基于ＣＯＢＩＴ的网上银行风险评估体系研究

关莉莉

中图分类号:F830 文献标识码:A

内容摘要:作为金融创新之一的网上银行,在快速发展的同时也蕴含了巨大的风险。本文在借鉴COBIT框架基础上,建立一套符合我国实际的网上银行风险评估体系,以全面动态地评价网上银行风险,从而实现对网上银行的分级监管,促进电子金融业的健康稳定发展。

关键词:COBIT 网上银行 风险评估

目前,世界范围内的金融危机让人们开始重新审视金融创新所蕴含的巨大风险。作为金融创新之一的网上银行以其低成本、高效益、方便快捷、应用广泛的特点,显示出强大生命力,同时也由于它是建立在开放网络上的银行信息系统,技术风险的负面效应及控制不当,会导致风险的大量聚集和扩散,引发马太效应。而传统的风险监管措施存在滞后现象,难以应对网上银行日益频发的风险危机。

要使监管当局更加全面、直接的掌握网上银行风险的实际情况,识别、评估各种风险的总体有效程度,需要建立网上银行风险评级体系。作为网上银行风险监管有效工具的风险评级,它的核心内容是通过一定的风险评级模型对监管对象的风险状况和风险管理能力进行等级划分,从而对其风险表现形态和内部风险控制能力进行科学判断,进而有针对性采取监管措施,改善风险状况,提高监管效率。许多权威的信息系统风险评级体系都参考了国际上公认最为权威的信息系统安全与技术管理和控制标准COBIT(Control Objectives For Information and Related Technology),它已经成为国际上对信息和信息资源进行风险评估和控制的实施标准,被广泛采用并取得了很好的效果。

COBIT目标控制体系概述

COBIT是由信息系统审计与控制基金会(ISACF)与IT治理研究所(IGI)共同研究与开发,并于1996年由信息系统审计和控制协会(ISACA)颁布的信息系统安全与技术管理和控制标准。COBIT是信息管理系统监管层面的高级控制目标,比单纯信息安全的视角更广。它从一个简单而实际的假设开始:为了提供组织(政府或企业)达到其目标而需要的信息,IT资源需要由一组自然分类的IT过程(IT Processes)管理。根据这一假设,IT资源、IT处理过程和业务需求三者之间存在密不可分的联系。COBIT控制目标体系将IT过程、IT资源及组织的策略与目标联系起来,形成一个三维的体系结构(见图1)。

信息准则维度集中反映了组织的战略目标,主要从质量、成本、时间、资源利用率、系统效率、保密性、完整性、可用性等方面来保证信息的安全性、可靠性、有效性;IT资源维度主要包括以人、应用系统、技术、设施及数据在内的信息相关资源,这是IT治理过程的主要对象;IT过程维度则是在IT准则的指导下,对信息及相关资源进行规划与处理,从信息技术的规划与组织、采集与实施、交付与支持、监控四个方面确定了34个信息技术处理过程,每个处理过程包括更加详细的控制目标和审计方针,对IT处理过程进行评估。

网上银行信息系统及风险分析

网上银行是以Internet技术为支撑,以客户终端的计算机系统为主体,以互联网网页为交易平台,以银行强大的综合业务计算机处理系统为后台,以网络安全认证加密技术为保障的一种新兴的非现场客户信息交易服务系统。它是一个涉及计算机技术、通信技术、网络技术、金融理论与实务、现代金融管理等多个学科的复杂系统,现有的网上银行技术结构是根据其业务需求、安全要求及与其他银行业务信息系统之间的关系等进行科学配置而成的。尽管各商业银行根据其对风险认识的不同和自身业务功能的差异,会有不同类型的设计和组合,但网上银行基本的技术构成是类似的,主要由九个部分组成:客户浏览器、路由器防火墙、Web服务器、应用服务器、数据库服务器、RAS服务器、通信服务器、SNA网关和银行主机系统(见图2)。

网上银行风险的最大来源是它所依托的互联网络。作为一套基于互联网络的信息系统,它把银行和客户通过Internet连接起来,提供联机的银行业务操作。在这个开放的网络平台上,风险的聚集和扩散速度远远超过传统银行。网上银行风险的放大和扩散,很容易波及到传统银行,发生挤兑风潮,引发马太效应,使整个网上银行业信誉崩溃,带来巨大的经济影响和金融危机。

网上银行的风险从业务和技术角度分为两大类,分别是基于虚拟金融服务品种形成的业务风险和基于计算机网络技术的技术风险。作为传统银行延续的网上银行,它在经营过程中带有传统银行的各种业务风险;网上银行又是传统银行的创新,它的存在形态虚拟化、运行方式网络化的特点决定了网上银行风险又带有许多新的技术特性。网上银行的技术风险具有非行业性和外生性的特点,其产生不仅依赖于市场价格的波动、经济增长的质量,而且依赖于软硬件配置、技术设备的可靠程度、控制和管理能力、选择开发商、供应商、咨询或评估公司的水平。发生技术风险时,银行要承担更大的资金损失和更多的成本修复,并引发一系列的负面效应。

基于COBIT的网上银行风险评估体系建立

面对网上银行业务的迅速发展和风险事件的频发,我国银行监管当局已经着手建立能够全面动态评价网上银行风险,实现分级监管的风险评估体系。基于COBIT标准构建网上银行风险评级体系,将有助于对网上银行信息系统的建设、运行和维护过程进行分析研究,有效评估网上银行信息系统的相关风险,指导建立相应的分级监管机制,将网上银行信息系统的风险置于有效的管理与控制之下。

网上银行风险评级体系在指标设计上应遵从全面性、独立性、可计量性、可操作性原则。全面性即指标体系能够对被检查机构的技术风险和管理活动进行全面的、毫无遗漏的反映;独立性是指同一层次的指标间必须相互独立,指标间的重叠和包含应尽可能的少,不能存在因果关系;可计量性指体系中指标的计算方法应当明确,不应过于复杂;可操作性是指数据的获取应尽可能和技术风险现场检查同步,将指标体系的简明性和复杂性很好地结合起来。网上银行风险评估体系设计在内容上要包括能够反映网上银行整体计算机技术审计工作充分性的指标,反映信息系统开发与运行管理水平的指标,反映被评级机构识别、获取、配置、维护信息技术解决方案能力的指标和反映被评级机构在一个安全的环境下提供技术支持与服务能力的指标。

网上银行风险评估体系评估指标的设立也要根据不同的风险来确定。总的来说是选择一组或多组具有关键性、稳定性、敏感性和可测性的指标作为预警指标,确定各指标的风险区间和临界值,通过观察指标的变动情况判断即时风险程度和未来风险的变动趋势。在设立评价指标时应结合定量分析和定性分析分别考虑。在建立风险评价模型的分析过程中,采集大量相关数据和基本信息,经不断检验其有效性,筛选出若干个预测能力最强的变量信息来建立最终的评价模型。在确定评价指标时,参考COBIT控制目标,确定四个一级指标和若干个二、三级指标(见表1)。风险评价指标确定后,应在全面细致分析每一个指标性质、类型基础上,确认风险评估的重点方向和指标评分权重。结合我国网上银行风险特点,不同的评级指标有不同的权重,各评级单项指标的分值由其下各小项加权汇总得出,根据总分的高低设立不同的等级标准和区间,一般设定A、B、C、D、E五个从高到低的等级。评级结果将作为监管的基本依据,用以确定对网上银行现场检查的频率、范围和依法采取的风险控制措施。

风险评级的目的是向银行监管当局提交评估报告,真实反映网上银行的风险状况,进而制定规避风险的措施和监管策略。在风险评级的基础上,监管当局可以对不同风险级别的网上银行进行分级管理。不同级别的监管类型在检查程序、检查顺序、检查内容以及检查人员等方面都要体现差异性。评定的级别不是一成不变的,一般每个检查周期完成之后要根据检查结构重新确定级别,检查之前,也要根据两次相邻检查期间内银行风险变化的情况,对前一次级别做适当调整。而监管的级别实际上是以调整后的级别为依据的。有效的分级监管可以更大程度的保障网上银行系统的安全,维护电子金融秩序的稳定。

综上所述,我国网上银行风险评级工作开始比较晚,尚处于起步阶段,有关评估的指引和标准还在编制完善之中。监管机构要对网上银行风险评估的作用和重要性有充分的认识,通过风险评级体系的建立,分析、识别系统中存在的风险,从而实现对网上银行的分类监管,保护客户的利益,维护电子金融体系的安全。

参考文献:

1.中国银监会.商业银行信用风险内部评级体系监管指引,2008.10

2.巴塞尔银行监管委员会.电子银行风险管理原则,2001.5

3.胡克谨.IT审计(第2版)[M].电子工业出版社,2004