раздел I. Политика безопасности Банка в области информационных систем
1. Правление приняло изложенную в письменном виде политику безопасности в области информационных систем 1
2. Политика безопасности включает перечень конкретных задач, направленных на снижение рисков информационных систем (ИС)
3. Каждая задача, поставленная в политике безопасности, имеет ответственного за ее исполнение.
4. Политика безопасности в области информационных систем обновлялась в текущем году.
5. Политика безопасности в области информационных систем включает политику безопасности в области передачи информации
6. Политика безопасности в области информационных систем включает политику безопасности в области хранения информации
7. Политика безопасности в области информационных систем доведена до исполнителей
Раздел II. Процедура принятия решений
8. В банке существует единый коллегиальный орган, отвечающий за принятие решений и нормативных документов в области информационных технологий
9. Установлена процедура контроля за исполнением принятых решений
10. Принятие решений, связанных с обеспечением безопасности информации, входит в компетенцию органа п.8
М. Все решения и нормативные документы в области информационных технологий обязательны для удаленных площадок и филиалов
12. Все решения и нормативные документы в области безопасности информации обязательны для удаленных площадок и филиалов.
13. Изменение порядка хранения и передачи информации не входит в компетенцию одного из менеджеров Банка
Раздел III. Наличие нормативных документов
Разработаны и внедрены следующие процедуры:
14. выбор и закупка аппаратного оснащения ИС 1
15. выбор и закупка программного обеспечения (ПО) у сторонних фирм и разработчиков 1
16. разработка и модификация ПО 1
17. внедрение ПО 1
18. резервное копирование актуальных данных и хранение копий 3
19. обеспечение непрерывной работы и восстановление функционирования ИС в случае возникновения программных и аппаратных сбоев, а также форс-мажорных обстоятельств (стихийных бедствий и т.п.) 3
20. предоставление доступа в помещения, в которых расположены сервера, устройства хранения информации коллективного пользования 2
21. предоставление доступа к ресурсам ИС 1
22. прием/передача информации из банковской ИС на внешние носители и во внешние сети 3
23. антивирусная защита 2
24. порядок обмена финансовой информацией между удаленными площадками и филиалами 2
25. порядок обмена финансовой информацией между подразделениями, находящимися на одной площадке 2
26. порядок пополнения клиентских счетов, ведущихся на одной площадке (филиале) по распоряжениям из другой площадки (филиала) 2
27. порядок проведения операций по переводу активов, принадлежащих банку и его клиентам при передаче клиентских распоряжений по системам удаленного доступа к счетам 2
Разработаны и внедрены следующие внутренние стандарты:
28. аппаратные средства оснащения ИС
29. сетевые ОС
30. системы управления базами данных (СУБД)
31. средства разработки ПО
32. почтовое ПО
33. ПО рабочих станций
'чзработаны и внедрены функциональные инструкции:
34. администратор баз данных (БД)
35. администратор доступа
36. оператор почтовых машин
37. пользователь ИС
Раздел IV. Содержание нормативных документов
Существующая организационная структура предусматривает:
38. наличие единой службы разработки ПО
39. наличие единой службы внедрения и сопровождения ПО
40. наличие единой службы администрирования БД для всех подсистем ИС
41. наличие единой службы администрирования доступа для всех подсистем ИС
42. разделение полномочий разработчиков ПО и администраторов БД
43. разделение полномочий администраторов БД и администраторов доступа ИС Процедура выбора и закупки аппаратного оснащения ИС предусматривает:
44. проведение тендеров
Процедура закупки ПО у сторонних фирм и разработчиков предусматривает:
45. проведение тендеров
46. передачу исходных текстов прикладного и специализированного ПО
47. соглашение о сопровождении закупленного ПО в течение всего срока эксплуатации Процедура разработки и модификации ПО:
48. включает положение об использовании исключительно лицензионных средств разработки
49. исключает доступ разработчиков к актуальным данным
50. включает положение о запрете использования в процессе разработке копий актуальных данных
51. включает порядок подготовки для разработчиков моделей данных, не содержащих банковскую и коммерческую тайну
52. включает порядок ответственного хранения исходных текстов и библиотек, используемых при окончательной компиляции исполняемых модулей
53. предусматривает ведение истории модификации ПО Процедура внедрения ПО предусматривает:
54. обязательное наличие этапов тестирования и опытной эксплуатации
55. проведение тестирования ПО на объемах данных и транзакций, близких к актуальным
56. документирование всех выявленных ошибок и сбоев в работе ПО
57. наличие акта сдачи-приемки ПО в эксплуатацию
58. установку ПО в эксплуатацию на основании документа установленного формата
59. предусматривает документирование всех произведенных изменений в ПО
60. наличие документации на внедряемое ПО
61. Документация на внедряемое ПО включает параметры, позволяющие оценить целостность отдельных программных модулей и библиотек (дата/время создания файла, размер, контрольные суммы и т.п.)
62. Все документы по внедрению ПО, находятся на ответственном хранении 1 Процедура резервного копирования актуальных данных и хранения копий обеспечивает:
63. ежедневное копирование основных баз данных (счета, платежи, клиенты, договора) 2
64. хранение резервных копий в течение 3 дней 3
65. хранение резервных копий в течение 1 недели 2
66. хранение резервных копий свыше 1 недели 1
67. ответственное хранение и учет носителей резервных копий данных 2 Процедура обеспечения непрерывной работы и восстановления функционирования ИС предусматривает:
68. наличие "горячего резерва" основных подсистем ИС 1
69. наличие "холодного резерва" ИС 2
70. наличие резервных каналов связи 1
71. наличие резервных линий электропитания 2
72. обязательное использование источников бесперебойного питания для серверов и почтовых автоматов 2
Процедура предоставления доступа в помещения, в которых расположены сервера, устройства хранения информации коллективного пользования предусматривает:
73. наличие актуального списка сотрудников, имеющих доступ в эти помещения
74. оборудование этих помещений кодовыми замками
Процедура предоставления доступа пользователям к ресурсам ИС включает:
75. перечень объектов доступа ИС
76. механизм внесения изменений в перечень объектов доступа
77. механизм назначения ответственных за предоставление доступа
78. конкретный перечень ответственных за предоставление доступа к каждому объекту доступа
79. требование наличия уникальных сетевых имен у каждого пользователя
80. требование наличия пароля у каждого сетевого имени
81. требование периодической смены паролей пользователей
82. требование блокировки сетевого имени на время отсутствия пользователя на рабочем месте
83. требование обязательного изменения полномочий доступа при изменении служебных обязанностей пользователя
84. персональную ответственность пользователей за хранение индивидуальной парольной и ключевой информации
85. порядок хранения документов, отражающих полномочия доступа пользователей Процедура приема/передачи информации из банковской ИС на внешние носители и во внешние сети предусматривает:
86. разрешительную систему работы выхода во внешние сети для пользователей ИС
87. разрешительную систему работы пользователей ИС с внешними носителями информации (НГМД, стримеры и т.п.)
88. персональную ответственность за использование ПО для выхода во внешние сети и копирование информации на внешние носители
Процедура антивирусной защиты ресурсов ИС предусматривает:
89. обязательный антивирусный контроль ПО, устанавливаемого в ИС
90. ежедневный антивирусный контроль программной среды серверов и рабочих станций ИС
91. обязательный контроль входящих/исходящих документов в форматах МБОАПсе на предмет наличия макро-вирусов
92. периодическое обновление версий антивирусного ПО
Функциональные инструкции сотрудников, ответственных за разработку и эксплуатацию ПО включают:
93. точное определение зон ответственности I
94. квалификационные требования I
95. положение о передаче полномочий в случае увольнения или перехода на другую работу I
Раздел V. Контроль состояния ИС
96. Максимальными полномочиями на уровне ОС (root, supervisor) обладают сотрудники только одного подразделения банка
97. Все пользователи ИС имеют уникальные сетевые имена
98. Все сетевые имена имеют пароли
99. Минимальная длина пароля составляет 5 символов
100. Все пароли подлежат обязательной смене не реже 1 раза в 3 месяца
101. Реализована функция блокировки сетевого имени при попытке подбора пароля
102. Используются функции контроля стойкости паролей
103. Блокируются сетевые имена сотрудников, находящихся в отпуске, командировке и т.п.
104. Блокируются сетевые имена сотрудников при изменении их функциональных обязанностей Существующая система управления доступом:
105. исключает доступ пользователей к БД в обход штатных приложений 2
106. обеспечивает разграничение доступа к информации о счетах и платежах на уровне отдельных
счетов и групп счетов 2
107. обеспечивает разграничение доступа к информации о клиентах на уровне отдельных клиентов и
групп клиентов 2
108. обеспечивает разграничение доступа к БД договоров на уровне отдельных договоров и групп договоров 2
109. обеспечивает разграничение доступа к осуществлению транзакций 3
Подсистемы регистрации позволяют регистрировать следующие события:
110. начало сеанса работы пользователя
111. окончание сеанса работы пользователя
112. начало работы программы
113. окончание работы программы
114. просмотр, открытие, закрытие, модификация счета
115. просмотр, ввод, удаление, модификация транзакции
116. просмотр, открытие, закрытие, модификация договора
117. просмотр, ввод, удаление, модификация данных о клиенте
118. Срок хранения архивов системных журналов доступа составляет не менее 3 лет. Подсистема контроля целостности:
119. обеспечивает контроль целостности ПО серверов ИС 2
120. обеспечивает контроль ПО рабочих станций пользователей 2
121. обеспечивает антивирусный контроль всего ПО, устанавливаемого в ИС 1
122. обеспечивает контроль целостности основных БД (счета, платежи, договоры, клиенты) 1
123. обеспечивает контроль целостности баз данных доступа 1 Принятые правила электронного документооборота при передаче и приеме финансовых сообщений обеспечивают:
124. шифрование передаваемого сообщения одним из современных криптостойких алгоритмов; 1
125. снабжение передаваемых сообщений электронно-цифровой подписью 2
126. отсутствие возможности выполнить распоряжение, переданное в незашифрованном виде или без электронно-цифровой подписи 2
127. отсутствие возможности выполнить распоряжение, переданное по открытым каналам связи (факс, телекс и проч.) 2
Раздел V. Функции службы внутреннего контроля в части контроля состояния ИС
128. Контроль реализации мероприятий, направленных на снижение рисков ИС входит в зону ответственности СВК 2
129. Контроль соблюдения внутренних стандартов и инструкций в области безопасности информации
входит в зону ответственности СВК 2
130. Все нормативные документы, касающиеся технологий обработки информации, проходят согласование в СВК.1
131. Все нормативные документы, касающиеся безопасности информации, проходят согласование в СВК 1
132. СВК имеет доступ ко всем данным ИС без возможности их корректировки (только на просмотр) 1
133. СВК разработан план мероприятий по контролю рисков ИС 1
134. СВК проводит не реже 1-го раза в квартал оценку уровня безопасности ИС 1
135. СВК готовит отчет о состоянии безопасности ИС не реже 1-го раза в квартал 1
136. СВК проводит проверки состояния уровня безопасности ИС филиалов и удаленных площадок не реже
1 раза в год 1 СВК осуществляет контроль:
137. соблюдения стандартов и нормативов на этапах разработки и внедрения ПО 1
138. функционирования подсистем управления доступом 1
139. полноты и целостности баз доступа 1
140. соответствия полномочий доступа пользователей их служебным обязанностям 1
141. соответствия реальных полномочий пользователя разрешенным 1
142. целостности программной среды ИС 1
143. целостности данных ИС 1
144. соблюдения процедур резервного копирования 1
145. функционирования средств антивирусной защиты 1
146. сохранности архивов с журналами доступа 1
147. соблюдения регламента резервного копирования баз данных информационных систем 1
148. соблюдения правил электронного документооборота при отправке и приеме финансовых сообщений I
( Продолжение следует)
