我國網上銀行操作風險剖析與對策

劉蕙 林志杰

[摘 要]闡述我國網上銀行的操作風險現狀，分析了操作風險的來源及形成原因，從風險識別、操作流程、信息系統與溝通和監控制度四個維度，對防范網上銀行操作風險提出改進意見。

[關鍵詞]網上銀行；操作風險；控制

[中圖分類號]F832.33

[文獻標識碼]A

[文章編號]2095-3283（2018）08-0100-03

Abstract： This paper expounds the status quo of operational risk of Internet banking in China， analyzes the sources and causes of operational risks. And puts forward improvement suggestions on preventing operational risks of Internet banking ，from the four dimensions of risk identification， operational process， information system and communication and monitoring system， this paper proposes suggestions for improving the risk of Internet banking operations.

Keywords： Internet Banking；Operational Risk；Control

[作者簡介]劉蕙（1970-），女，廣州商學院金融學院，副教授，研究方向：互聯網金融、移動商務；林志杰（1994-），男，渣打銀行（中國）廣州分行職員，研究方向：信貸、互聯金融。

[基金項目]廣東省普通高校特色創新類項目（人文社科類）“廣州商學院虛擬仿真實驗教學中心”（項目編號：2015WTSCX114）；廣州商學院教學改革項目“基于移動混合學習的翻轉課堂教學模式探析——以中央銀行學為例”（項目編號：JXGG201502），廣東省特色重點學科“廣州商學院電子商務”（項目編號：TSZDXK201601）。

一、我國網上銀行操作風險現狀

我國開展網上銀行業務始于1998年，截至2017年底，我國網上銀行客戶交易規模為421.5萬億元人民幣。與發達國家相比，我國網上銀行的發展仍處于起步階段，體現在以下三個方面：第一，我國的網上銀行基本上屬于分支型網上銀行，業務附屬于母行；第二，我國的網上銀行在銀行間規模業績不平衡，以五大行和招商銀行為第一梯隊，處于領頭羊的地位，在客戶群體、業務發展上形成了一定的客戶規模；第三，網上銀行業務分布不均衡，在線支付、轉賬、網絡賬單等業務因適應網絡時代需求，業務發展較快，而信息服務、個人銀行服務、企業銀行服務等發展相對緩慢。

二、網上銀行操作風險的來源

（一）內部雇員的操作風險

內部員工對網絡密鑰、認證方式都比較了解，違規員工可能會嘗試非法越權操作，篡改銀行內部數據，竊取客戶賬戶和個人信息，假裝客戶提現或轉賬，或對外售賣客戶信息，泄露客戶個人隱私和信息。一旦發生這種情況，銀行必須承擔客戶的損失和重建客戶信息數據庫。另外，部分員工的個人素質和能力較差，網絡技術知識沒有及時更新，無法熟練掌握基本業務流程和操作及使用新設備，導致服務效率低、服務質量差、操作失誤嚴重，給客戶帶來較差的服務體驗，帶給銀行不必要的損失。

（二）客戶的操作風險

網絡銀行客戶的安全意識一般較弱，部分客戶極度缺乏風險防范意識，忽視對密碼的保護，將密碼設置為生日、簡單重復的數字等容易被他人猜到的數字，即使銀行采用先進的系統，也難以防范帳號被盜，資金被非法轉移就容易發生。其次，一些客戶可能會在不安全的設備或公共場所中輸入個人賬戶和個人信息，使終端設備被安裝木馬程序并被竊取帳號和密碼，導致資金被盜取和個人信息被出售。還有客戶缺乏基本網絡操作知識，進行了錯誤操作。

（三）黑客的操作風險

黑客可能使用的手段有非法進入銀行內部系統、在網絡傳輸通道中竊取客戶信息、采用非法手段竊取和篡改客戶信息、使用病毒攻擊銀行系統。黑客最常用的手段是將含病毒的匿名郵件或短信發送給客戶，當用戶點開這些電子信息，病毒就入侵客戶的電腦、手機，自動記錄客戶的鍵盤輸入數據，并發送到黑客的系統，黑客盜用客戶的賬號和密碼，進入網上銀行系統，盜取客戶的資金。黑客攻擊使銀行丟失客戶數據以及銀行系統崩潰，銀行為重建系統必須付出昂貴的代價，損壞了銀行的社會信譽和社會形象，嚴重阻礙網上銀行業務的發展。

（四）操作系統的操作風險

網上銀行操作系統也是操作風險來源。一是銀行不及時更新網絡和系統軟件，很有可能引發系統操作失靈或者反饋過慢，這樣不僅給客戶帶來不好的使用體驗，也影響了網上銀行系統的正常運行；二是銀行使用過期或不完全的操作系統和應用軟件，無法保證系統對入侵的有效防范；三是黑客入侵技術及手段更新較快，操作系統沒有及時更新，黑客入侵將變得越來越容易；四是操作系統技術平臺選擇不當，同樣會影響系統安全性和系統速度；五是即便銀行充分重視上述問題，并采取相關的措施更新系統，但是由于網絡信息技術發展快速及多樣性，銀行無法擁有百分之百防御的操作體系。

三、我國網上銀行操作風險產生的原因

（一）金融監管難度增大

網上銀行的出現，改變了商業模型、業務類型及流程，降低了交易成本，減少了銀行業務信息的不對稱性，使得銀行扮演的角色發生了變化，也使銀行風險更復雜，對銀行管理和外部監督也是一個新的挑戰。首先，監管機構必須對網上銀行業務采用新標準進行安全評估；其次，金融產品正一步一步走向聯結，例如銀行、證券和保險等的交叉營銷，加大了金融監管難度。再次，交易及交易憑證電子化，交易頻率高、規模大，難以采用傳統的監管方式評估交易的風險性、合法性和合規性。

（二）網上銀行應用技術存在缺陷

網上銀行屬于新興事物，我國網上銀行基礎設施薄弱，缺乏整體規劃、資金、技術、環境及專業技術人才，網上銀行的穩定性和安全性與發達國家的網上銀行的發展水準有較大的差距。我國網上銀行還普遍存在著技術外包現象，基本上是委派信息技術服務商向銀行提供網上銀行的服務功能，雖然節省了開發的周期和成本，但是銀行沒有參與到網上銀行系統的開發維護，無法全面整體地了解網上銀行系統的核心技術和配置的屬性，無法提供完善的配套的售后服務。

（三）網絡犯罪調查難度較高

網絡是一個開放的虛擬空間，罪犯真正實施犯罪的具體地點難以確定。網上銀行經濟犯罪具有高智能性和隱蔽性的特點。同時，經濟犯罪網絡的證據難以被收集，黑客會通過預先安裝的程序擦除入侵痕跡和抹除證據。司法機關人員必須具有良好的專業素質，以及相關的網絡技術和金融等專業知識，才能有效調查這類犯罪活動。因此，網絡犯罪的調查難度較高，不利于網絡風險的防范。

（四）銀行客戶操作風險意識薄弱

造成我國銀行客戶安全意識普遍淡薄的原因在于：一是銀行和媒體對網上銀行的安全方面的知識宣傳力度不夠，缺乏必要的安全經驗的指導和突發緊急事件的提醒；二是長久以來銀行信息不透明，為了避免公開相關操作風險事件造成的銀行信譽度降低而產生負面的影響，銀行一般采取回避的態度，甚至主動隱瞞，而將更大的工夫花在網上銀行產品的宣傳上，沒有真正從技術和管理上提高網上銀行系統性能的動力；三是客戶在選擇網上銀行服務時，往往對各家網上銀行系統的安全性和穩定性了解不足，選擇盲目，客戶往往都不知道到底網上交易的風險是什么，主動采取安全措施的意識薄弱，對系統運行繁瑣的安全請求覺得麻煩，這讓原本安全性較強的銀行也被迫降低安全級別；四是部分銀行的網址、網站不統一，客戶不便于查找網絡銀行登錄入口，在使用搜索引擎選擇網址時容易放松警惕，給那些試圖攔截、獲取客戶機密信息者提供了方便。

四、網上銀行操作風險管理改進的建議

（一）強化對操作風險的識別

1. 把握風險識別的重點

為了提高風險識別的效率和效果，網上銀行需要建立一套完整的操作風險識別流程：第一，總結所有可能引起網上銀行操作風險的因素，不僅包括銀行的經營目標、內部框架、產品和設備情況、人員和系統情況等內部因素，還應該考慮政治、經濟、文化、技術等外部因素；第二，在新的產品、制度、系統上線之前都應該對其上線之后可能存在的操作風險進行充分的評估，對可能存在的所有風險點進行整理，在上線后保持密切持續的關注；第三，重視操作風險的形成原因，在對操作風險的識別過程中，不僅要關注操作風險，更要關注形成操作風險的真正原因，采取針對性的解決辦法；第四，建立獎勵機制，對于勇于指出自身崗位操作風險的員工，經核實后給予相應的獎勵以鼓勵員工自覺預防操作風險。

2. 優化對操作風險的評估

針對操作風險的評估準確度不高的情況，應注重數據累積，建立操作風險損失的長期數據庫，采用國際成熟評估模型，分析損失的分布范圍、發生頻率和具體的損失金額，總結出風險評估的關鍵指標，利用記分卡等方式，建立健全操作風險評估體系，同時注意國內外銀行差異，不能完全套用國外標準。

（二）完善操作流程

1.健全網上銀行操作風險控制制度

積極借鑒西方銀行健全內部管控的經驗，全方位地了解網上銀行操作風險的屬性度。針對高發的管理人員帶頭進行違規操作，脅迫和命令下屬協助，銀行應建立健全員工檢舉制度，堅定地遏制各類問題案件的多發趨勢。

2.改善組織結構

在銀行機構內部控制制度框架設計中，要明晰內部治理責任的分配，各部門分別執行不同職能，分開控制操作風險、業務運營和后臺服務，以避免重復管理。在設置網上銀行相關崗位時，必須堅持不兼容的職責分離原則，明確規定不同部門各自的職責。

3.建立應急中心，有效應對突發事件

當風險事件發生時，應及時提供有效的解決方案，迅速處理網絡銀行的安全問題，確保銀行和客戶的損失最小化。并始終留意相關安全知識的新趨勢，針對相關安全問題及時采取解決辦法。

（三）健全信息系統與溝通機制

1.建立全面信息共享平臺

遵循經濟性、適用性的原則，建立一套覆蓋銀行各個角落的信息系統。這樣管理層不僅可以快速地與下級部門溝通，包括操作風險的各種問題，也解決了各部門因缺乏信息共享而出現的其他問題。

2.加強信息基礎建設

銀行應該根據自身規模和發展目標建設和規劃符合自身需要的信息系統。對各個基層網點的信息系統進行升級、改造，定期、全面地對后臺核心系統和前臺業務系統進行檢查，及時發現存在的問題并予以解決，最大程度地減少因系統故障而帶來的操作風險，提高業務辦理和信息傳遞的速度，保證整個信息共享網絡的順暢運行。

3.建立快速有效的信息反饋機制

優秀的信息反饋機制是商業銀行內部信息交流過程中不可缺少的環節。在操作風險案件發生時，相關部門應及時反饋案件的信息，并由管理層尋找解決方案，及時補救。另外，完善的信息反饋機制還有助于提高銀行對外部問題的解決速度，提升銀行的市場競爭力。

4.建立健全內部溝通與外部溝通機制

銀行的內部溝通需要信息共享系統的協助，溝通內容不僅包括經營過程中的各種即時信息，也包括內部管理中明確的規章制度和授權。建立良好的外部溝通機制，可以及時向客戶反饋業務信息，了解客戶的需求，降低因為溝通問題所產生的操作風險。

（四）改進監控制度

1.建立內部控制績效監測制度

針對各個部門及下屬分支機構的業務流程、權力和責任，建立明確的書面說明，對操作風險事件發現、報告、處理過程、原因分析以及預防措施等各方面作出明確的規定，采用日常檢查、現場檢查、業務指導、業務考核等方法監測，建立內部控制績效監測制度。此外，還要建立責任追究制度，對不符合規定的部門和人員追究責任并進行處理。鼓勵群眾和內部員工對違規行為進行舉報，經調查屬實的給予舉報人員適當的獎勵。

2.加強內部審計委員會的權力

內部審計委員會及其下屬分支機構則負責整個網上銀行內部控制活動的實際運行以及內控系統各模塊的完善工作。其職責是從內部審計角度出發，采取關鍵指標法評價各部門的內部控制運營情況，然后將發現的問題匯報給董事會，由董事會統一給出解決措施，并傳達給問題部門。在特殊情況下，對于小問題給予內審委員會自行決定的權利，減輕董事會的工作壓力，針對操作風險問題作出更快的反應。

3.建立內部審計人員派駐制度

加強內部審計委員會對整個網上銀行內部控制的掌控力度。借鑒國內外銀行的經驗，建立內部審計人員派駐制度，對各分行、支行的派駐人員統一任命和管理，派駐人員定期上傳派駐部門的內部審計情況，并就部門在審計過程中出現的問題與上級部門溝通，協助管理層了解基層部門內部審計情況。在操作風險問題出現時，派駐人員可以通過綠色信息通道向內部審計委員會直接反映問題。內部審計委員擁有對下級部門內部審計結果的最終處理權，并對內部審計人員的工作進行考核與評估，以保證派駐人員的獨立性和溝通過程的流暢。

[參考文獻]

[1]于家駿.互聯網背景下我國商業銀行網上銀行操作風險管理研究[J].商場現代化，2018（1）：136-137.

[2]萬輝.我國商業銀行互聯網金融風險管理研究[J].金融縱橫，2016（2）：15-25.

[3]朱日莫圖.我國商業銀行網上銀行業務的風險管理分析及對策[J].北方經濟，2012（10）：95-96.

[4]吳建.我國商業銀行網上銀行操作風險管理研究[J].浙江金融，2011（10）：45-49.

[5]徐峰.我國商業銀行操作風險管理存在的問題與成因分析[J].經濟視角，2015（6）：26-27.

[6]李文婷，幼清.我國商業銀行操作風險分析及管理——以中國農業銀行某支行為例 [J].當代經濟，2016（6）：36-39.

[7]劉雅齋，王爽.基于銀行統計的商業銀行操作風險防范措施研究[J].企業導報，2016（3）：158-159.

[8]黃美榕.基于內控視角的商業銀行操作風險管理研究——以G銀行為例[J].福建金融，2015（11）：41-45.

（責任編輯：喬虹 劉茜）