銀行業(yè)信息技術(shù)風(fēng)險(xiǎn)的監(jiān)管

信息技術(shù)的運(yùn)用也使金融風(fēng)險(xiǎn)的不確定因素增多，引發(fā)技術(shù)風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)、操作風(fēng)險(xiǎn)和安全風(fēng)險(xiǎn)等。尤其是信息技術(shù)風(fēng)險(xiǎn)，可能導(dǎo)致銀行經(jīng)營(yíng)不穩(wěn)定，并最終致使銀行資金、財(cái)產(chǎn)、信譽(yù)遭受損失。

隨著信息技術(shù)在銀行業(yè)應(yīng)用的深入，其對(duì)銀行業(yè)的發(fā)展從“技術(shù)支持”轉(zhuǎn)向“技術(shù)驅(qū)動(dòng)”，逐漸成為提升銀行核心競(jìng)爭(zhēng)力的關(guān)鍵要素。但信息技術(shù)的運(yùn)用也帶來(lái)一些負(fù)面效應(yīng)，使金融風(fēng)險(xiǎn)的不確定因素增多，復(fù)雜性加大，引發(fā)技術(shù)風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)、操作風(fēng)險(xiǎn)和安全風(fēng)險(xiǎn)等。尤其是信息技術(shù)風(fēng)險(xiǎn)，可能導(dǎo)致銀行經(jīng)營(yíng)不穩(wěn)定，并最終致使銀行資金、財(cái)產(chǎn)、信譽(yù)遭受損失。

信息技術(shù)風(fēng)險(xiǎn)特點(diǎn)及成因

信息技術(shù)的缺陷使風(fēng)險(xiǎn)不可避免。信息技術(shù)誘發(fā)的風(fēng)險(xiǎn)主要表現(xiàn)在以下幾方面：由于網(wǎng)絡(luò)設(shè)備生產(chǎn)技術(shù)不過(guò)關(guān)、網(wǎng)絡(luò)通訊技術(shù)不夠先進(jìn)、網(wǎng)絡(luò)設(shè)備管理水平不到位等因素，導(dǎo)致網(wǎng)絡(luò)出現(xiàn)故障，從而影響到銀行業(yè)務(wù)的正常進(jìn)行，給銀行帶來(lái)?yè)p失。由于操作系統(tǒng)或者數(shù)據(jù)庫(kù)管理系統(tǒng)漏洞原因，導(dǎo)致數(shù)據(jù)損壞、系統(tǒng)受到攻擊或者應(yīng)用系統(tǒng)無(wú)法正常運(yùn)行等問(wèn)題，從而給銀行帶來(lái)風(fēng)險(xiǎn)。由于各類應(yīng)用系統(tǒng)設(shè)計(jì)的不科學(xué)、不合理，或者隱藏未發(fā)現(xiàn)的瑕疵，致使業(yè)務(wù)運(yùn)行中斷或者數(shù)據(jù)錯(cuò)誤，導(dǎo)致出現(xiàn)風(fēng)險(xiǎn)。安全技術(shù)運(yùn)用不當(dāng)或者安全技術(shù)不過(guò)關(guān)，也是誘發(fā)風(fēng)險(xiǎn)的一個(gè)主要原因。由于認(rèn)證技術(shù)不過(guò)關(guān)，導(dǎo)致出現(xiàn)資金丟失或被騙取等問(wèn)題，給銀行和客戶造成損失。

信息化的廣闊性使風(fēng)險(xiǎn)面擴(kuò)大。一方面，銀行幾乎所有的業(yè)務(wù)都使用了信息技術(shù)，使得信息技術(shù)在銀行經(jīng)營(yíng)中無(wú)處不在。另一方面，信息技術(shù)的使用使得銀行業(yè)務(wù)延伸的廣度和深度發(fā)生了很大變化，特別是網(wǎng)絡(luò)技術(shù)的應(yīng)用和電子銀行的發(fā)展，使得銀行的業(yè)務(wù)操作不再僅僅局限于銀行內(nèi)部員工，銀行業(yè)務(wù)的操作已成為全社會(huì)的行為。

正是由于這些特性，使得銀行出現(xiàn)了一些新的風(fēng)險(xiǎn)因素：一是由于客戶的誤操作造成諸如信息泄露等問(wèn)題，導(dǎo)致銀行或客戶財(cái)產(chǎn)損失。二是由于網(wǎng)絡(luò)和銀行的各類終端面向全社會(huì)，不法分子利用網(wǎng)絡(luò)漏洞進(jìn)行攻擊盜取銀行資金或者進(jìn)行惡意破壞，給銀行造成損失。三是容易受到計(jì)算機(jī)病毒的攻擊和破壞，從而造成損失。

自然災(zāi)害使風(fēng)險(xiǎn)難免出現(xiàn)。自然災(zāi)害的破壞力往往是驚人的，它可以破壞銀行信息化過(guò)程中的一些關(guān)鍵場(chǎng)所和關(guān)鍵設(shè)備，如機(jī)房、各類設(shè)備、通訊設(shè)施以及關(guān)鍵的銀行業(yè)務(wù)數(shù)據(jù)等，從而導(dǎo)致銀行無(wú)法正常經(jīng)營(yíng)，財(cái)產(chǎn)受到直接和間接損失。

制度措施不到位形成風(fēng)險(xiǎn)隱患。制度因素體現(xiàn)在四個(gè)方面：一是外部法律法規(guī)不健全。信息技術(shù)的發(fā)展往往先于法律法規(guī)，當(dāng)銀行使用一項(xiàng)新的信息技術(shù)時(shí)，如果沒(méi)有相關(guān)法律法規(guī)的及時(shí)跟進(jìn)，就會(huì)在行為出現(xiàn)爭(zhēng)議時(shí)沒(méi)有法律依據(jù)，從而導(dǎo)致銀行面臨訴訟、賠償和合同失效等法律風(fēng)險(xiǎn)，特別是目前電子銀行的快速發(fā)展，使這一問(wèn)題顯得更加突出。二是內(nèi)部管理措施不到位。銀行大量使用信息技術(shù)以后，其業(yè)務(wù)流程發(fā)生很大變化，如果銀行管理方式不跟著改變，內(nèi)部管理制度不及時(shí)跟進(jìn)，就會(huì)出現(xiàn)因?yàn)閮?nèi)部人員鉆制度漏洞而作案的風(fēng)險(xiǎn)。三是安全措施風(fēng)險(xiǎn)。安全技術(shù)不到位會(huì)給銀行造成風(fēng)險(xiǎn)，但如果與之配套的安全管理規(guī)章制度能夠到位，可以大大減少此類風(fēng)險(xiǎn)。四是因技術(shù)外包導(dǎo)致風(fēng)險(xiǎn)。隨著銀行信息化的發(fā)展，銀行出于技術(shù)人員短缺和降低經(jīng)營(yíng)成本兩方面的考慮，會(huì)將技術(shù)外包給專業(yè)的信息技術(shù)服務(wù)商，由其代為開(kāi)發(fā)、維護(hù)和管理等，這樣的做法可能會(huì)導(dǎo)致信息系統(tǒng)失控、服務(wù)不能滿足需要和商業(yè)信息泄露給競(jìng)爭(zhēng)對(duì)手的風(fēng)險(xiǎn)。

監(jiān)管建議

建立和完善監(jiān)管的法律法規(guī)體系。為保障信息技術(shù)風(fēng)險(xiǎn)監(jiān)管的有效實(shí)施，應(yīng)借鑒發(fā)達(dá)國(guó)家已出臺(tái)的相關(guān)法律法規(guī)，結(jié)合我國(guó)的具體情況，逐步建立和完善我國(guó)銀行信息技術(shù)風(fēng)險(xiǎn)監(jiān)管法律法規(guī)體系。

在制定銀行信息技術(shù)風(fēng)險(xiǎn)監(jiān)管的法規(guī)時(shí)應(yīng)當(dāng)注意五個(gè)方面的問(wèn)題：由于信息技術(shù)的發(fā)展瞬息萬(wàn)變，監(jiān)管法規(guī)應(yīng)該避免規(guī)定過(guò)細(xì)。要充分權(quán)衡對(duì)商業(yè)銀行的安全、成本、交易規(guī)模的利弊，如果安全措施使交易速度下降，或者妨礙了客戶的其他金融服務(wù)，金融服務(wù)的質(zhì)量就會(huì)受到影響。應(yīng)當(dāng)努力在技術(shù)上保持中立，以鼓勵(lì)和推動(dòng)技術(shù)創(chuàng)新。必須考慮公眾的利益。在系統(tǒng)安全與服務(wù)費(fèi)用、服務(wù)質(zhì)量及客戶隱私保護(hù)等方面達(dá)到平衡。應(yīng)根據(jù)電子銀行信息技術(shù)風(fēng)險(xiǎn)的特點(diǎn)，動(dòng)態(tài)地提出原則性的監(jiān)管要求，明確要求銀行重視對(duì)新技術(shù)的跟蹤，以及對(duì)系統(tǒng)的及時(shí)更新。

建立我國(guó)銀行信息技術(shù)風(fēng)險(xiǎn)評(píng)級(jí)體系。為了使監(jiān)管當(dāng)局更全面、更直接地掌握被監(jiān)管機(jī)構(gòu)的信息技術(shù)風(fēng)險(xiǎn)程度，評(píng)估其在控制各種信息技術(shù)風(fēng)險(xiǎn)時(shí)的總體有效程度，需要建立信息技術(shù)風(fēng)險(xiǎn)評(píng)級(jí)體系。首先對(duì)信息技術(shù)風(fēng)險(xiǎn)進(jìn)行系統(tǒng)地識(shí)別和分析，對(duì)引發(fā)信息技術(shù)風(fēng)險(xiǎn)的各種因素進(jìn)行歸類和細(xì)分。其次是在定性分析的基礎(chǔ)上，設(shè)計(jì)與各信息技術(shù)風(fēng)險(xiǎn)因素相關(guān)的指標(biāo)項(xiàng)，規(guī)定各指標(biāo)項(xiàng)的權(quán)重，然后匯總，從而設(shè)計(jì)出總的信息技術(shù)風(fēng)險(xiǎn)評(píng)級(jí)框架。最后，根據(jù)各指標(biāo)項(xiàng)的意義確定其打分原則，規(guī)定級(jí)別計(jì)算方法以及各級(jí)別的標(biāo)準(zhǔn)。

實(shí)行銀行信息技術(shù)風(fēng)險(xiǎn)分級(jí)監(jiān)管策略。銀行信息系統(tǒng)既涉及到計(jì)算機(jī)、通信和網(wǎng)絡(luò)技術(shù)，也涉及金融理論與實(shí)務(wù)、現(xiàn)代金融管理等多個(gè)學(xué)科，其風(fēng)險(xiǎn)隨著計(jì)算機(jī)犯罪手段和形式的變化而更為復(fù)雜。加之，我國(guó)銀行信息技術(shù)風(fēng)險(xiǎn)監(jiān)管人員的數(shù)量非常有限，能力亟待提高。因此，要區(qū)分信息系統(tǒng)的類型，不同類型的信息系統(tǒng)由于所面臨風(fēng)險(xiǎn)的復(fù)雜性和程度不同，需要的監(jiān)管程度和重點(diǎn)也就不同。從我國(guó)目前銀行信息技術(shù)風(fēng)險(xiǎn)的實(shí)際情況看，傳統(tǒng)銀行信息系統(tǒng)由于其軟硬件環(huán)境相對(duì)封閉，業(yè)務(wù)應(yīng)用相對(duì)成熟，風(fēng)險(xiǎn)較低，信息技術(shù)風(fēng)險(xiǎn)監(jiān)管的要求也比較低，重點(diǎn)應(yīng)該放在系統(tǒng)災(zāi)難備份和恢復(fù)上。對(duì)電子銀行系統(tǒng)，由于具有開(kāi)放性和虛擬性的特點(diǎn)，面臨的風(fēng)險(xiǎn)較大，信息技術(shù)風(fēng)險(xiǎn)監(jiān)管的要求也就較高。

在電子銀行信息技術(shù)風(fēng)險(xiǎn)監(jiān)管中，首先應(yīng)對(duì)所有開(kāi)辦網(wǎng)上銀行業(yè)務(wù)的銀行進(jìn)行評(píng)估，然后區(qū)別情況對(duì)待，對(duì)問(wèn)題嚴(yán)重的銀行首先集中監(jiān)管力量進(jìn)行監(jiān)管，即實(shí)行分級(jí)監(jiān)管策略。信息技術(shù)風(fēng)險(xiǎn)分級(jí)監(jiān)管建立在銀行信息技術(shù)風(fēng)險(xiǎn)評(píng)級(jí)的基礎(chǔ)之上，對(duì)不同風(fēng)險(xiǎn)級(jí)別的銀行的檢查程序、檢查頻率、檢查內(nèi)容以及檢查人員等都體現(xiàn)出差異性。如評(píng)級(jí)最差的銀行要受到最為嚴(yán)格的監(jiān)管，檢查程序最為全面具體，檢查頻率也最高。而評(píng)級(jí)最優(yōu)的網(wǎng)上銀行甚至可以享受免檢的待遇，由商業(yè)銀行進(jìn)行自查即可。

信息技術(shù)風(fēng)險(xiǎn)評(píng)級(jí)的主體應(yīng)當(dāng)是銀行監(jiān)管當(dāng)局，但在評(píng)級(jí)時(shí)可以參考外部評(píng)估機(jī)構(gòu)的評(píng)估報(bào)告。評(píng)定的級(jí)別不是一成不變的，一般每個(gè)檢查周期完成之后要根據(jù)檢查結(jié)果重新確定級(jí)別，在檢查之前，也應(yīng)根據(jù)兩次相臨檢查期間內(nèi)銀行信息技術(shù)風(fēng)險(xiǎn)的變化情況，對(duì)前次級(jí)別作適當(dāng)調(diào)整。而監(jiān)管的級(jí)別實(shí)際上是以調(diào)整后的級(jí)別為依據(jù)的。

建立銀行信息技術(shù)風(fēng)險(xiǎn)預(yù)警系統(tǒng)。通過(guò)對(duì)銀行信息技術(shù)風(fēng)險(xiǎn)因素的識(shí)別和分析，建立科學(xué)的信息技術(shù)風(fēng)險(xiǎn)監(jiān)管指標(biāo)體系，并盡可能進(jìn)行量化。建立銀行信息技術(shù)風(fēng)險(xiǎn)預(yù)警數(shù)據(jù)庫(kù)。根據(jù)信息技術(shù)風(fēng)險(xiǎn)指標(biāo)體系廣泛采集國(guó)內(nèi)外有關(guān)銀行，甚至相關(guān)行業(yè)(如商業(yè)、財(cái)稅、會(huì)計(jì)等)安全性風(fēng)險(xiǎn)的數(shù)據(jù)，建立銀行信息技術(shù)風(fēng)險(xiǎn)預(yù)警數(shù)據(jù)庫(kù)。建立銀行信息技術(shù)風(fēng)險(xiǎn)預(yù)警模型。盡可能采用數(shù)學(xué)方法，在對(duì)大量信息技術(shù)風(fēng)險(xiǎn)問(wèn)題的模式和規(guī)律進(jìn)行深入分析和研究的基礎(chǔ)上，建立數(shù)據(jù)模型，估計(jì)參數(shù)值。進(jìn)行風(fēng)險(xiǎn)預(yù)警。通過(guò)實(shí)時(shí)、動(dòng)態(tài)的監(jiān)控，借助風(fēng)險(xiǎn)預(yù)警模型，對(duì)我國(guó)現(xiàn)行銀行信息系統(tǒng)的風(fēng)險(xiǎn)因素和可能面臨的威脅預(yù)警，并定期向商業(yè)銀行發(fā)布銀行信息技術(shù)風(fēng)險(xiǎn)預(yù)警信息。

建立銀行信息技術(shù)風(fēng)險(xiǎn)報(bào)告制度。對(duì)各種銀行系統(tǒng)的運(yùn)行情況、業(yè)務(wù)數(shù)據(jù)、資金規(guī)模、各種風(fēng)險(xiǎn)的暴露情況、規(guī)章制度的執(zhí)行情況、系統(tǒng)的更新改造情況等基本情況進(jìn)行報(bào)告。對(duì)重大安全事件進(jìn)行報(bào)告，要求商業(yè)銀行對(duì)發(fā)生在其各類系統(tǒng)內(nèi)的安全事故提供準(zhǔn)確的信息，包括銀行信息系統(tǒng)遭到入侵、遭受“拒絕服務(wù)”、客戶資金被盜用、客戶的隱私受到侵害等犯罪行為，以及系統(tǒng)服務(wù)中斷、數(shù)據(jù)遭到破壞、數(shù)據(jù)失竊、違反銀行安全制度等安全事故。對(duì)未及時(shí)報(bào)告或未報(bào)告行為進(jìn)行嚴(yán)厲的懲罰。除了報(bào)告安全事故本身外，各商業(yè)銀行還應(yīng)針對(duì)每個(gè)事故寫(xiě)出詳細(xì)的分析報(bào)告，內(nèi)容包括事故所屬的系統(tǒng)、該系統(tǒng)的基本情況及安全措施、事故的原因、事故的性質(zhì)、改進(jìn)辦法等。

加強(qiáng)各金融監(jiān)管部門之間的協(xié)調(diào)。信息技術(shù)的應(yīng)用，使銀行產(chǎn)品進(jìn)一步綜合化，銀行業(yè)、證券業(yè)和保險(xiǎn)業(yè)之間的交叉程度加深，分業(yè)監(jiān)管的難度加大，監(jiān)管的邊界更加模糊，需要銀監(jiān)會(huì)、證監(jiān)會(huì)和保監(jiān)會(huì)三大監(jiān)管機(jī)構(gòu)加大協(xié)同監(jiān)管。另一方面，網(wǎng)絡(luò)的開(kāi)放性使得跨國(guó)金融犯罪迅速增加，加強(qiáng)各國(guó)金融監(jiān)管當(dāng)局之間的合作成為必然的要求。

（作者單位：湖北經(jīng)濟(jì)學(xué)院 湖北銀監(jiān)局）