Разработка метода оценки и управления информационным риском банковских информационных систем

Актуальность темы

исследования. Успешное экономическое развитие государства, основанного на рыночных принципах хозяйствования, невозможно без хорошо развитой банковской системы. Последняя обеспечивает бесперебойные и своевременные расчеты между участниками рынка как внутри страны, так и за ее пределамиаккумулирование свободных денежных средств и их перераспределение в виде кредитного ресурса. На современное состояние банковской системы Российской Федерации оказывают влияние две группы факторов. Первая группа связана с экономической и политической ситуацией внутри страны. Ее влияние находит свое отражение в таких актуальных для банковской системы факторах, как — снижение инфляции, либерализация налогового и валютного законодательства, уменьшение числа спекулятивных операций и усиление конкуренции на рынке банковских услуг. Вторую группу определяют изменения, которые претерпевает мировая банковская система. Эти изменения являются следствием глубинных макроэкономических процессов в мировой экономике (интеграция, либерализация, резкий научно-технический подъем) и затрагивают все банки в разных странах мира, независимо от уровня их развития и существующей в той или иной стране организационной структуры банковской системы.

Сегодня наблюдаются следующие глобальные тенденции развития мировой банковской системы:

• увеличение числа услуг, оказываемых кредитными организациями;

• увеличение стоимости финансовых ресурсов;

• консолидация и географическая экспансия кредитных организаций;

• усиление влияния на развитие банковской системы современной НТР, одной из основных особенностей которой является стремительное развитие компьютерных и телекоммуникационных средств, что обеспечило появление новых банковских информационных технологий, принципиально невозможных ранее.

Развитие средств коммуникации, сокращение времени обработки информации, развитие сетевых технологий позволили кредитным организациям провести комплексную автоматизацию всей своей деятельности, разработать механизмы удаленного обслуживания клиентов и предложить новый ассортимент услуг. Широкое распространение средств автоматизации привело к изменению инструментов реализации банковских технологий. В настоящее время невозможно представить себе банк, не использующий информационные системы, как и невозможно представить рабочее место сотрудника банка, не оснащенное современными средствами вычислительной техники.

За относительно короткий промежуток времени роль информационных технологий, изначально предназначенных для замены рутинного труда рядовых сотрудников банка, сильно изменилась. Теперь ни одна банковская операция не происходит без участия информационных систем, причем особенности ее проведения напрямую зависят от возможностей используемой системы. Неудивительно, что информационные системы стали оказывать существенное влияние на прибыльность кредитных организаций, их конкурентоспособность и привлекательность для клиентов.

Однако, кроме положительного влияния, оказываемого информационными технологиями на деятельность кредитных организаций, нельзя не отметить и негативные последствия их использования. Так например, информационные системы стали источником серьезных финансовых потерь в случае их отказов. Следствием этих потерь может быть как частичная, так и полная потеря банком возможности выполнять свои функции.

Возросшая зависимость нормальной работы банка от устойчивого функционирования информационных систем привела к появлению принципиально нового для банка вида риска — информационного, который можно определить как вероятность возникновения ущерба от использования современных компьютерных информационных технологий при совершении банковских операций. Новизна данного вида банковского риска заключается в том, что впервые технологии, обеспечивающие проведение банковских операций, стали определять способы предоставления банковских услуг, что в свою очередь привело к зависимости успешного оказания услуг клиентам от бесперебойного функционирования информационных систем.

Нельзя сказать, что риски, связанные с использованием информационных технологий не анализировались банками ранее. Однако анализ методов управления ими показывает, что все они были направлены на защиту информационных систем и хранящейся в них информации от различного вида угроз, чего явно не достаточно для управления информационным риском.

Необходима разработка новых методов управления информационным риском, основанных на положении о том, что информационные системы являются источниками угроз для деятельности кредитных организаций. Это позволило бы оценить убытки, которые могут понести банки от информационного риска и разработать методы для управления им.

Целью диссертационного исследования первого уровня является разработка метода оценки и управления информационным риском. Целями второго уровня являются: введение понятия информационного риска, определение его места в классификации банковских рисков, выявление причин появления и выделение основных составляющих риска.

Для достижения целей диссертационного исследования были поставлены и решены следующие задачи:

• исследовано влияние банковских рисков, и, в частности, риска, возникающего при использовании информационных систем, на деятельность кредитных организаций;

• обоснована важность контроля за риском, возникающим при использовании информационных систем;

• обоснована необходимость нового понимания проблемы риска, возникающего при использовании информационных систем;

• сформулировано понятие информационного риска;

• проведен анализ используемых кредитными организациями информационных систем и на основе его результатов предложены способы декомпозиции информационного риска;

• построено дерево информационного риска на основе предложенных принципов декомпозиции и принципов построения дерева целей;

• проведен анализ особенностей решения задачи по управлению информационным риском, результатом которого стало отнесение ее к типу задач, решение которых предполагает наличие альтернатив;

• обосновано использование метода обратных вычислений для решения задачи по управлению информационным риском;

• решена задача управления риском и доходом от использования технологии клиент-банк для конкретной ситуации;

• разработано программное обеспечение для решения задачи.

Объектом исследования явились информационные системы, используемые кредитными организациями.

Предметом исследования являлся процесс управления информационным риском.

Метод исследования. В качестве метода научного исследования использовались: факторный, компонентный и К-ступенчатый ситуационный анализметод обратных вычисленийметоды теории вероятности и математической статистики.

Источники информации. В процессе исследования использовались работы отечественных и зарубежных экономистов, специалистов в области экономики, управления, банковского дела, риск-менеджмента, информационных систем, систем поддержки принятия решений, теории вероятности, а также аналитические статьи, посвященные вопросам применения современных информационных технологий в финансовой сфере.

Особое внимание было уделено последним результатам исследований в этих областях, проведенных: У. Гулдом, В. В. Диком, Е. Екушевым, О. И. Лаврушиным, Б.А.

Лагоши, К. Маркеловым, А. Ореховым, Б. Е. Одинцовым, М. А. Роговым, П С. Роузом, В Т. Севрук, Н. Э. Соколинской, В. Чаусовым, Е. Б. Ширинской и др.

Научная новизна. Научная новизна диссертации заключается в следующем:

• было введено положение о том, что банковские информационные системы (БИС) являются источником угроз для деятельности кредитных организаций, что использовалось при разработке метода управления информационным риском. Данное положение представляет собой альтернативу существующему положению, которое предлагает рассматривать БИС только как объект, требующий защиты от угроз. Анализ методов управления рисками, разработанных с учетом этого положения, показывает, что основной их целью является защита систем и хранящейся в них информации. Метод, разработанный с учетом выдвинутого автором положения, позволит учитывать возможные убытки, которые может понести банк, при использовании информационных систем и снизить возможный ущерб;

• сделан вывод о том, что ни одна из известных классификаций банковских рисков не включает такой вид риска как информационный. Схожие с ним определения сводили ущерб лишь к незапланированным затратам на ремонт оборудования или к потерям из-за несанкционированного доступа к секретной информации. Поэтому было предложено новое определение информационного риска как вероятности возникновения ущерба от использования современных компьютерных информационных технологий при совершении банковских операций;

• предложены два принципа декомпозиции информационного риска, которые основаны на следующих заключениях: информационный риск возникает при использовании БИСБИС является сложной системой, которую можно разложить на простые элементы. В качестве такого элемента может выступать банковская операция, которая в дальнейшем рассматривается как технологический процесс. Риск декомпозируется по составу элементов информационной технологии. В результате декомпозиции выделяются пять основных составляющих информационного риска: программный, технический, технологический, исполнительский и риск информации. Альтернативный принцип декомпозиции вводится с целью построения системы управления финансовыми ресурсами, направляемыми на уменьшение возможного ущерба. Риск декомпозируется в соответствии со структурой управления банка. При этом риски, выделенные при первом варианте декомпозиции не нивелируются, а учитываются при определении причин возникновения рисковых ситуаций;

• обосновано использование метода обратных вычислений для управления информационным риском, состоящим из ряда независимых рисков, представленных в виде разработанного автором дерева рисков. Метод позволяет в зависимости от цели, заданной в форме относительного изменения значения риска, найти требуемые значения аргументов с учетом предпочтений ЛПР. Данный метод позволяет соотносить затраты на проведение в жизнь мероприятий, направленных на снижение информационного риска, с размерами возможного ущерба;

• адаптирован метод обратных вычислений для решения класса стохастических задач, в частности, задачи управления информационным риском.

Практическая значимость диссертационной работы заключается в следующем:

• разработанный метод обратных вычислений для решения стохастических задач позволяет связывать показатели информационного риска с экономическими показателями, характеризующими размер ущерба, что дает возможность оценивать убытки, понесенные банком от информационного риска,.

• результаты, полученные в процессе исследования, позволяют банкам проводить декомпозицию информационного риска в соответствии со сложившейся у них внутренней структурой управления и спецификой используемых информационных технологий, что позволяет адаптировать разработанный автором метод управления риском под любую кредитную организацию;

• в соответствии с проведенной декомпозицией информационного риска организация получает возможность решать задачи управления рисками на любых уровнях управления;

• метод позволяет оценивать и управлять затратами, направляемыми на снижение уровня информационного риска, что приведет к повышению эффективности банковской деятельности.

Выводы, полученные в ходе исследования, могут быть использованы при обучении специалистов в области банковского дела, информационного и риск менеджмента. Положения и материалы исследования используются в учебном процессе МЭСИ.

Метод предложенный автором используется КБ «Фондсервисбанк» и Тюменским филиалом Ханты-Мансийского банка при составлении годовых смет для определения объема затрат, направляемых на различные области деятельности отдела автоматизации, что позволяет снизить вероятность возникновения информационного риска.

Публикации. Материалы и результаты исследований опубликованы в 6 научных статьях, общим объемом 1.8 п л.

Структура работы. Диссертация состоит из введения, трех глав, выводов по главам, заключения, списка литературы и двух приложений.

Выводы по третьей главе.

1. Практическая апробация метода обратных вычислений для решения задачи управления информационным риском показала его удобство и эффективность для задач, где требуется определение влияния факторов на изменение результатного показателя в количественном выражении.

2. При применении метода обратных вычислений для решения задачи управления информационным риском выявлены такие его особенности, как большое число ограничений, накладываемых на искомые величины и необходимость проведения громоздких вычислений.

3. Выявлена необходимость разработки программных средств для получения альтернативных решений задачи, которые формируются за счет варьирования значениями кпц.

4. Эффективное использование метода обратных вычислений для управления информационным риском невозможно без создания системы сбора и анализа информации об использовании информационных систем.

5. Метод обратных вычислений предназначен для оценки уже свершившихся событий, а не для предупреждения рисковых ситуаций, что затруднительно из-за динамичности информационных систем, постоянно меняющихся внутренних взаимосвязях и динамики внешней среды. Предложено совместное использование методов управления риском, разработанных в рамках традиционного подхода к управлению информационным риском, в частности, использование стандартов, разработанных Базельским комитетом и метода обратных вычислений.

6. Выявлен ряд рисков, возникающих при использовании информационных систем для управления которыми не может быть использован метод обратных вычислений.

Заключение

.

В результате диссертационного исследования были получены следующие результаты:

1. Задача достижения приемлемого соотношения показателей прибыли и риска определена как ключевая для управленческой деятельности. Задача управления рисками рассматривается как одна из центральных задач финансового менеджмента коммерческого банка.

2. Выявлена основная особенность банковского дела на современном этапеиспользование современных информационных технологий на всех участках работ банка. Обоснована их ведущая роль в успешном развитие банка и опасность, которую они несут вследствие своего повсеместного использования. Проведенный анализ классификаций банковских рисков показал, что предлагаемые определения рисков, возникающих при эксплуатации информационных систем, не позволяют в полной мере оценивать убытки банка.

3. Доказано, что БИС являются источником угроз для деятельности кредитных организаций, что использовалось при разработке метода управления информационным риском. Данное положение является альтернативой существующему положению, когда предполагается рассматривать БИС только как объект, требующий защиты от угроз.

4. Введено понятие информационного риска, как вероятности возникновения ущерба от использования современных компьютерных информационных технологий при совершении банковских операций.

5. Предложен принцип декомпозиции информационного риска по принципу разделения информационной технологии на элементы: программную, техническую, информационную, исполнительскую, технологическую. Построено дерево информационного риска. Предложен альтернативный вариант декомпозиции риска по центрам ответственности. Выявлено, что риски, выделенные при первом варианте декомпозиции не нивелируются, а учитываются при определении причин возникновения рисковых ситуаций.

6. Обоснован выбор метода обратных вычислений для решения задачи управления независимыми рисками, составляющими информационный риск. Метод дает возможность сформировать несколько альтернативных вариантов достижения поставленной цели управления, связать затраты на снижение ущерба с его размером.

7. Произведена адаптация метода обратных вычислений для решения стохастических задач, в частности задачи управления информационным риском. Выведены формулы для оценки интегрированных показателей для каждого из видов риска. Определены дополнительные ограничения, накладываемые на область допустимых значений для искомых показателей вероятности.

8. Решена задача по управлению риском возникновения ущерба и доходом банка от использования технологии Клиент-банк. В процессе решения задачи осуществлена декомпозиция информационного риска, построено дерево прямых расчетов, и успешно решена обратная задача.

9. Определены факторы, ограничивающие возможности метода обратных вычислений при управлении информационным риском.