Структура операционных рисков в электронном бизнесе

STRUCTURE OF OPERATIONAL RISKS IN ELECTRONIC BUSINESS

Anton Horbach

master candidate, Belarusian State University of Informatics and Radioelectronics, Belarus, Minsk

Аннотация. В статье рассматривается роль операционного риска в электронном бизнесе. Его понятие, виды и влияние на цифровую экономику. Выделяются наиболее характерные типы составляющих операционного риска по отношению к электронной экономике.

Abstract. The article discusses the role of operational risk in the electronic business. Its concept, types and impact on the digital economy. The most characteristic types of components of operational risk in relation to the electronic economy are distinguished.

Ключевые слова: электронный бизнес; операционный риск; правовой риск; риск искажения финансовой отчётности; риск мошенничества; риск персонала; риск несовершенства операционных процессов; технологический риск; риск конфиденциальности; риск с привлечением третьих лиц.

Keywords: electronic business; operational risk; legal risk; risk of misrepresentation of financial statements; risk of fraud; risk of personnel; risk of imperfection of operational processes; technological risk; risk of confidentiality; risk involving third parties.

Электронный бизнес (англ. Electronic Business) – бизнес-модель, в которой бизнес-процессы, обмен бизнес информацией и коммерческие транзакции автоматизируются с помощью информационных систем, где несколько клиентов работают с одним или несколькими серверами, предоставляющими сервисные функции. Эти распределённые вычислительные системы являются одной из основ электронного бизнеса, обеспечивающих его функционирование и дающих ему преимущества для повсеместного внедрения и распространения. Распространённость такой модели ведения бизнеса можно увидеть на примере статистики.

По состоянию на 1 января 2019 года в Торговом реестре Республики Беларусь зарегистрировано 19,4 тыс. интернет-магазинов. За 2018 год их количество возросло на 20%, а товарооборот в период с 2010 по 2017 год вырос более чем в 30 раз. [1]

Количество безналичных операций в 2018 г. на территории Республики Беларусь составило 1 330,7 млн. (86,2% от общего количества операций), наличных – 213,3 млн. (13,8% от общего количества операций). Сумма безналичных операций составила 29 740,1 млн. руб. (49,9% от общей суммы операций), наличных – 29862,8 млн. руб. (50,1% от общей суммы операций). [1]

Если брать общемировую статистику, мы можем обратиться к данным министерства торговли США согласно которым 53% глобальных интернет-пользователей совершили минимум одну онлайн-покупку в 2016 году. Кроме того, согласно последним исследованиям за 2019-ый год Digital Market Outlook компании Statista, расходы в сфере электронной коммерции выросли на 14% по сравнению с аналогичным периодом прошлого года. По оценкам компании, за весь 2018 год только на потребительские товары было потрачено 1,78 триллиона долларов США.

В следствии распространённости электронных магазинов, платежей и заказов встаёт вопрос о безопасности проводимых транзакций. Как рассредоточенной компьютерной системе, взаимодействующей посредством передачи данных по открытым сетям, электронному бизнесу угрожают все внутренние и удаленные атаки, присущие любой другой компьютерной системе. Кроме того, на операции может влиять и человеческий фактор. Всё вышесказанное делает операционный риск одной из важных составляющих сферы электронной коммерции.

Согласно документам, принятым Базельским комитетом по банковскому надзору при Банке Международных расчетов, операционный риск представляет собой риск ущерба в результате неверных или неправильных внутренних процессов, действий сотрудников и систем или внешних событий. Данное определение, исключая стратегический и репутационный риски, включает юридический риск. [2]

Данная формулировка операционного риска была принята всеми членами рынка в качестве стандартной. Она носит универсальный характер, так как может быть использована для разношёрстных финансовых институтов и, кроме того, четко выделяет источники операционного риска.

На практике существуют различные классификации операционного риска, при этом наиболее оптимальная основывается на источниках его происхождения применительно к платежной системе кредитной организации:

• Правовой риск – возникновение ущерба по причине: неисполнения требований нормативных правовых актов и заключенных договоров; совершаемых правовых ошибок при осуществлении деятельности; несовершенства правовой; нарушения контрагентами нормативных правовых актов, а также условий заключенных договоров.
• Риск искажения финансовой отчетности – предоставление недостоверных данных финансовой отчетности, а также несоблюдение правил ведения бухгалтерского учета, как в отношении публикуемой отчетности, так и отчетности, используемой при принятии управленческих решений.
• Риск мошенничества – причинение ущерба материальным и нематериальным активам, сотрудникам, клиентам или другим контрагентам по причине ненадлежащего обеспечения безопасности и защиты от противоправных действий третьих лиц и других неправомерных действий.
• Риск персонала – риск, связанный с неподобающей организацией рабочего пространства, ненадлежащим определением четких функций и обязанностей, отсутствием адекватной организационной структуры, недостаточной квалификацией и несвоевременным повышением квалификации персонала и другим.
• Риск несовершенства операционных процессов – риск, возникающий по причине нерезультативной организации процессов, включая обработку транзакций, которая не позволяет в полной мере оценить получаемые результаты.
• Риск, связанный с привлечением третьих лиц (аутсорсингом) – невыполнение третьими лицами договорных обязательств, а также риск совершения указанными лицами действий, противоречащих интересам банка и влекущих отрицательные последствия.
• Технологический риск – возникновение убытков вследствие ненадлежащей обработки данных, возникшей в результате сбоев, ошибок, несанкционированного доступа и другое.
• Риск конфиденциальности – риск, связанный с неспособностью защищать должным образом персональные данные существующих и потенциальных клиентов. [3]

Наиболее характерными для электронного бизнеса являются риски мошенничества и несовершенства операционных процессов, технологический риск и риски, связанные с привлечением третьих лиц.

В связи с вышеуказанным, психологический фактор является одним из препятствий, возникающих на пути развития этой сферы, так как люди опасаются угрозы возможного мошенничества. По данным платежной системы VISA около 23% транзакций с банковскими картами так и не производятся из-за страха клиента ввести персональную информацию, запрашиваемую электронным магазином или сервисом. Еще более угрожающими являются данные утверждающие, что 47 % случаев предъявления карточек VISA через Интернет оказываются мошенническими.

При этом среди видов мошенничества характерных для электронного бизнеса выделяют:

• риск дублирования технического устройства;
• риск изменения или дублирования сведений, или программ;
• риск изменения сообщений;
• риск кражи;
• риск отказа операций.

Риск дублирования технического устройства представляет собой убытки в результате производства мошенником нового аппарата, принимающего электронные кошельки как настоящий.

Риск изменения или дублирования сведений представляет собой увеличение мошенническим путем остатков денежных средств, записанных на карте.

Риск изменения сообщений представляет собой вероятность убытков в результате изменения данных или процессов технического устройства в результате удаления, повтора или замены сообщений.

Риск кражи проявляется в возникновении вероятности убытков в результате хищения технического устройства и незаконного использования остатков средств, оставшихся на нем.

Мошенничество может быть совершено также путем отказа от операций, сделанных при помощи электронных денег, что может привести к финансовым потерям торгового предприятия или эмитента электронных денег. [4]

Мероприятия по обеспечению безопасности расчетов в сети Интернет, принимаемые участниками электронной коммерции, достаточно многообразны. Прежде всего, они включают в себя обучение пользователей минимальным навыкам обеспечения собственной безопасности в всемирной паутине: использование только знакомых Интернет-ресурсов, изучение порядка доставки товаров и предоставления услуг, проверка использования интернет-коммерсантом сертифицированных протоколов.

Однако, как показывает практика, эти действия недостаточны. По данным МВД Республики Беларусь в 2018 году на территории страны зарегистрировали 4741 киберпреступление, что на 53% больше, чем годом ранее. Уровень раскрываемости таких преступлений составляет 53−55%.

Большая часть киберпреступлений состоит из хищений путём использования компьютерной техники (75,5%), несанкционированного доступа к компьютерной информации (18%) и компьютерного саботажа (3,5%). Наиболее значительный рост МВД отметило по количеству преступлений, связанных с несанкционированным доступом к информации (статья 349 УК РБ). В 2018 г. их стало на 97% больше, чем год назад. [5]

Как отметил Иван Судникович, старший следователь по особо важным делам главного следственного управления центрального аппарата Следственного комитета:” Основной рост осуществляется за счет преступников, которые действуют на профессиональной основе. Можно не обладать большими познаниями в компьютерных технологиях, но иметь представление о природе совершения киберпреступления — основных способах анонимности, разветвленности преступных групп, интернет-сообществах, в которых обсуждают противоправные деяния”.

Обращаясь к опыту соседей, в частности Российской Федерации, можно сказать, что более половины кредитных организаций не имеют специалистов по информационной безопасности.

Часть банков администрируют задачи филиалов с удаленных и головных офисов. Однако данные мероприятия носят фрагментарный характер, в следствии чего задачи по обеспечению безопасности практически не решаются. Наименее защищёнными являются филиалы, где системы часто не настроены, внутренние сети, как правило, соединены с внешними, неправильно эксплуатируются межсетевые экраны и средства АРМ-клиента Банка России.

На откуп специалистам IT (согласно статистике) функции безопасности передают 42% банковских подразделений. Но для них это направление работы является непрофильным, носит второстепенный и фрагментарный характер. [6]

На фоне этого по данным Генпрокуратуры Российской Федерации, за первые восемь месяцев 2019 г. количество зарегистрированных киберпреступлений в России показало годовой рост почти на 67%. По темпам роста киберпреступность опережает все остальные виды преступлений.

Жертвами 75% кибератак были кредитно-финансовые организации, а также предприятия в сфере электронной коммерции и игрового бизнеса.  ИБ-компания Positive Technologies оценивала рост количества успешных кибератак в России в 2018 г. на уровне 27%. В 49% случаях хакеры атаковали инфраструктуру, в 26% — веб-ресурсы компаний. В 30% случаях преступники украли персональные данные, в 24% — учетные данные, в 14% — платежные данные. В целом количество атак, целью которых являлась кража данных, демонстрировало рост. [7]

Также проблемы безопасности онлайновых услуг связаны с отсутствием нормативно-правовой базы: закона об электронно-цифровой подписи, комплекта нормативных актов, прямо регулирующих права и обязанности участников оборота онлайновых финансовых услуг, гарантий по выполнению распоряжений, отданных в электронной форме, толкования подобных операций соответствующими контролирующими и надзорными ведомствами.

К примеру, в работе «Правовые проблемы электронной коммерции в РФ» А. А. Королёв выдвигает на первый план отсутствие единого закона «Об электронной торговли».

По его мнению, существующая нормативно-правовая база не может адекватно регламентировать сферу электронной коммерции: законы, правовые акты и нормативы применимые к традиционному (оффлайновому) рынку, косвенно или прямо влияя на экономические отношения в сфере электронного рынка, лишь вносят путаницу, не ставя точку в регламентации электронной коммерции. [8]

Подводя итог всему вышесказанному, можно сказать, что операционный риск в действительности оказывает серьёзное влияние на электронный бизнес.

Недостаточное уделение внимания данному типу рисков может привести как к отпугиванию клиентской базы, так и к финансовым и репутационным потерям самой фирмы. Рост количества преступлений в этой сфере, в свою очередь, явно свидетельствует о ещё нерешённых проблемах безопасности операций и хранения конфиденциальной и личной информации, что как раз и учитывается операционным риском.