網銀時代資金風險與控制初探

張浩

網銀時代資金風險與控制初探

張浩

隨著信息化與傳統銀行業的完美融合，網絡銀行業務發展突飛猛進，網銀交易規模迅速增長、用戶規模不斷擴大、網銀替代率顯著增加。國家財政預算管理體制改革不斷推進，國庫集中支付與網絡銀行成功對接，實現了支付電子化管理，進一步推動了網絡銀行在行政事業單位的普及。

網絡銀行在以其快捷和高效給單位帶來方便的同時，也產生了一系列的問題，給單位的資金安全帶來一定的風險。

一、網絡銀行使用現狀

據統計，使用財政資金的單位針對國庫集中支付代理銀行已經全部開通了網銀業務，網銀使用率為100%；針對自有資金的銀行賬戶也絕大部分開通了網銀業務，網銀使用率應該在95%以上。只有極少部分單位因辦公或外部通訊條件限制、賬戶使用率不高等特殊原因沒有開通網銀業務。

除零星支出的現金業務及社保繳費等有特殊要求的業務外，網銀業務幾乎全部替代了傳統支付手段。網銀系統的省時、高效為用戶資金支付和管理提供了極大的便利，提高了工作效率，降低了運行成本。網銀業務已經成為單位運行不可缺少的重要環節。

網銀業務雖然得到了普遍的推廣和應用，但各單位對網銀業務的管理和控制重視程度普遍不足，風險意識不強。沒有制定專門的辦法及內控制度，對網銀業務進行管理和規范。同時，對網銀支撐系統的硬件投入也嚴重不足，絕大多數單位沒有配備網銀業務專用電腦。

二、網絡銀行使用的風險分析

（一）沒有制訂網銀業務崗位責任制度，分工及權限劃分不明確

存在業務交叉、混崗，甚至出現一人處理網銀全部業務流程的情況。

（二）處理網銀業務的電腦系統運行環境及安全防范狀況惡劣

因受條件限制，多數網銀客戶端電腦沒有進行物理隔離，日常工作電腦和網銀客戶端電腦無法分開，部分網銀操作員電腦上裝有聊天軟件、購物軟件、游戲軟件、影視軟件、下載軟件等非工作性軟件。部分客戶端電腦安裝了盜版的操作系統或應用軟件，造成網銀客戶端運行環境惡劣，隨時面臨病毒、木馬及黑客侵入風險。絕大部分操作系統只安裝了免費的殺毒軟件，沒有能力防范針對網銀的網絡攻擊和病毒入侵，安全狀況堪憂。

（三）密碼的設置和使用不規范

密碼設置過于簡單，沒有定期更換密碼制度或制度沒有得到嚴格落實，密碼更換沒有現場監督及登記，致使密碼更換流于形式。密碼使用不規范，甚至在一定范圍內公開，工作人員以多種身份進入系統操作。會造成責任無法區分，給營私舞弊留下可乘之機。

（四）密鑰、口令盤、U盾等移動加密介質管理不嚴格

沒有實現專人專用，使用人不能妥善保管相關加密介質，存在混用、交叉使用，甚至長期插在網銀客戶端電腦上失去監管。移動加密介質對網銀系統的保護作用形同虛設，存在極大的安全隱患。

（五）網銀支付憑證取得和管理不規范

以從網銀系統自行打印的電子回單完全替代傳統銀行支付回單，加之回單由支付人員打印、會計憑證無法與支付人員完全隔離等因素，存在偽造、替換支付憑證及虛假支出等風險。

（六）銀行對賬不規范

銀行對賬崗位設置不合理，對賬不及時。對賬單從網銀系統自行打印，且由出納人員打印并核對，存在偽造對賬單及資金損失風險。

三、網絡銀行風險控制措施

（一）關于網銀操作崗位的設置及分工

1.注冊開通網上銀行服務的單位至少需配備兩名網上銀行操作人員方能進行相關操作。

2.網銀操作人員權限應進行分級管理，依據操作人員權限分為不同級別，出納人員權限級別最低，財務主管人員權限級別最高。

3.支付申請、復核及支付審批權限應分別授予不同崗位。支付電子回單打印、銀行對賬及電子對賬單打印權限不得授予出納人員。

（二）關于網銀客戶端操作環境維護

1.有條件的單位應盡量安排網銀客戶端專用電腦，保證網銀操作系統安全。

2.裝有網銀客戶端的電腦必須設置開機口令，嚴禁無關人員操作使用。

3.嚴禁在網銀客戶端電腦上安裝與公務活動無關的應用程序及游戲軟件。

4.使用正版操作系統，盡量安裝功能完善的付費殺毒軟件，并及時升級殺毒軟件和防火墻，保證電腦的殺毒軟件保持在最新狀態。建議殺毒軟件設定為自動升級，每天都要對電腦進行殺毒，尤其在進行網上銀行操作之前，必須開啟殺毒軟件的實時監控，并啟用個人防火墻。

5.網銀操作人員離開崗位時必須退出網上銀行系統，并將密鑰從計算機上拔出，以防數字證書等機密資料落入他人之手。

6.不得在網銀客戶端專用電腦及單位財務內部電腦以外其他任何電腦下載網銀證書、使用單位網銀辦理業務。

7.網銀客戶端電腦發生系統崩潰、黑客入侵及硬件毀損等情況時，須報告部門及單位領導，統一查明原因，采取更換或維修等必要措施，不得隱瞞不報，不得私自處理，嚴禁引入外部單位或人員參與網銀系統的數據維護及維修。

（三）關于密碼設置及使用

1.無論在什么時候都要保管好自己的密碼，絕對不可以告訴第三方，遇有崗位輪換時應立即更換密碼。

2.切不要把自己的出生日期、房間號、電話號碼以及身份證號碼等作為密碼，建議選擇有代表性的數字和字母混合的方式設置密碼，以提高密碼破解的難度；不同的客戶端登錄密碼、用戶PIN碼、支付密碼采用不同設置方案，嚴禁與郵箱、論壇、購物網站等私人密碼相同；嚴禁長期使用網銀客戶端啟用時的原始密碼。

3.密碼要定期修改，最長不得超過兩個月，不得采用幾組固定密碼輪換方式。密碼更換要有登記并由專人進行監督檢查，基本程序為：監督人現場監督用舊密碼進入系統，監督人回避，密碼更換人啟用新密碼，監督人驗證舊密碼無法進入，密碼更換人及監督人在登記表上簽字完成密碼更換。

4.不要使用自動登錄功能讓電腦記憶密碼，尤其是在非網銀專用電腦上，如果有軟鍵盤要盡量用軟鍵盤登陸方式輸入密碼。

5.嚴禁將網銀密碼以文本形式存儲在電腦硬盤、U盤、電子郵箱及手機中，以免泄露；記載密碼的密碼紙或口令本應存放于密碼使用人保險柜中且與對應的密鑰、口令盤、U盾等移動加密介質分開保管，嚴禁將二者存放在一起。

6.密鑰、口令盤、U盾等移動加密介質必須由使用人妥善保管，不得混用、交叉使用，使用完畢應立即收回，妥善保管，嚴禁長期插在網銀客戶端電腦上失去監管。

7.密鑰、口令盤、U盾及密碼發生遺失、泄露時，應立即報告部門及單位領導，采取必要的補救措施。

（四）關于網銀支付憑證及對賬單

1.網絡銀行支付回單不能以自行打印的電子回單代替。可在支付完畢后先將電子回單附憑證后入賬，單位應定期到開戶銀行取回加蓋銀行業務公章的正式回單入賬。

2.網銀支付電子回單打印應由網銀業務復核或審批人員完成，不得由出納人員操作。

3.單位不得以網銀系統打印的電子對賬單代替正式對賬單，應定期到開戶銀行取回加蓋銀行業務公章的正式對賬單，并由財務主管人員核對及編制銀行余額調節表

（作者單位：淮委沂沭泗水利管理局221018）