Дистанционное банковское обслуживание

Дистанционное банковское обслуживание

Введение

Современный этап развития банковской деятельности в России, а это последние 10–12 лет, и в особенности начало XXI в., отмечен лавинообразным распространением технологий дистанционного банковского обслуживания (ДБО), объединяемых также понятием «электронный банкинг». Существует уже десятка полтора основных вариантов ДБО на основе различных телекоммуникационных систем или информационно-телекоммуникационных сетей, если использовать терминологию Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», начиная с многофункциональных банкоматов и POS-терминалов и заканчивая интернет-банкингом и технологиями мобильного банкинга, использующими беспроводной доступ к Всемирной сети посредством WAP-, SMS-, GPRS-, Wi-Fi– и т. п. «банкинга» [1] . Тенденция к трансформации банковской деятельности в немалой степени обусловливает усложнение ее содержания; отход от ее традиционной интерпретации как только совершения банковских операций и сделок неизбежно происходит вместе с внедрением кредитными организациями наиболее современных банковских информационных технологий, видов и способов предоставления банковских услуг. Именно виды и способы информационного взаимодействия кредитных организаций с их клиентами в процессе банковского обслуживания наряду с новыми условиями, в которых это взаимодействие реализуется, стали спецификой ДБО.

Одним из важнейших следствий распространения ДБО является необходимость совершенствования корпоративного управления в кредитных организациях, напрямую связанного с интенсивным внедрением новых технологий банковского обслуживания клиентов.

Возникновение дополнительных источников и факторов банковских рисков вызывается внедрением информационных технологий, основанных на распределенных компьютерных системах, нередко использующих к тому же принципы «открытых систем» и универсальных протоколов сетевого и межсетевого взаимодействия. Поэтому при использовании технологий электронного банкинга в кредитных организациях, а особенно – банковских, целесообразно пересматривать внутрибанковские процессы с тем, чтобы управление и контроль в таких организациях, во-первых, были явно ориентированы на подобные технологии, во-вторых, оставались адекватны пруденциальным принципам банковской деятельности и, в-третьих, оставались эффективными. Какими бы ни были технологические нововведения в банковской деятельности, они не должны оказывать негативного влияния на выполнение кредитными организациями банковских операций, равно как на надежность, устойчивость и безопасность этих организаций. То же самое относится и к защите интересов клиентов кредитных организаций и к выполнению последними взятых на себя конкретных обязательств (обеспечение доступности дистанционных сервисов, «обещанной» клиентам в договорах на обслуживание, полнофункциональности, своевременности предоставления услуг, информационной безопасности и т. д.). Наконец, внедрение в банковскую практику систем ДБО не должно приводить к нарушениям полноты и целостности функций внутреннего контроля в кредитных организациях и аудита (как внутреннего, так и внешнего), равно как не должно создавать дополнительных проблем органам банковского (в общем случае – финансового) контроля.

Необходимо осознание того, что если содержание банковского дела с внедрением новых технологий банковского обслуживания в основном остается неизменным, то способы и условия осуществления банковской деятельности могут измениться в современных условиях радикально. В целом ряде случаев, как показывают исследования, проведенные за последние несколько лет в российском банковском секторе, для решения таких задач требуются и новые подходы, подкрепленные методологическими и организационно-техническими инновациями. Сегодня радикальные перемены назрели и в столь традиционно «консервативной» сфере, какой является банковский сектор. Наиболее серьезные изменения связаны с внедрением в практику управления и контроля банковской деятельности риск-ориентированного и процессного подходов, которым посвящен специальный раздел этой книги. Очевидной стала потребность в пересмотре парадигмы управления деятельностью кредитных организаций и контроля над ее осуществлением. Новые подходы позволяют наиболее успешно реализовать концепции клиент-ориентированного бизнеса и управления по целям (результатам) и являются эффективным средством решения стратегических задач, стоящих перед конкретным банком и банковской системой в целом.

Неизбежным следствием этих инноваций становится модернизация внутрибанковской деятельности, т. е. организация новых процессов и адаптация уже действующих к происходящим изменениям. Однако совершенно очевидно (и практика подтверждает это), что сама собой такая модернизация произойти не может. Вместе с принятием решения о переходе к ДБО целесообразно принятие адекватных мер по адаптации внутрибанковских процессов управления и контроля к новым условиям банковской деятельности. Для этого (как, впрочем, при внедрении любой новой технологии) требуется некая идеология, принятая на уровне кредитной организации в целом и реализуемая ее органами управления при каждом технологическом (и техническом) «перевооружении» организации. Это своего рода метапроцесс циклической адаптации основных внутрибанковских процессов, цикличность которой определяется темпами технологических и технических нововведений. В отсутствие соответствующего методологического подхода вновь внедряемые технологии могут неожиданно стать серьезной проблемой как для операционных и обеспечивающих подразделений кредитной организации, так и для ее руководства.

Изменение используемых кредитной организацией технологии банковского обслуживания требует радикальных инноваций сначала в «осознании» сути происходящего, а затем – в содержании и организации внутрибанковских процессов. При этом оказывается необходимой разработка совершенно новых процессов, которых ранее просто не существовало. Безусловно, определяющим фактором при этом должно являться сохранение управляемости и контролируемости банковской деятельности, невзирая на ее переход в виртуальное пространство. Вопрос заключается в том, какие именно управленческие процессы необходимо разработать, внедрить, сопровождать и контролировать в таких условиях. Примером может служить целесообразность организации новых и адаптации действующих внурибанковских процессов при внедрении технологии интернет-банкинга: требуется целая совокупность новых внутрибанковских процедур только для того, чтобы организовать, сопровождать, вести, модернизировать и контролировать web-сайты, используемые кредитной организацией в качестве своих информационных, коммуникационных или операционных представительств в Сети. Причем состав этих процедур, их содержание и специфика различаются при размещении web-сайта в самой кредитной организации, на аппаратно-программных комплексах его разработчика, у интернет-провайдера и в других вариантах. То же самое можно сказать о внедрении технологий мобильного банкинга и мобильных платежей.

Эти проблемы в течение длительного времени не считались актуальными, поскольку компьютеризация банковской деятельности на системном уровне вообще не воспринималась как процесс превращения этой деятельности в преимущественно информационную. Причиной этого стал, вероятнее всего, принципиальный разрыв между привычным содержанием традиционной банковской деятельности и ее новыми формами, вызванными к жизни техническим прогрессом и конкуренцией в банковском секторе. Поэтому осознание значимости происходящих в этой деятельности перемен хронически запаздывало по сравнению с темпами внедрения в кредитных организациях информационных технологий и реализующих их автоматизированных систем, построенных на основе интернет-технологий).

Внедрение в финансовой сфере новых способов и условий осуществления банковской деятельности показало, особенно в последние годы, что профили риска кредитных организаций претерпевают существенное смещение вместе с переводом этой деятельности, как иногда говорят, в «киберпространство». Принципиальная причина этого заключается в невозможности для человека непосредственно наблюдать и контролировать процессы, происходящие в компьютеризованной среде. К сожалению, явление это общее, и общим же его следствием явились значительные ежегодные финансовые потери различных сообществ и граждан, обусловленные недостаточной надежностью различных компьютерных систем, инцидентами в сфере информационной безопасности и недостаточной квалификацией участников банковской деятельности, несовершенством ее технологического и технического обеспечения и другими подобными причинами.

Внедрение технологий электронного банкинга (практически независимо от их общего количества и функциональных особенностей) требует изменений в организационно-штатной структуре кредитной организации. С приходом отрытых компьютерных систем требуется перераспределение ответственности, обязанностей, прав, полномочий, подконтрольности и подотчетности конкретных руководителей и исполнителей различных уровней в структуре организации. Это касается целого ряда специальных служб: прежде всего подразделения, отвечающего за информационные технологии и (или) автоматизацию, внутренний контроль, обеспечение информационной безопасности и финансовый мониторинг. Перемены охватывают и документарное обеспечение их деятельности. Такие изменения инициируются, как правило, органами управления организации и реализуются соответствующими (достаточно специфическими) внутрибанковскими процессами и процедурами.

На сегодняшний день полнота, адекватность и качество бизнес-процессов в кредитной организации фактически начинают определяться новым принципом: «знай свои технологии» [2] . Без преувеличения можно сказать, что большинство внутрибанковских процессов реализуется в современных условиях не столько персоналом кредитной организации, сколько ее внутрибанковскими автоматизированными системами. Да и сам банк с точки зрения собственно выполнения банковских операций «и других сделок», о которых сказано в ст. 5 Федерального закона от 2 декабря 1990 г. № 395-1 «О банках и банковской деятельности», в значительной своей части представлен теперь не зданием с соответствующей вывеской и персоналом, а банковской автоматизированной системой (БАС) и хранилищем данных, доступ к которым обеспечивают как раз системы ДБО. В такой ситуации банк оказывается не более чем «кирпичным интерфейсом» для клиента, служащим для оформления и инициации доступа к автоматизированной системе, которая, собственно, и выполняет все банковские операции «и другие сделки» (причем не обязательно в самой кредитной организации). Мало того, и сам доступ клиент осуществляет, выступая фактически в роли «операциониста», работающего с этой автоматизированной системой удаленно, что радикально меняет и характер взаимодействия кредитной организации с ним, и состав так называемых «зон ответственности» кредитной организации, и ее «периметр безопасности». Эти наблюдения тем более справедливы, что по состоянию на февраль 2009 г. многие кредитные организации применяют от двух до десяти систем ДБО различного или вариативного функционального назначения.

Сказанное относится к внесению изменений в любые банковские информационные технологии (внедрение новых или модификация действующих). Дело здесь не только в технологиях электронного банкинга, но и, что не менее важно, в тех информационных системах, которые используются органами управления кредитной организации для принятия решений. Что касается технологий именно ДБО, то их применение предполагает прежде всего учет тех особенностей, которые сопутствуют или же могут сопутствовать их внедрению и применению, начиная с понимания сути происходящего во вновь формируемом виртуальном пространстве вместе с организацией управления не всегда очевидными процессами взаимодействия с клиентами (а это – изменение бизнес-модели как таковой) и заканчивая полнотой, своевременностью и адекватностью контроля над использованием новых технологий. Недостаточное осознание этой специфики может привести к возникновению проблем у кредитной организации в случаях массового дистанционного обслуживания с применением так называемой «сквозной обработки» (straight-through processing) при необходимости выявления «на лету» операций, подлежащих обязательному контролю (так называемых «подозрительных») и т. п.

Новые опасности связаны с использованием высоких технологий, в том числе и электронного банкинга, для противоправной деятельности. Достаточно напомнить, что в последние три года за нарушения законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма более ста отечественных кредитных организаций лишились лицензий на осуществление банковских операций, что явно свидетельствует о смещении профиля риска кредитной организации и о том, что оценки кредитного, рыночного и других рисков, принимаемых ею, уже никого не интересуют. При этом любая кредитная организация, дистанционно предоставляющая банковские услуги, может оказаться вовлеченной в подобную противоправную деятельность только из-за того, что ее руководство недостаточно адекватно представляет себе возможные осложнения при использовании новых технологий.

Уместно отметить такие существенные особенности в информационном обеспечении или поддержке принятия решений относительно внедрения и применения технологий ДБО. Зачастую представители высшего руководства кредитных организаций имеют достаточно отдаленное представление о том, как конкретно реализуется «электронный банкинг» в каждом из уже достаточно многочисленных своих вариантов и как реализующие его процессы могут сказаться на итогах и эффективности банковской деятельности в целом. В результате органы управления кредитной организации не имеют необходимой информации как о собственно той или иной технологии ДБО (а такая информация, как правило, сложна для восприятия при отсутствии соответствующей ей специальной квалификации), так и о том, какие условия применения определенной технологии могут считаться пруденциальными. Очевидно, что дефицит информационного обеспечения управления кредитной организацией по этим вопросам может оказаться критическим для принятия эффективных решений.

В результате внедрение технологий ДБО стало приводить к неконтролируемому смещению профилей ряда типичных банковских рисков – операционного, правового, репутационного, ликвидности (который ввиду специфики денежного обращения в условиях ДБО преобразовался в риск неплатежеспособности [3] ) и стратегического. При этом причины смещения профилей рисков оказываются далеко не всегда очевидны для специалистов в области банковского дела, поскольку являются в основном технологическими и техническими, а содержание смещений далеко не всегда очевидно для технических специалистов, отвечающих за технологическое и техническое обеспечение. Поэтому необходимо подчеркнуть, что в настоящее время без учета конкретных проявлений смещения профиля риска в условиях ДБО эффективное управление банковской деятельностью и контроль над ее осуществлением и результатами вряд ли возможны. Такой учет целесообразен в рамках процессного подхода в корпоративном плане, поскольку многие кредитные организации нередко используют одновременно несколько достаточно разнородных, хотя и технологически схожих систем ДБО (интернет-банкинг, интернет-трейдинг, мобильный банкинг и т. п.), что предполагает также комплексный анализ влияния потенциально сопутствующих каждой из этих систем ДБО негативных факторов (источников риска) на банковскую деятельность кредитных организаций.

Практически любая система ДБО представляет собой своего рода «виртуальные ворота» к информационно-процессинговым ресурсам кредитной организации. Поэтому система ДБО должна гарантировать уверенность, что доступ к ресурсам имеет только, и исключительно, легитимный (известный, официально зарегистрированный) клиент или другой пользователь (оператор), действующий в рамках строго определенных для него прав и полномочий. Как показывает практика, без понимания этого уровни банковских рисков, принимаемых на себя кредитной организацией, могут неоправданно повышаться.

Акцент на внутрибанковских процессах и на среде, в которой они реализуются, не случаен. Результаты банковского надзора в области электронного банкинга свидетельствуют, что эффективность применения сложных современных технологий банковского обслуживания, основанных на распределенных компьютерных системах, сети Интернет, мобильных компьютерных системах и т. д., равно как и парирование новых, связанных непосредственно с такими способами обслуживания клиентов кредитных организаций факторов банковских рисков, непосредственно зависит от условий, в которых применяются указанные технологии. Тем более что, как свидетельствует практика, далеко не все кредитные организации осознают и учитывают возможное влияние технологий ДБО на принимаемые и поддерживаемые ими бизнес-модели и стратегические планы. Отсутствие такого учета может обусловить воплощение банковских рисков в реальные финансовые потери (если в кредитной организации относятся к своим компьютерным технологиям без должного внимания).

В условиях всеобщей компьютеризации банковской деятельности велика опасность образования разрывов в общих процессах управления и контроля кредитной организации, использующей разные варианты ДБО, каждому из которых сопутствуют те или иные специфические источники и факторы риска. При этом как состав, так и содержание управленческой информации, которая может потребоваться на разных уровнях менеджмента кредитной организации, зачастую определяется применяемыми банковскими технологиями. Изменения во внутрибанковских процессах и составляющих их процедурах неразрывно связаны с внедрением новых технологий банковской деятельности. В еще большей степени это верно для применения технологий электронного банкинга и реализующих их банковских автоматизированных систем.

1. Классификация технологий дистанционного банковского обслуживания

1.1. Классификация электронного банкинга по технологиям предоставления услуг

Дистанционное банковское обслуживание (дистанционный банкинг) можно разделить по клиентскому сегменту на две категории:

1) розничный дистанционный банкинг (consumer-banking ), ориентированный на обслуживание физических лиц;

2) корпоративный дистанционный банкинг (business-banking ), ориентированный на обслуживание корпоративных клиентов (юридических лиц).

Обе эти категории используют сходные или аналогичные условия предоставления дистанционных банковских услуг по технологии доступа и по оператору их предоставления. Услуги дистанционного банкинга как в России, так и в остальном мире предоставляются не только банковскими организациями, несмотря на наличие слова «банкинг». Вообще термин «дистанционный банкинг», например С GAP, трактуется более широко, чем предоставление дистанционных услуг банком. Например, как «инновационное использование информационных и коммуникационных технологий для предоставления финансовых услуг посредством каналов, альтернативных традиционным банковским филиалам и банкоматам» [4] . Более того, мировой опыт показывает, что лидерами большинства проектов мобильного банкинга являются операторы сотовой связи, а не финансовые учреждения. В свою очередь это подтверждает и российский опыт в сфере так называемых «электронных денег» [5] , а также в развитии сетей платежных терминалов, где лидерами выступают организации, не являющиеся банками. Хотя при этом и электронные деньги, и получение возможности проводить платежи через терминалы можно отнести к услугам дистанционного банкинга.

В этой связи дистанционное банковское обслуживание можно разделить по оператору предоставления услуг:

• банковский дистанционный банкинг;

• небанковский дистанционный банкинг.

Дистанционный банкинг можно разделить на две категории по характеру предоставления услуг, в зависимости от того, ведет ли использование системы к выполнению финансовой транзакции или нет. Эта классификация представлена на рис. 1.1.

Рис. 1.1. Структура дистанционного банкинга

Информационный банкинг направлен на предоставление пользователям финансовой информации, например получение выписки, получение информации о последних операциях, SMS-информирование о каждой транзакции и т. п. Транзакционный банкинг позволяет проводить финансовые транзакции, в результате которых происходит зачисление или списание реальных денежных средств, например платежи, переводы со счета или без открытия счета, управление счетом и т. п.

1.1.1. Информационный банкинг

Информационный банкинг может быть классифицирован по технологии предоставления услуг. Наиболее часто можно встретить пять основных каналов получения пользователем информации, хотя на самом деле их может быть больше, все ограничено только возможностями банка или иной финансовой организации (рис. 1.2).

Рис. 1.2. Виды информационного банкинга

SMS – наиболее часто встречающаяся технология предоставления клиенту финансовой информации. Мобильный телефон стал действительно повсеместно используемым устройством, а самое главное, он всегда находится у клиента. Обычно посредством SMS передается информация о выполнении (невыполнении) финансовой транзакции, а также другая информация, не требующая подробного описания, так как эта технология технически ограничена небольшим количеством символов.

E-mail – эта технология обычно сопровождает финансовые услуги, предоставляемые посредством сети Интернет. Посредством электронного письма можно передавать практически любую информацию о финансовых услугах, и что немаловажно – представлять ее в более «красивом виде». Но при этом, в связи с огромным количеством спама, не факт, что клиент получит и прочитает письмо, а не удалит его как очередную рекламную рассылку.

Интернет – наиболее интерактивный вид информационного банкинга, позволяющий, в отличие от других, обеспечить обратную связь с клиентом в режиме онлайн. В свою очередь эта технология информационного банкинга разделяется на общедоступную финансовую информацию (услуги, тарифы, условия обслуживания и т. п.) и персональную финансовую информацию (остаток счета, выписка по счету и т. п.). В этой связи для предоставления клиенту персональной информации требуется его идентификация на сайте, что чаще всего происходит путем присвоения клиенту логина и пароля, посредством которых он получает доступ в «личный кабинет», где ему предоставляется нужная информация.

Телефон – так же, как и SMS, – наиболее доступный вид информационного банкинга для любых клиентов, но в отличие от последнего намного менее удобный и более затратный. Посредством звонка в call-центр клиент может получить как общедоступную финансовую информацию (услуги, тарифы, условия обслуживания и т. п.), так и персональную (остаток счета, информацию о проведенных операциях и т. п.). Так же, как и для предыдущей технологии, получение доступа к персональной информации требует идентификации клиента, что достигается обычно с помощью пароля. В свою очередь технология предоставления информационного банкинга посредством телефона может предполагать как использование автоматического режима, так и беседу с оператором.

Доставка бумажного документа, несмотря на явный архаизм технологии и ее дороговизну, остается достаточно востребованной. Многие клиенты просят присылать им ежемесячные выписки по почте, организации присылают по почте информацию о новых услугах и тарифах. В отличие от SMS или электронного письма классический бумажный конверт является более весомым инструментом взаимодействия с финансовой организацией.

1.1.2. Транзакционный банкинг

Транзакционный банкинг также может быть классифицирован по технологии предоставления услуг, основные из которых представлены на рис. 1.3.

Рис. 1.3. Виды транзакционного банкинга

С точки зрения технологии предоставления услуг можно выделить четыре вида дистанционного банкинга: телефонный банкинг, терминальный банкинг, интернет-банкинг, мобильный банкинг.

Телефонный банкинг – предоставление дистанционных финансовых услуг посредством обычного телефонного подключения. Несмотря на то что в качестве клиентского устройства может выступать мобильный телефон, эта технология все равно остается телефонным банкингом до тех пор, пока не используются специфические технические решения, свойственные мобильному банкингу, о чем будет рассказано далее. Телефонный банкинг также подразделяется по технологии организации взаимодействия на три основные составляющие.

IVR (interactive voice response)  – интерактивная информационная система, используемая для обработки обращений клиентов. Функционал IVR позволяет как предоставлять информацию в режиме реального времени, так и производить обработку команд (распоряжений) клиентов. Инструментом введения команд, как правило, является кнопка тонового набора на телефонном аппарате. Нажатие определенных комбинаций клавиш в режиме тонового набора позволяет вводить цифровые команды в ответ на голосовые подсказки системы дистанционного телефонного обслуживания.

Голос (голосовой банкинг)  – устаревшая система взаимодействия финансовой организации и клиента, предполагающая «живой» диалог. В то же время продолжается ее использование во многих организациях, наиболее часто клиент может ее встретить при блокировке утерянной платежной карты. Для идентификации клиента в большинстве случаев используется словесный пароль, называемый клиентом и проверяемый оператором, также могут использоваться и дополнительные идентификаторы, например данные документа, удостоверяющего личность, адрес и т. п. Для большей защиты от несанкционированного доступа клиент может быть ограничен телефонным номером, с которого он может дать распоряжение банку. Номер проверяется автоматическим определителем номера или обратным звонком оператора клиенту. Еще буквально десяток лет назад, до развития интернет-трейдинга, этот вид дистанционного обслуживания был практически единственным для работы на фондовом рынке, и клиенты отдавали распоряжения своим брокерам по телефону.

ЭВМ (системы «клиент – банк»)  – еще один вид дистанционного обслуживания, теряющий свои позиции под напором интернет-технологий, в частности проигрывая интернет-банкингу. Системы «клиент – банк» предполагают прямую связь компьютера клиента и сервера банка, например, посредством модемной связи. С развитием широкополосного доступа в Интернет клиенты в массовом порядке переходят на системы интернет-банк. Так как системы «клиент – банк» в основном используют юридические лица, а их пользователями выступают бухгалтерские подразделения, во многом достаточно консервативные, это дает возможность системам «клиент – банк» существовать еще какое-то время. Эти системы продолжают достаточно активно использоваться в регионах, где широкополосный доступ в Интернет пока еще не стал стандартом. В целом проблемы с внедрением разнообразных форм дистанционного банковского обслуживания скорее субъективны, что подтверждается исследованиями НАФИ (телефонное интервью в 22 городах-миллионниках по 2500 предприятиям малого и среднего бизнеса, из которых 55 % относятся к сфере малого бизнеса). С результатами опроса можно ознакомиться на рис. 1.4 [6] .

Рис. 1.4. Отношение к использованию ДБО со стороны 2500 предприятий малого и среднего бизнеса

Терминальный банкинг – вид дистанционного банкинга, наиболее широко используемый населением. Трудно встретить человека, который хоть раз не оплачивал мобильную связь через платежные терминалы. Эти устройства расставлены по территории России уже сотнями тысяч и добрались туда, где нет и в ближайшее время не будет банковских отделений. Сейчас на рынке со значительным отрывом преобладают небанковские платежные терминалы, хотя многие банки начинают собственные проекты по установке устройств самообслуживания. При этом банки часто ориентируются не на простейшие устройства, позволяющие произвести платеж наличными за различные услуги, а устанавливают многофункциональные банкоматы. Такие банкоматы позволяют получить наличные по карте, обменять валюту, осуществить различные платежи как наличными, так и с помощью платежной карты, отправить перевод с карты на карту и т. п. Клиент известен (произведена предварительная идентификация клиента)  – эта разновидность дистанционного банкинга чаще всего используется банками в устройствах самообслуживания и предполагает наличие счета клиента в банке и идентификацию владельца счета. В этом случае клиент при помощи своей идентификационной карты, роль которой может выполнять и обычная платежная карта, и специального ПИН-кода получает доступ к управлению счетом. Наличие карты не является обязательным условием, так как клиент может иметь только логин и пароль для доступа к управлению счетом. То, что клиент идентифицируется банком, позволяет ему не только управлять своим счетом, но и осуществлять платежи, внесенные наличными деньгами, по различным адресам, в том числе вводя произвольные банковские реквизиты. Также клиент может обменять практически любые суммы иностранной валюты, выполнить денежные переводы в пользу других физических лиц и произвести другие финансовые операции. Клиент, чья идентификация не была произведена, ограничен в операциях согласно п. 1.1 и 1.2 ст. 7 Федерального закона от 7 августа 2001 г. № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее – Закон о противодействии легализации доходов, полученных преступным путем):

«1.1. Идентификация клиента – физического лица, установление и идентификация выгодоприобретателя не проводятся при осуществлении организациями, осуществляющими операции с денежными средствами или иным имуществом, операций по приему от клиентов – физических лиц следующих платежей, если их сумма не превышает 30000 рублей либо сумму в иностранной валюте, эквивалентную 30000 рублей:

1) связанных с расчетами с бюджетами всех уровней бюджетной системы Российской Федерации (включая предусмотренные законодательством Российской Федерации о налогах и сборах федеральные, региональные и местные налоги и сборы, а также пени и штрафы);

2) связанных с оплатой услуг, оказываемых бюджетными учреждениями, находящимися в ведении федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации и органов местного самоуправления;

3) связанных с осуществлением платы за жилое помещение, коммунальные услуги, с оплатой услуг по охране квартир и установке охранной сигнализации, а также с осуществлением платежей за услуги связи;

4) связанных с уплатой взносов членами садоводческих, огороднических, дачных некоммерческих объединений граждан, гаражно-строительных кооперативов, оплатой услуг платных автомобильных стоянок;

5) связанных с уплатой алиментов.

1.2. При осуществлении физическим лицом операции по покупке или продаже наличной иностранной валюты на сумму, не превышающую 15 000 рублей либо не превышающую сумму в иностранной валюте, эквивалентную 15 000 рублей, идентификация клиента – физического лица, установление и идентификация выгодоприобретателя не проводятся, за исключением случая, когда у работников организации, осуществляющей операции с денежными средствами или иным имуществом, возникают подозрения, что данная операция осуществляется в целях легализации (отмывания) доходов, полученных преступным путем, или финансирования терроризма».

Клиент неизвестен (не произведена предварительная идентификация клиента) – большинство платежей в платежных терминалах производится без идентификации клиента. Учитывая, что подавляющее большинство операций – это пополнение счета мобильного телефона на сумму около 100 руб., такая ситуация не вызывает удивления. Как было указано ранее, без идентификации клиента можно производить достаточно ограниченный круг операций, хотя небанковские сети платежных терминалов с успехом обходят такого рода ограничения.

Интернет-банкинг – наиболее интересный сегмент дистанционного банкинга, позволяющий производить практически неограниченный спектр безналичных операций; к этому же сегменту можно отнести все системы электронных денег на базе интернет-сетей. Родоначальником систем интернет-банков являются системы «банк – клиент», которые первоначально были в основном предназначены для корпоративных клиентов. На компьютере пользователя устанавливалось специальное программное обеспечение, которое имело связь с банком, например, по модему. Интернет-банк в основном используют технологию «тонкого» клиента, т. е. для работы с этой программой достаточно стандартного браузера и любого компьютера в любой точке мира, подключенного к Интернету. Благодаря использованию этой технологии себестоимость удаленного обслуживания стремится к нулю, и системы интернет-банков используются в настоящее время не только юридическими лицами, но и частными клиентами. Как правило, для пользования интернет-банкингом пользователю необходимо иметь логин и пароль, а также компьютер для доступа в Интернет.

Мобильный банкинг – этот вид дистанционного банкинга, учитывая количество мобильных телефонов на руках населения, по праву может считаться наиболее перспективным на текущий момент. Найти сейчас человека, не имеющего мобильного телефона, так же трудно, как и не видавшего телевизор. Мобильная связь проникла во все уголки России, произведя телефонизацию всей страны. Но несмотря на это пока телефоны в своей основной массе используются для передачи голосового трафика, все остальные услуги, за исключением, пожалуй, SMS, занимают незначительную долю. Мобильный телефон в качестве терминала для доступа к дистанционным банковским услугам используется в четырех основных технологиях:

SMS (SMS-банкинг) позволяет проводить финансовые транзакции посредством команд, переданных при помощи SMS. Это наиболее простая система, совместимая со всеми моделями телефонов и работающая везде, где есть мобильная связь. При этом для клиента использование SMS-банкинга не самая удобная форма доступа к финансовым услугам из-за необходимости набирать большой объем текстово-цифровой информации, а также запоминать условные обозначения команд.

SIM-апплет – при использовании этого вида дистанционного банкинга платежное приложение записывается непосредственно на SIM-карту телефона и позволяет достаточно безопасно производить финансовые транзакции. Для использования этой технологии клиенту необходимо предварительно приобрести новую SIM-карту с установленным платежным приложением.

Мидлет – платежное JAVA-приложение, работающее в памяти мобильного устройства и позволяющее проводить финансовые транзакции в защищенном режиме. В отличии от предыдущей технологии менять SIM-карту не нужно, но при этом JAVA-приложение работает не на всех моделях мобильных телефонов.

WAP – по сути это интернет-банкинг для мобильного устройства, так как позволяет получить доступ к интернет-сайту финансовой организации, адаптированному для отображения на небольшом экране мобильного телефона. Работа с этим сайтом аналогична обычному интернет-банкингу с помощью компьютера.

Классифицировать все технологии дистанционного банкинга практически невозможно из-за их постоянного развития и быстрого появления новых технологий. Развитие технологий вызывает изменение традиционных видов предоставления банковских услуг, а также появление инновационных как по форме, так и по сути финансовых продуктов.

1.2. Анализ применения технологий дистанционного банковского обслуживания

В III квартале 2008 г. Банк России провел анкетирование кредитных организаций по вопросам применения технологий дистанционного банковского обслуживания [7] .

По данным, подготовленным Департаментом банковского регулирования и надзора и опубликованным Департаментом внешних и общественных связей Банка России, в анкетировании участвовали 1090 кредитных организаций из 77 регионов России. Результаты анкетирования свидетельствуют о том, что на практике применяются около 20 вариантов организации дистанционного банковского обслуживания. При этом различные технологии электронного банкинга используют 1042 кредитные организации (95,6 % принявших участие в анкетировании, т. е. абсолютное большинство). Не применяют ДБО только 48 кредитных организаций (4,4 %).

Подавляющее большинство кредитных организаций применяют широкий спектр технологий электронного банкинга. В 743 организациях (77,4 %) в эксплуатации находятся от 2 до 5, а в 71 (6,5 %) – от б до 10 разновидностей систем ДБО. Распределение кредитных организаций по числу таких технологий приводится на рис. 1.5.

Рис. 1.5. Распределение кредитных организаций по количеству используемых ими технологий дистанционного банковского обслуживания

Наибольшее распространение получили следующие варианты ДБО (рис. 1.6):

– с использованием систем «банк – клиент» – 1023 организации (94 %);

– с использованием систем денежных переводов без открытия банковского счета – 713 организаций (65 %);

– с применением программно-технических устройств, предназначенных для осуществления операций с использованием платежных карт, – 632 организации (58 %).

Что касается использования web-сайтов, то, по данным регламентной банковской отчетности (форма 0409070), кредитные организации используют в своей банковской деятельности от 2 до 12 web-сайтов различного функционального назначения, ориентированных также на различные группы клиентов (юридических или физических лиц, осуществляющих операции интернет-банкинга и с ценными бумагами, пользователей мобильного банкинга через портативные средства компьютерной связи – палмбуки или карманные персональные компьютеры, мобильные телефоны, коммуникаторы и т. п.).

Рис. 1.6. Результаты I этапа анкетирования кредитных организаций по вопросу применения технологий ДБО

2. Дистанционное предоставление банковских услуг

2.1. Интернет-банк

Дистанционное банковское обслуживание через Интернет, или так называемый интернет-банкинг (ИБ), появившееся в российском банковском секторе более десяти лет назад, стало сегодня одним из наиболее интересных и динамичных современных направлений развития банковских технологий. За последние годы ИБ превратился в средство массового удаленного предоставления банковских услуг российскими кредитными организациями. Вместе с этим в несколько раз выросло как число организаций – разработчиков специализированного программно-информационного обеспечения (ПИО) ДБО, так и количество внедренных ими такого рода проектов. При этом целый ряд кредитных организаций реализовал собственные проекты, в том числе систем ИБ.

Направление интернет-банкинга появилось и начало развиваться с 1995 г. в США. Его возникновение было обусловлено преимущественно действующими в этой стране ограничениями на открытие коммерческими банками своих филиалов в разных штатах. Первым коммерческим банком, который начал обслуживать своих клиентов через Сеть, был Security First Network Bank. Эта идея довольно быстро нашла отклик в Европе, а затем банковский интернет-сервис появился и в Российской Федерации. Это произошло в 1997 г. благодаря Гута-банку, хотя внедренная этой кредитной организацией система интернет-трейдинга еще не представляла собой полнофункциональное ДБО. Следующим лидером среди коммерческих банков в области клиентского интернет-обслуживания с 1998 г. стал Автобанк, так что указанный год можно считать отправным для ИБ. Дальнейший лавинообразный рост числа систем ИБ и пользующейся этой технологией клиентуры кредитных организаций привел к введению Банком России специальной формы банковской отчетности 0409070 и дополнению данными о ДБО формы 0409251. По данным первой из этих форм, количество программно-информационных комплексов ИБ росло быстро, и очень скоро рынок «насытился»: общее число таких комплексов достигло 100 [8] и начиная с 2006 г. незначительно колеблется около этого значения (1–2 системы теряют популярность, вместо них появляется столько же или чуть больше новых), что отражено на рис. 2.1 (два значения слева получены, соответственно, из публикаций средств массовой информации и по данным сплошного анкетирования, проводившегося Банком России в 2001 г.):

Рис. 2.1 . Динамика количества программных комплексов интернет-банкинга в российских кредитных организациях

В настоящее время число кредитных организаций, внедривших и внедряющих у себя этот вид обслуживания, перевалило за 950 (с учетом тех, которые не используют для предоставления услуг ИБ специализированные web-сайты), их число тоже не постоянно, поскольку время от времени некоторые из организаций теряют лицензию на осуществление банковских операций или проходят процедуры слияния с другими кредитными организациями, другие же вводят эту технологию в конкурентной борьбе и т. п. Количество клиентов ИБ для разных кредитных организаций варьируется очень широко: от нескольких сотен до 200 тыс., но в целом эта разновидность ДБО стала совершенно типичной для российского банковского сектора. Что касается общемировой практики, то, по оценкам зарубежных экспертов, к 2020 г. в Западной Европе 60 % клиентов кредитных организаций будут пользоваться технологией ИБ (сейчас это значение характерно в среднем только для наиболее «продвинутых» коммерческих банков), а в США этот уровень уже достигнут.

Российские кредитные организации достаточно долго экспериментировали с разными формами оперативного удаленного банковского обслуживания, которые объединялись понятием « on-line banking ». Как эксперименты, так и стационарное обслуживание осуществлялись преимущественно в «закрытых системах», в которых клиенты коммерческих банков получали доступ к банковским функциям при помощи так называемых «толстых клиентов» (специализированных программно-информационных модулей, устанавливаемых на персональные компьютеры клиентов), телефонного набора или разновидностей кабельных соединений. Любые системы такого рода неизбежно и существенно «ограничивают» реальную и потенциальную клиентскую базу кредитных организаций. Для доступа к нужной кредитной организации клиентам, находящимся вне региона ее дислокации, приходится либо становиться абонентами конкретной кабельной системы, либо оплачивать телефонные счета за дистанционные соединения; кроме того, несмотря на применение современных технологий банковского обслуживания, к которым относится и ДБО, кредитные организации вынуждены при этом на самом деле проявлять индивидуальный подход к каждому клиенту.

В настоящее время в области удаленного автоматизированного или компьютеризованного банковского обслуживания можно наблюдать следующие четыре тенденции:

• агрегация требований клиентуры кредитных организаций, их самих и корпоративных структур;

• сочетание возможностей корпоративного и розничного банковского обслуживания;

• создание корпоративных систем и модульная технология Plug-and-Play ;

• комбинация в системах ДБО возможностей «толстого» и «тонкого» клиента.

Развиваясь в этих направлениях, кредитные организации рассчитывают расширить как состав и способы предоставления банковских услуг, так и клиентуру ДБО.

Основными факторами, действующими в условиях применения технологии ИБ и повышающими уровни банковских рисков и смещающими их профили для кредитных организаций, являются:

1) «виртуальный» характер дистанционных банковских операций;

2) общедоступность «открытых» телекоммуникационных систем;

3) чрезвычайно высокая скорость выполнения транзакций;

4) глобальные масштабы межсетевого операционного взаимодействия;

5) участие фирм-провайдеров в проведении операций;

6) возможность скрытой противоправной деятельности в Интернете.

Очевидно, что при изучении и анализе рисков, связанных с банковской деятельностью в современных технологически насыщенных условиях, необходимо учитывать все компоненты среды, через которые проходят банковские данные кредитной организации и информация ее клиентов. Каждый из этих компонентов в той или иной мере может оказаться фактором риска.

При общем развитии и распространении интернет-технологии как таковой клиенты кредитных организаций могут воспользоваться значительным числом банковских услуг – от получения выписок по счетам до совершения большинства расчетно-платежных, конверсионных и фондовых операций в любом месте мира, причем используя всего лишь ПИО самого «тонкого клиента», какой только возможен при ДБО, т. е. интернет-браузера. Чтобы получить доступ к компьютерной сети какой-либо кредитной организации, в настоящее время требуется только автоматизированное рабочее место (персональный компьютер), с которого можно выйти в Сеть. В итоге Интернет стал представлять собой такую обеспечивающую технологию, которая сделала банковские услуги и обслуживание доступными для огромного числа клиентов кредитных организаций и устранила барьеры, обусловленные географическим положением, фактором времени и правами собственности на телекоммуникационные системы.

При наличии такого расширенного рынка отечественные кредитные организации могут получить весьма широкие возможности распространения или модификации своих услуг и предложений, а также значительного сокращения затрат на обслуживание своей филиальной сети и административных расходов. Технологические затраты, правда, при этом возрастают, но считается, что они могут быстро окупиться: еще на начальных этапах исследований применения технологии ИБ предполагалось, что эти затраты будут снижаться (менее 1 цента на транзакцию), и это подтвердилось. Сейчас некоторые кредитные организации предлагают своим VIP-клиентам услуги ИБ бесплатно (скорее, правда, условно-бесплатно).

В то же время выяснилось, что технология ИБ изначально придает отношениям между банком и клиентом своеобразную анонимность, поскольку фактически клиент работает с банком виртуально. К сожалению, следствием этого явились факты противоправного использования технологии ИБ для легализации доходов, полученных незаконным путем, совершения других экономических преступлений, а также для финансирования деятельности террористических организаций.

За последние 2–3 года в материалах зарубежных органов банковского надзора и в средствах массовой информации появился целый ряд публикаций по этой тематике. Для отмывания денег, как выясняется, по всему цивилизованному миру фактически используются технологии электронного банкинга с учетом предоставляемых ими анонимных возможностей. В последние 5—б лет в зарубежных публикациях, относящихся к сфере финансового контроля, отмечается, что неизбежное отставание законодательной базы от практики, регулирующей новые интернет-технологии и финансово-технические, если можно так выразиться, инструменты, создает идеальные условия для их незаконного использования в целях отмывания денег. Этому способствует то обстоятельство, что многие электронные платежные инструменты отличаются предельно высокой скоростью транзакций, анонимностью, сочетаемостью с другими платежными системами, обеспечиваемой всемирными телекоммуникационными системами глобальностью и автоматизированностью, применением так называемых «безлюдных» технологий.

Перечисленные особенности снижают эффективность традиционных методов борьбы с отмыванием денег в виде требования предоставления банку определенной информации, отслеживания и анализа содержания операций, а также установления личности клиента и, на чем принято делать акцент в последнее время, выгодоприобретателя. Технология ИБ оказалась привлекательной для многих мошенников, так что кредитные организации, не обеспечивающие адекватного контроля за использованием систем ИБ, рискуют оказаться вовлеченными незаметно для самих себя в противоправную деятельность. Надо отметить, что во всем мире в борьбе с незаконным использованием автоматизированных систем предоставления финансовых услуг делаются попытки адаптации существующих методов и процедур к электронной торговле и платежным инструментам, например устанавливаются требования увеличения объема необходимых данных (особенно при карточных операциях), обеспечения доступа к источникам клиентской информации, комплексного анализа ДБО через разные телекоммуникационные сети, а также совершенствуются методы проведения расследований, «интернационализируется» банковский контроль и т. д.

Очевидно, что проблемы противоправного использования кредитных организаций, например, в качестве «механизмов» отмывания денег не новы, и технологии ДБО лишь обеспечили новый «транспорт» для этого. Однако руководству кредитных организаций целесообразно адекватно учитывать новые факторы риска такого рода при внедрении и развитии ИБ.

Проведенные исследования свидетельствуют, что можно определить три основные разновидности или варианта ИБ, которые реально применяются в настоящее время, различаются масштабом и содержанием банковской деятельности с использованием Интернета, а также составом компонентов типичных банковских рисков, которые сопутствуют применению кредитными организациями технологии ИБ. В основном этот состав определяется наличием (или отсутствием) непосредственных, физических связей между используемыми web-ресурсами и банковской автоматизированной системой (БАС) кредитной организации.

В число наиболее распространенных вариантов ИБ входят следующие.

1. Информационный вариант – это базовый уровень ИБ. В обобщенной терминологии электронных банковских систем ему соответствуют так называемые системы 1-го уровня. Как правило, кредитная организация при этом дает на обособленном сервере маркетинговую информацию относительно банковских услуг и обслуживания, свои реквизиты, тарифы и пр. Соответствующий совокупный риск считается относительно низким, поскольку БАС кредитной организации обычно не имеет непосредственной связи с таким сервером, и внутренняя вычислительная сеть этой организации недоступна для проникновения извне. В то же время соответствующий сервер или web-сайт может оказаться уязвимым для внешних воздействий прежде всего в части нарушения его функционирования, намеренного искажения, уничтожения представляемой на нем информации или размещения антирекламы, информации, негативно влияющей на имидж кредитной организации (сомнительных баннеров или ссылок на порносайты и т. п.). Поэтому руководству кредитной организации целесообразно предусмотреть внедрение эффективных средств контроля для предотвращения таких несанкционированных воздействий.

2. Коммуникационный вариант описывается как использование «банковской электронной системы» 2-го уровня, что позволяет реализовать некоторые виды информационного взаимодействия между БАС кредитной организации и ее клиентами. В зависимости от состава сетевых связей такое взаимодействие может быть ограничено электронной почтой, запросами форм документов и справок о счетах, заявками на ссуды, обновлением стандартных файлов (изменение реквизитов клиента и т. д.). Сопутствующий риск при такой конфигурации выше, чем в первом случае, уже только из-за возможного наличия непосредственных физических связей между web-ресурсами и БАС кредитной организации, равно как и увеличения числа технических средств, вовлекаемых в процесс предоставления банковских услуг. Поэтому кредитной организации требуются адекватные средства контроля для предотвращения и мониторинга любых попыток неавторизованного доступа к своим внутренним сетям и компьютерным системам и вирусного контроля, а также оповещения руководства о таких попытках и принятия парирующих мер.

3. Операционный (или транзакционный) вариант реализуется системами 3-го уровня, позволяющими клиентам опосредованно или непосредственно (при автоматизированной работе с бэк-офисом) выполнять транзакции. Поскольку при этом обычно существуют физические связи систем ИБ с внутренней вычислительной сетью кредитной организации или обслуживающего ее провайдера, такой архитектуре сопутствует наивысший риск (наиболее сложный состав источников риска), и поэтому должны существовать адекватные средства контроля, учитывающие все угрозы, возникающие в отношении этой организации и интересов ее клиентуры. Одновременно требуются сложные средства обеспечения защиты и безопасности информации, выявления и контроля источников рисков, оповещения руководства о подозрительных действиях и неблагоприятных ситуациях, а также развитые планы действий на случай чрезвычайных обстоятельств.

Потенциальные угрозы для кредитных организаций и их клиентов существуют во всех перечисленных вариантах, почему и не следует при анализе факторов и источников банковских рисков ограничиваться только операционными составляющими ИБ (что типично). Чем сложнее состав технических средств, с помощью которых осуществляется обслуживание клиентов, и разнообразнее используемые каналы прохождения информации (включая системы провайдеров), тем больше источников риска, связанных с различными информационными системами, приходится учитывать при выявлении, оценивании, анализе банковских рисков и организации управления ими.

Это не означает, что банковское обслуживание через Интернет заведомо связано с повышенными рисками для кредитных организаций и их клиентов – просто необходимо четко представлять себе тот информационный контур банковской деятельности (ИКБД), который формируется каждой системой ИБ, возможные источники рисков, связанные с ним, и подход к управлению типичными банковскими рисками, требуемый в каждом конкретном случае для обеспечения полного контроля над смещением профиля риска кредитной организации, применяющей такую технологию электронного банкинга. В зависимости от конкретного варианта реализации источники риска могут варьироваться; базовыми факторами при этом являются организация:

• внутрибанковского процесса обеспечения ДБО в части рабочих процедур и распорядительных документов;

• отношений с клиентами кредитной организации, пользующимися системами ИБ, на основе договоров на ДБО;

• взаимодействия с клиентами ДБО через «киберпространство» (виртуальное пространство Сети и БАС);

• обеспечения информационной безопасности в отношении отдельных систем ИБ или в их комплексе;

• внутреннего контроля над применением технологии ИБ, включая осуществление финансового мониторинга;

• отношений с провайдерами, от которых зависит надежность ДБО через Интернет;

• выявления, оценки, мониторинга источников специфических банковских рисков, специфических для ИБ, и управления ими [9] .

Упрощенная структура ИКБД ИБ показана на рис. 2.2.

Рис. 2.2. Обобщенное представление структуры информационного контура банковской деятельности (ИКБД)

Одним из важных аспектов ИБ является организация web-сайтов, которые нередко используются как своего рода «виртуальные ворота» к информационно-процессинговым ресурсам кредитной организации. С точки зрения общепринятых требований органов банковского надзора (как за рубежом, так и в России) любые информационные материалы, публикуемые кредитными организациями, в том числе в Сети, должны способствовать формированию у реальных и потенциальных клиентов этих организаций полного и точного представления о характере, показателях и специфике деятельности этих организаций [10] . Фактически при переходе к ИБ для создания, ведения и сопровождения используемых web-сайтов в кредитной организации целесообразно сформировать и в дальнейшем, по мере развития ДБО адаптировать специальный внутрибанковский процесс [11] . Это следует делать во избежание появления дополнительных источников (компонентов) правового и репутационного рисков, связанных с возможными неточностями маркетинговой информации и несоответствием требованиям законодательства, касающимся защиты прав потребителя.

Последнее непосредственно относится к организации web-сайтов и web-порталов, используемых в банковской деятельности. Оформление и распределение информации на web-страницах, фреймах, баннерах и посредством гиперссылок должно быть четким и однозначным, не оставляющим сомнений в источниках и условиях предоставления услуг.

Не менее важна правильная организация так называемых «демилитаризованных зон», изолирующих БАС кредитной организации и ее внутреннюю сетевую структуру (локальную или зональную вычислительную сеть) от внешней сетевой среды, равно как и их административно-технического обеспечения. Для этого специалистам кредитной организации необходимо разрабатывать модели угроз, которые могут быть связаны с технологией ИБ, и сценарии их возможного развития. Это в свою очередь требует анализа архитектуры каналов информационного взаимодействия, которые в общем случае начинаются с сетевых экранов (брандмауэров), web-серверов и прокси-серверов. Речь идет как о сохранении конфиденциальности банковской и клиентской информации, так и о защите от хакерских, крэкерских, фишерских, фармерских и т. п. атак [12] , а также от проникновения вирусных программ, которых сегодня развелось великое множество. Поэтому грамотно составленная и реализованная политика информационной безопасности, включающая антивирусное направление, в кредитных организациях (с доведением соответствующих требований и до клиентов, обслуживаемых дистанционно) стала необходимым условием обеспечения надежности современной банковской деятельности.

Наконец, если говорить о наиболее важных технологических и технических аспектах надежности банковской деятельности в целом, следует помнить, что современная кредитная организация полностью зависит от надежности своих распределенных компьютерных систем и от надежности аналогичных систем своих провайдеров. Очевидно, что прерывание ДБО «по техническим причинам», нарушение функциональности (или искажение контента) web-сайта, с которым взаимодействует клиент, могут вызвать негативную общественную реакцию в отношении ИБ и ДБО. Поскольку абсолютно надежных компьютерных и телекоммуникационных систем не существует, специалистам кредитных организаций (включая службы информатизации, безопасности, внутреннего контроля и др.) целесообразно организовать, реализовать и при необходимости адаптировать следующие внутрибанковские процедуры:

• оценку и расчет характеристик надежности используемого аппаратно-программного обеспечения (АПО) ИБ, включая сегменты ИКБД, находящиеся вне самой организации (каналы связи, маршруты взаимодействия с клиентами, каналы ДБО и пр.);

• резервирование АП О и массивов банковских и клиентских данных (в части как «горячего», так и «холодного» резервов [13] ) с учетом необходимости перехода на резервные каналы взаимодействия с клиентами и восстановления («отката») сеансов связи в рамках ИБ;

• тестирование функциональности, надежности, защищенности и устойчивости АП О ИБ как кредитной организации, так и ее провайдеров, включая планы действий при чрезвычайных обстоятельствах, возможную компрометацию АПО, а также хранение и восстановление сеансовой информации.

Весь комплекс надежности целесообразно оценивать в направлениях выполнения кредитной организацией своих обязательств перед клиентами, контролирующими и правоохранительными органами, начиная с документарного обеспечения банковской деятельности по ДБО в рамках ИБ, положений о подразделениях кредитной организации, имеющих какое-либо отношение к его обеспечению [14] , и заканчивая должностными инструкциями ответственных менеджеров и исполнителей, непосредственно управляющих применением технологии ИБ и контролирующих использование соответствующих автоматизированных систем.

Важным аспектом является учет взаимной анонимности кредитной организации и ее клиента, возникающей при ДБО через Интернет, поскольку для идентификации и аутентификации сторон чаще всего используются средства аналогов собственноручной подписи. Недостатки в организационно-техническом и программноалгоритмическом обеспечении применения таких средств могут негативно сказаться на формировании доказательной базы и обеспечении юридической силы «электронных документов», гарантий невозможности отказа от операции (с обеих сторон), предотвращении возможной противоправной деятельности и управлении рисками банковской деятельности, принимаемыми на себя как кредитной организацией, предлагающей услуги ИБ, так и ее клиентами. Руководству и специалистам кредитной организации следует учитывать накопленный за годы применения технологии ИБ в банковском секторе негативный опыт мошенничеств и хищений с помощью систем ДБО, осложняемый недостатками в организации и содержании претензионной работы с клиентами ИБ.

Специфика сетевого взаимодействия в условиях открытых информационных систем (к которым относится и интернет-взаимодействие) предполагает учет дополнительных факторов риска, связанных с широко распространенным хакерством. Под такого рода учетом понимается организация и адаптация ряда специализированных внутрибанковских процедур, относящихся к основным внутрибанковским процессам и подразделениям, ответственным за их реализацию, а именно:

• выявление недостатков в организации и содержании внутрибанковских процессов (как следствие прежде всего неполной их адаптации к новым банковским информационным технологиям);

• выявление недостатков во внутрибанковских документах (обусловленных отставанием соответствующей регламентации от развития ИБ) по всей иерархической структуре кредитной организации;

• выявление и принятие мер по парированию новых угроз в ИКБД ИБ (в том числе за счет отслеживания «успехов» хакерского сообщества и приемов противоправной деятельности);

• выявление и оперативная замена АП О и ПИО, «пробитых» хакерами (а также другими «деклассированными» элементами, действующими в киберпространстве Интернета);

• выявление недостатков в работе провайдеров, входящих в ИКБД ИБ (в части несоответствия требуемому уровню обслуживания и в плане коррекции недостатков в организации контрактных отношений [15] ).

Процедурами управления и тщательного контроля в кредитной организации, предоставляющей услуги ИБ, желательно охватывать [16] :

• дизайн, контент и хостинг web-сайтов;

• конфигурацию сетевых экранов;

• системы предотвращения и обнаружения вторжений [17] ;

• сетевое администрирование;

• управление информационной безопасностью;

• сервер ИБ;

• прикладное программное обеспечение (расчетов, платежей и пр.);

• внутренние серверы;

• АПО бэк-офиса;

• служебное ПИО;

• автоматизированные системы поддержки принятия решений [18] .

Все эти компоненты фактически входят в единый ИКБД, обеспечивающий ДБО в рамках ИБ (несмотря на то что часть из них входит также и в другие информационные контуры в кредитной организации, связанные между собой разнообразными информационными сечениями), и каждый из них следует охватить внутрибанковскими процедурами управления и контроля. Помимо этого все «чувствительные» к возможному переходу в нештатные режимы функционирования компоненты (что может быть обусловлено отказами или сбоями АПО и ПИО кредитной организации, вирусными атаками, несанкционированным доступом, ошибками персонала и клиентов и т. п.), должны быть упомянуты в таких внутрибанковских документах, как «Положение об управлении рисками банковской деятельности», «Положение об информационной безопасности» и «Положение о внутреннем контроле» (о системе или службе внутреннего контроля).

Несмотря на кажущуюся сложность внедрения и применения технологии ИБ, практика свидетельствует, что при правильной организации внутрибанковских процессов и составляющих их процедур удается исключить влияние подавляющего большинства факторов и источников банковских рисков, сопутствующих применению технологии ИБ как таковой. Для российских условий типичными банковскими рисками, которые характеризуются наличием компонентов технологического и технического характера, являются следующие пять рисков: стратегический, операционный, правовой, репутационный и ликвидности (неплатежеспособности).

За рубежом, где в составе банковской деятельности могут допускаться варианты взаимодействия с клиентами, отличные от указанных условий (например, дистанционное открытие банковских счетов с установленным интервалом идентификации, ряд операций кредитования и др.), учету, как правило, подлежат все типичные банковские риски [19] . В то же время очевидно, что выгоды от применения технологии ИБ намного выше, чем затраты как на первичное внедрение соответствующего АП О и адаптацию внутрибанковских процессов, так и на хеджирование сопутствующих компонентов банковских рисков (и их возможную последующую компенсацию в случае реализации). Наилучшим свидетельством наличия этих достоинств является широкое распространение технологии ИБ в российском банковском секторе.

2.2. Мобильный банк: теоретические возможности и практическая необходимость

Разговор о мобильном банкинге должен начаться с определения терминологии. На практике очень часто встречаются словосочетания «мобильный банкинг» и «SMS-банкинг». Если с мобильным банкингом все более или менее понятно, – это предоставление банковских услуг через мобильный телефон, то под SMS-банкингом некоторые банковские специалисты подразумевают только информационные сервисы – SMS-уведомления, а др. – и активные операции со стороны клиента (запросы информации, SMS-команды на совершение операций). Единой трактовки этого термина пока не сложилось. Понятие SMS-банкинга правильнее использовать в том случае, если интерфейсом взаимодействия клиента с банком являются SMS-команды и SMS-сообщения, которые клиент сам читает и набирает. Таким образом, SMS-банкинг – это просто технически более простая и для клиента менее удобная концепция обслуживания с использованием мобильного телефона. Мобильный же банк – это более общее понятие. Мобильный банк может взаимодействовать с клиентом с помощью как SMS, так и специального программного интерфейса мобильного телефона, который организует более удобное представление информации, иерархию меню и поддерживает связь с банковским сервером посредством любого канала (SMS, GPRS, Wi-Fi, транспорт тут не принципиален) или отображение специализированного сайта (WAP).

Какие же технические реализации мобильного банка существуют и чем они отличаются?

1.  SMS-банкинг, в рамках которого все взаимодействие с клиентом строится на уровне SMS-сообщений. SMS-банкинг может быть пассивным, когда клиенту предоставляются только информационные сервисы (информация о совершенных операциях, начисленных процентах, информирование об истечении срока действия договора, карты и т. п.), и активным, когда посредством SMS-команд клиент может совершать какие-то операции (запрашивать информацию, проводить платежи и т. п.). Технически это самая простая реализация мобильного банка, которая совместима совершенно со всеми мобильными телефонами, и все доработки касаются только серверной части банка, которая должна уметь отправлять, получать и соответствующим образом обрабатывать SMS-команды. К ее достоинствам стоит отнести и то, что SMS-банкинг будет работать везде, где работает сам мобильный телефон. Активные операции через SMS-банкинг для клиента неудобны, так как ему нужно запоминать и правильно набирать условные наименования команд (например: Inf – информация по счету, pay – оплатить) и их реквизиты (номер счета, сумму, валюту и т. п.). Чтобы облегчить клиенту жизнь, можно построить интерактивную систему взаимодействия с клиентом, в рамках которой на любую неправильную SMS-команду клиенту будет возвращаться сообщение с полным списком команд в системе, а в случае частичного набора команды система будет сама додумывать ее за клиента (например, сообщение <Р> или <РА>, при условии, что в системе нет других команд, начинающихся с этой буквы однозначно может идентифицироваться как <PAY>, а в случае если есть несколько команд, начинающихся с этих символов, клиенту будет отправлен список этих команд для уточнения).

2.  SIM-апплет – это приложение, записанное непосредственно на SIM-карту. Первоначально записывать приложения непосредственно на SIM-карту могли только в момент ее выпуска, и для того чтобы прописать апплет на старую карту, необходимо ее заменить в офисе оператора. Сейчас стали появляться карты, на которые апплеты можно загружать в любой момент, в том числе дистанционно. SIM-апплет позволяет обеспечить наиболее серьезную криптографию, но использование этой технологии сдерживается тем, что владельцам старых SIM-карт необходимо их физически заменить.

3.  Мидлет – загружаемое приложение на JAVA, которое функционирует в памяти мобильного телефона так же, как игры или программки типа ICQ-клиента JIMM, Яндекс-карты и т. п. Преимуществом этой технологии является достаточно высокая совместимость с различными моделями телефонов (но не стопроцентная, например, знаменитый iPhone до сих пор не поддерживает JAVA, а на некоторых моделях телефонов могут все-таки возникать проблемы с запуском приложения) и независимость от SIM-карт.

4.  WАР-сайт – специальным образом кастомизированный для отображения на маленьком экране телефона интернет-сайт. Просмотр его осуществляется встроенным браузером телефона.

SIM-апплеты и мидлеты в качестве транспорта могут использовать любой канал – SMS, GPRS/EDGE. GPRS/EDGE-транспорт является предпочтительным для клиента, так как обеспечивает передачу большего объема информации за меньшие деньги. Однако при этом нужно учитывать особенности тарификации операторами сотовой связи услуги передачи данных. Например, компания МТС округляет любой пакет обмена данными до 100 КБ и поэтому множественные короткие соединения получаются крайне затратными, кроме того, даже при отсутствии трафика тарифицируется каждый час соединения, так что долго поддерживать связь без обмена данными также не имеет смысла. В роуминге МТС округляет уже до 60 КБ, которые стоят 30 руб., т. е. практически на порядок дороже. Поэтому приложение мобильного банка, использующее этот канал, должно иметь настройки, позволяющие пользователю задавать параметры разрыва соединения и возможность ограничения услуги в роуминге. Также стоит отметить, что WAP-трафик стоит дороже, чем обычное GPRS-соедининение.

В настоящее время на рынке представлены реализации мобильного банка как интегрированные с различными банковскими системами (процессинговые системы, автоматизированные банковские системы), так и независимые, которые по крайней мере потенциально интегрируются с любыми банковскими системами. Независимые приложения наиболее интересны, так как продуктовый ряд большинства банков разнесен по нескольким банковским системам, разработанным зачастую разными производителями (карточная система, розничная банковская система, кредитный бэк-офис), с которыми мобильный банк должен взаимодействовать, чтобы обеспечить клиентам максимальный набор сервисов. Из независимых приложений стоит отметить следующие реализации:

• компания «Интервейл» (www.intervale.ru), на технологиях которой построены проекты Сбербанка РФ, Народного Банка Казахстана, МТС-Pay. В качестве транспорта апплеты «Интервейл» используют SMS, которые проходят через сервер компании и основная стоимость этой технологии для банка определяется именно тарификацией SMS-трафика клиентов, а не приобретением собственно сервера приложений и лицензий на количество апплетов. Решения «Интервейл» могут использовать технологию безопасной аутентификации 3D-Secure международных платежных систем VISA и MasterCard;

• продукт BARS (Bank Remote Service) компании «Оникс-Капитал» (www.oncsoft.com), который базируется на JAVA-мидлете и использует в качестве транспорта GPRS;

• мобайл-клиент от компании BSS (www.bssys.com), базирующийся на JAVA-мидлете и использующий GPRS. Также BSS предлагает специальные версии клиентов для КПК и смартфонов и WAP-банкинг. Из интересных особенностей стоит отметить приложение MobiPass для генерации аналога собственноручной подписи с помощью мобильного телефона.

Достаточно часто банки с сильной IT-командой идут по пути собственной разработки мобильного банка.

При выборе технологической платформы для реализации мобильного банкинга стоит обратить внимание на унификацию идентификации клиента в системах мобильного банка и интернет-банка. Не стоит усложнять клиенту жизнь и заставлять его запоминать два комплекта идентификаторов и паролей.

Теоретически мобильный банк может предоставить клиенту все те возможности, которые предоставляет и интернет-банк. Мобильный телефон накладывает ограничения на предоставление информации для клиента, связанные с небольшим экраном телефона, поэтому сложные или объемные экранные формы необходимо специальным образом оптимизировать, масштабировать, разбивать, переносить. Работа с клавиатурой телефона также далеко не так комфортна для клиента, как с клавиатурой компьютера, но в принципе позволяет ввести все те же символы. Однако на практике самой востребованной услугой мобильного банкинга является SMS-информирование – им пользуются сотни тысяч, если не миллионы клиентов российских банков. Банкиры, реализовавшие полноценный мобильный банк с управлением счетами и платежами, часто жалуются, что клиенты еще не готовы к его использованию – они немногочисленны и используют лишь малую часть предлагаемых им возможностей системы мобильного банковского обслуживания.

В современных условиях оптимальный набор услуг с помощью мобильного телефона выглядит примерно следующим образом:

•  SMS-информирование: это не только сообщения картхолдерам о совершенных транзакциях, но и возможность, по желанию клиента, получать информацию о зачислении средств на текущие счета, начислении процентов по вкладам, работе длительных поручений (регулярные платежи и переводы), информации о кредитной задолженности, завершении срока действия различных договоров (карта, депозит, ячейка и т. п.);

•  запросы в банк: это может быть заявка на перевыпуск карты в ответ на уведомление об окончании срока действия карты, просьба предоставить информацию по продуктам или детальную информацию о конкретном продукте или просьба call-центру банка связаться с клиентом;

•  платежи и переводы: вот тут стоит крепко задуматься над объемом предоставляемых услуг, чем больше свободы мы предоставляем клиенту в совершении активных операций, тем сложнее и дороже как система обеспечения безопасности, так и интеграция с другими банковскими системами.

Сомнительно, что кому-то из клиентов банка действительно нужно оперировать ценными бумагами, открывать договора или совершать сложные и разнообразные платежи именно с помощью мобильного телефона. С мобильного телефона имеет практический смысл совершать какие-то неотложные операции, а для всех остальных случаев существует интернет-банк, который клиенту уже привычнее (его пользователей гораздо больше, чем пользователей мобильного банка, хотя и не так много, как хотелось бы), несравненно удобнее в использовании и защищеннее. Трудно себе представить ситуацию, в которой кому-то нужно срочно оплатить коммунальные услуги, открыть депозит или купить (продать) акции. Эти операции всегда терпят несколько часов, до того времени, как человек попадет на работу, домой, в интернет-кафе и совершит их через интернет-банк. Владельцы ноутбуков благодаря технологиям мобильного Интернета и активно развивающимся беспроводным сетям вообще не привязаны к какому-либо месту и практически в любой момент могут выйти в Интернет и совершить необходимые операции, тем более что сейчас появился целый класс сверхкомпактных ноутбуков, так называемых нетбуков, которые не только имеют малые габариты и низкий вес, но и дешевы (зачастую дешевле самого простого смартфона). Для особо нетерпеливых существуют смартфоны (доля которых на рынке устройств для мобильной связи неуклонно растет). Задача банка заключается только в том, чтобы адаптировать сайт интернет-банка для использования через небольшие экраны смартфонов и не добиваться обязательной аутентификации, требующей подключения к компьютеру различных токенов.

Набор платежей, которые у среднестатистического человека может возникнуть потребность сделать неотложно, достаточно ограничен, это:

• пополнение баланса телефона не только своего, но и чужого, например: необходимо срочно связаться с абонентом, номер которого отключен за неуплату, или пополнить телефон членов семьи, друзей. Даже без серьезной криптографии риски при совершении таких операций минимизируются лимитами и тем, что в конце концов получатели средств известны – в базе оператора есть данные всех абонентов;

• пополнение счета у интернет-провайдера, который отключил за неуплату домашний Интернет;

• перевод денег между своими (!) счетами. Это актуально в ситуации, когда человек в магазине вдруг захотел купить что-то дорогостоящее, а денег на карте не хватает и он переводит на нее часть средств с депозита. В случае новых кризисов можно представить себе ситуацию, когда паникующий клиент по нескольку раз на дню переводит деньги между разновалютными счетами, пытаясь догнать колебания валютных курсов;

• очевидно, возможны еще несколько видов платежей, которые действительно актуально делать срочно и именно в режиме реального времени: для таких случаев можно предусмотреть возможность создания шаблонов платежей, которые сам клиент сможет создавать через интернет-банк или в отделении банка.

Все эти сервисы можно реализовать и на технологии SMS-банкинга. Таким образом, выбранная технология реализации мобильного банкинга скорее вопрос удобства использования для клиента и стоимости взаимодействия, чем функциональной наполненности сервиса.

Отдельно стоит упомянуть о сервисах мобильного банкинга, которые с середины 2008 г. запустили крупнейшие российские сотовые операторы: «МТС-Рау» от МТС, «Мобильный платеж» от Билайна и «Мобильные платежи» от Мегафона. Сервисы Билайна и Мегафона практически идентичны и позволяют совершать платежи с лицевого счета абонента который можно пополнить (в том числе автоматически, при снижении баланса) с банковской карты. МТС предлагает более «продвинутый» сервис, в рамках которого все операции совершаются со счета банковской карты, зарегистрированной в системе. По сути, сотовые операторы вступили в конкуренцию с банками, предоставляя своим клиентам банковские услуги (платежи и переводы), и, возможно, в дальнейшем проникновение сотовых операторов в платежные технологии будет только увеличиваться – в мировой практике уже есть реализованные проекты, в которых сотовый телефон служит средством совершения платежей в торговых точках. Банки, если они не хотят потерять этот рынок, должны активно участвовать в развитии своих технологий мобильного обслуживания.

Если попытаться заглянуть в будущее мобильного банковского обслуживания, то технологический прогресс, очевидно, в недалеком будущем приведет к смыканию продуктового ряда смартфонов и нетбуков. Функции мобильного телефона и мобильного компьютера сольются в одном удобном для пользователя устройстве. В этом случае уже сейчас близкие по своей сути каналы обслуживания (мобильный банк и интернет-банк) сольются в единую сущность. Эта тенденция должна учитываться при проектировании системы мобильного банковского обслуживания.

2.3. Мобильный банкинг-банковская практика

При рассмотрении вопроса о переходе параллельно с другими технологиями ДБО к мобильному банкингу или независимо от них нельзя забывать, что потенциальные клиенты любого нового варианта ДБО – это люди, привыкшие к использованию наличных денег, поэтому для перехода на новый вид обслуживания им необходимо убедиться не просто в том, что оно «работает», но в том, что оно лучше привычных схем платежей. Безусловными признаками такого обслуживания являются удобство (включая оперативность) и универсальность (включая повсеместность) осуществления платежей. При этом принципиально важно то, что клиенты сделают выбор в пользу новой системы или технологии осуществления платежей только тогда, когда:

1) она будет характеризоваться очевидными преимуществами по сравнению с имеющимися в настоящее время вариантами;