电子银行技术风险管理的措施

（二）电子银行技术风险管理的措施

1.战略风险的管理

在竞争日趋激烈的环境下，银行都力图制定新的战略目标而在竞争中取得先机。银行在开发和推广电子银行产品或服务时必定会涉及大量的投资、诸多的机遇和潜在的风险。但在进行战略规划和可行性研究时，也不能过分强调风险的重要程度，否则有可能失去发展机遇，最终导致战略失误。

为了控制战略风险，银行在电子银行项目的计划和实施阶段，具体应该考虑以下几个方面的问题：

（1）制定电子银行战略规划。银行管理层应该在对客户市场进行细分的基础上定位目标市场，选择适当的电子银行服务层次，这种细分是建立在客户需求和风险评估基础上的。制定电子银行战略规划应该取得董事会的支持，而且必须考虑客户需求、竞争环境、技术人才、实施成本、维护成本以及资金支持等因素。银行的战略选择包括不提供电子银行服务、提供有限的电子银行服务（如信息型网络银行）或者提供完全的电子银行服务（如交易型网络银行）。如果选择交易型电子银行服务，下一步还需要决定为客户提供何种程度的电子银行产品和服务。电子银行业务的战略目标也因各金融机构的实际情况而有所不同，比如市场份额的增加、客户关系的改善、成本减少或增加新的收入来源等。

在制定战略规划时，银行应该向具备资格的技术专家、法律专家、经济专家、审计专家和其他专家进行咨询，以充分评估可能遇到的相关问题。银行应该全面而细致地考虑其电子银行战略目标的合理性，是否符合经济和立法环境，制定技术性的战略规划，明确用来衡量技术方案成功与否的性能目标。银行管理层应该对战略规划进行定期的审查和修改。

（2）进行成本收益分析。金融机构在电子银行战略决策之前，应进行全面的成本收益分析。一般来说，银行主要出于以下几方面的原因提供电子银行服务：更低的运行成本、更大的理分散性、提高或维持竞争地位、客户服务质量的提高、新的获利机会等等。分析人员应该清楚理解电子银行的相关风险，以使成本分析考虑适当的风险控制成本因素。否则，往往会低估成本。除了专业人员、硬件、软件和通讯成本外，成本分析还应该考虑：金融机构的政策、程序和运行更新成本;对遗留系统已有控制措施的影响;适当的网络架构、安全专家以及安全软件工具;在更广泛时间和地理区域内，为电子银行服务提供技术支持和市场营销的人员;监督电子银行供应商或技术服务商的专家和信息管理系统改造成本;电子银行相关法律和审计人才;电子银行业务的保险费用、欺诈等造成的潜在损失以及电子银行投资的机会成本等。

（3）监督和审查。一旦金融机构实施了电子银行策略后，董事会和管理层应该定期评估电子银行战略的有效性。其中关键是对电子银行实际的接受程度和机构的战略目标和期望进行比较。监督和审查的内容包括电子银行业务收入、客户数量及其增长路径、交易额及其增长趋势、电子支付的比例和交易的平均成本等。这就需要金融机构具有明确的、可计量的目标，以确定电子银行服务是否满足了客户的需求、金融机构的盈利和增长预期。

（4）外包战略决策。交易型电子银行往往采用前置系统（指依赖接口软件在电子银行系统和银行的核心业务系统之间传送信息和交易）。采用外包服务方式，有助于金融机构控制成本、获取必要的人才支持、扩大产品提供以及提高服务质量，但不可避免地增加了一种新风险，即外包风险。表3－1总结了技术自给和外包两种方式的优劣势比较。无论金融机构的电子银行服务是外包的还是自给的，都应该定期审查这种决策方式是否能满足当前及未来的需要。

表3－1　外包和自给的优劣势分析

续表

2.操作风险的管理

如上节所述，电子银行的操作风险主要产生于安全性、系统开发、客户的误操作和银行内部的组织与管理等方面。对于安全风险，银行一般应该针对系统的脆弱性进行入侵测试、监视系统以发现使用中的异常情况;实施通讯安全措施，如防火墙、口令管理、加密技术、对终端用户的授权认证等;在内部系统中实施病毒检测，不间断地对安全措施进行监控。安全控制是电子银行重要的风险防范措施之一。

（1）加密。加密是使用加密算法将明码文本数据转换成密码数据以防止未经授权的查看。银行管理层应该根据所传输的数据或信息的敏感性来选择加密的级别和类型。加密的强度依赖于三个要素，即加密算法、密钥长度和密钥的机密性。通过合理的密钥管理可以实现密钥的机密性。银行管理部门应该把机密密钥保持在银行的控制之下，且应该设法使客户了解保持私人密钥机密性的重要性。银行应该有适当的过程来选择适于其环境的加密技术，以及选择基于公开加密系统、秘密加密系统或是混合加密系统，保证口令或其他敏感数据在保存和传输过程中安全可靠。

（2）逻辑访问控制和物理安全性。访问控制用来验证和实施“用户访问银行网络、应用和数据的权利”。逻辑访问控制最常用的方法是设置用户身份和口令。每个用户都应该具有惟一的、适当长度的数字或字符组成的口令。内部用户应当避免使用容易被人察觉的口令。仅靠单一的口令系统并不能提供完全安全的用户鉴别，通过窃听会话、获取对客户计算机的访问权、在终端上安装击键捕获程序等方法，可以十分容易地破获口令，所以口令一般和防火墙等其他控制措施搭配使用。银行应该就口令的正确使用和保护向客户提供指导，并使用定期更换口令、字母数字混合口令、禁止存储明文口令、口令传输加密、连续登录失败次数限制等方法，确保口令的完整性和安全性。

物理安全性也是用来保护银行数据通讯网络和内部账户系统的一种重要的安全控制措施。应该把网络硬件设置在安全的地点，从而只有经授权的工作人员才能访问它。物理安全措施可以提供一些控制方法和程序，如备份、设备管理、审计、登记等。电子银行应该选择安全的设备存放场所，检查周围环境是否安全，以免遭受火灾、水灾、爆炸或其他类似的风险。通过警卫、障碍物、监视设备和其他类似的措施阻止外部人员的入侵。

（3）防火墙。防火墙是软件和硬件的综合体，用于审查并限制经外部通路访问内部系统。防火墙的类型和配置相差很大，从简单的路由设备到复杂的多重防火墙配置。银行管理部门应该使用防火墙来保护银行的内部网络，保护内部网络和外部网络之间的所有联接点。防火墙的功能包括网络隔离、地址审查、应用审查、信息流审查或状态审查。银行需要根据风险评估或数据分类结果的安全等级来设置防火墙。由于防火墙的设计和实施比较复杂，成本较高，银行管理部门应该聘请独立的、资深的内部安全专家或外部安全专家对其防火墙的有效性进行认证。一项设计周全的防火墙方案应涵盖整个银行的安全要求、明确的运作程序、责任分工以及被委任负责防火墙配置和操作的员工的挑选。

（4）病毒防护。只要内部网络和外部网络互联，就有可能感染计算机病毒。病毒会对银行的计算机网络、应用系统和数据文件的完整性造成严重的损坏，也可能导致不可靠的服务。防火墙并不能发现病毒，因为防火墙的病毒检测软件不能扫描经过压缩或经过加密的信息或源码。如果信息经过解压缩、扫描、再压缩，然后通过防火墙传送，就会严重影响网络的响应速度。在计算机系统的运行过程中，病毒防护是一个重要的安全性控制措施。银行管理部门应该建立整个银行系统的病毒预防和检测机制，以减少感染病毒和数据被破坏的可能性，这应当包括病毒检测工具和实施工具、客户培训和教育计划等。

（5）内部管理控制。除了采用各种技术和措施防止对电子银行的外部攻击外，还应当防备电子银行系统内部或已离任雇员未经授权的访问，以保护电子银行系统。大量研究表明，近60%～70%的侵入来源于机构内部。内部人员了解系统或网络，因此有机会（或许是有意，或许是无意的）进行未授权的访问。对银行管理层来说，对新雇员、临时雇员和顾问进行背景调查，制定对雇员的恰当监视和内部控制程序、对雇员的业绩进行外部审计、对信用卡的发放和管理进行有效的控制、明确的责任分工、对敏感数据的双重控制、对可疑交易或大额交易的跟踪以及通过其他渠道发布交易确认信息等措施，都是保证系统安全的重要防范措施。

3.声誉风险的管理

由于系统运行失效或未经授权的侵入会增加银行的声誉风险暴露，银行管理部门应该对此做出有效的防范。银行管理部门应该制定沟通计划和扩展战略，并定期进行测试，以便对因电子银行系统失效或其他问题而导致的负面客户反应做出迅速回应。银行应该提供客户支持，以完善电子银行服务，并降低银行的声誉风险暴露。

银行应该制定相应的危机管理对策，以及时有效地应对通过因特网传播针对银行的谣言所造成的声誉危机。应将谣言危机列入管理层的危机管理清单，制定专门的预警措施和应对方案，以避免危机出现时的混乱和延误时机;建立临时危机管理组织以调查谣言的缘由、预测谣言传播的危害程度及实施有效的信息控制等;应尽快向公众提供其所关心问题的相关信息，通过扩大信息量的方法来防止产生谣言，同时应确保银行内部信息畅通无阻，传播口径一致;谣言过后，银行应继续运用公共关系手段处理谣言所带来的长期负面影响，修复谣言给银行形象造成的破坏，同时还可以利用谣言传播危机创造的机会宣传银行的正面形象，以求与公众重建互信关系。

4.法律风险的管理

电子银行和客户之间的交流并非面对面的、基于书面的，所以电子银行增加了其面临的法律风险。银行必须采取相应的管理措施，以控制法律风险。

首先，提供电子银行服务的金融机构必须在网站上清晰标明其法律名称和办公地点。在法律文件、存款证明、签名卡、贷款协议、账户声明、支票及其他类似资料中必须应用法律名称。其次，遵守同电子银行相关的所有法律法规，包括客户隐私权法和信息披露法。银行网站上要有客户隐私声明，向客户公布银行的隐私保护政策和相应的安全措施，并定期对银行员工进行相关培训。在消费者信息披露中应当阐明：客户的账户数据在什么情况下会面临风险以及银行采取了什么样的安全措施，必须使客户了解他们的权利和义务。信息的披露方式按照与客户的约定，可以采取电子形式，也可以是书面形式等。

跨境电子银行业务使金融机构面临不同国家的立法要求。到底哪一个国家的法律可以适用，目前尚未确定。对此，银行应就不同国家的立法环境对工作人员进行培训。另外，银行管理部门应该向法律顾问进行咨询，以识别并考虑相关的法律问题。确定本银行的交易国家范围，并对来自交易区域以外的请求制定相应的响应策略。在现行法律对电子银行的适应性尚不确定的情况下，银行应该倍加谨慎，通过签订详细的合同，规定各方的权利和义务。

5.跨境风险的管理

与网上银行面临的国内技术风险相比，跨境风险更加复杂。银行和管理层必须更加注意对源自跨境电子银行技术风险进行评估、控制和监控。首先，银行必须了解拟提供跨境电子银行服务的国家的相关法律要求，评价该国家用户对其产品和服务的预期和了解的程度。其次，高级管理人员应该确保现行信用扩张和流动性管理机制已经考虑了来自跨国活动的潜在困难。最后，如果银行依赖国外信息技术服务提供商提供服务，需要管理部门逐个评估跨国服务提供商的信息准入问题。

巴塞尔银行监管委员会电子银行小组（Electronic Banking Group，EBG）针对跨境电子银行活动的风险特点，对开展跨境电子银行活动的银行制定了两个风险管理原则：原则一，要求在从事跨境电子银行活动前，银行应为这些活动实施适当的风险评估，建立起有效的风险管理计划;原则二，要求从事跨境电子银行活动的银行应当在自己的网站上充分披露相关的信息，以便其潜在客户确定银行的身份、所在国和营业许可。

6.外包风险的管理

（1）外包风险的评估。银行的高级管理层应充分了解与外包决策相关的风险，并制定有效的风险管理策略。除了有效管理与服务提供商之间的关系外，还应该考虑外包风险对业务系统的安全性、系统和资源的可用性与完整性、信息的机密性以及规则的一致性构成的威胁。

（2）服务提供商的尽职审查。在完成自身的风险评估后，银行管理层必须对服务提供商进行评估以决定其财务和运作方面的能力是否能满足需要。在选择外包服务提供商时，必须对其技术水平与专业人员的业务能力、安全和保密措施与保险覆盖范围、相关法律法规和专业知识的了解程度、业务处理的操作和控制能力、财务状况与声誉等进行全面评估，以选择业务能力强、声誉好的服务提供商。

（3）外包合同的制定。金融机构和服务提供商之间必须有一份正式合同，详细明确地规定双方的权利和义务。合同需要明确对客户信息的保密和控制措施、服务内容和衡量标准（客户服务的响应时间等）、业务连续性计划（包括备份要求、紧急响应程序等）、赔偿责任和争端解决机制、对系统进行测试及对财务和系统运行的审计权利、合同终止约定等内容。

（4）对服务提供商的监督。在合同执行期间，银行应重视对服务提供商的持续监督。成立包括IT专家、金融专家、审计专家以及银行战略目标专家等专家组成的监管组，定期和不定期地对服务提供商的业务能力、提供的服务级别、财务状况以及支持银行外包业务的关键人员的变动情况进行监督，以及时发现问题，采取措施减少风险。服务提供商需要向银行提供在线报告或周期性的书面报告。报告的内容应该包括：①系统服务情况。包括服务中断的频率和时间、原因（维护、设备或网络问题，安全事件等）、系统运行时间和宕机时间比例、投诉问题的数量和类型。②服务量。包括服务的账户数量;新账户的数量和比例;转账失败的次数、金额和账户类型;电子支票支付的数量、平均额度等。③运行有效性。包括每笔交易的平均响应时间;客户问题的平均处理时间;因失误、欺诈等原因造成的损失等。④安全事件。包括拒绝登录的次数;病毒攻击的类型和次数;外部攻击的类型和次数;其他任何的物理安全破坏等。⑤服务提供商的稳定性。包括季度或年度财务报告;系统或设备的变更;雇员的流动统计、管理人员的变更等。⑥质量保证。报告运行和审计结论;渗透测试情况和结论;脆弱性评估等。