入世带来的……-第7章
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
（2）声誉风险。声誉风险同其他风险是密切相连的，其他风险转变为现实可能时，通常也会造成银行声誉的下降，比如，系统本身存在重大缺陷，不能满足客户的要求，甚至造成对客户隐私权和资金的损害，黑客入侵，病毒感染，以及重大的诉讼事件都可能影响银行的声誉，严重的可能造成整个银行系统的连锁反应。
（3）法律风险。美国通货管制局（ocom）的报告提出的纪律风险（compliance risk）风法律风险的含义大致类似，都是指没有遵守法律、法规、行业习惯做法，或者由于法律的不完善造成当事人之间义务权利的不明确给银行带来的风险。就防止计算机和网络犯罪而言，主要的法律风险来自于犯罪分子利用银行的网络和产品进行洗钱活动，对于从事认证证书发放的银行来讲，可能有犯罪分子伪造证书以银行的名义发放等。
其他风险也是银行在利用计算机和网络技术开展业务过程中可能遇到的风险，但就防止犯罪来讲，这些风险关系不是太密切。值得提出的是，美国通货管制局（ocom）在报告中还提出一种风险，称为战略风险（strategic risk），主要指银行的管理层在从事金融技术业务时，没有很好的进行计划、管理和检测这些金融产品的运作，比如管理层不了解、不支持某一项对银行至痒重要的技术的使用，或者错误的依靠一项并不可靠的技术等等。这同巴塞尔委员会在阐述『操』作风险时，指出银行职员不了解技术引起所引起的风险有类似之处，但美国通货管制局（ocom）更强调管理层的作用。
2对电子银行风险的控制
对风险进行识别之后，应该对风险进行有效的评估。对风险的评估主要侧重于在可能的情况下，对风险进行量化，然后进行一定的成本和效益分析，将潜在的风险和本机构所能承受的风险进行比较，确定本机构的风险管理策略。
巴塞尔的报告将对风险的管理分为5个方面：
（1）安全策略和措施。这部分内容同美国联邦储备委员会的内容是一致的，主要侧重技术层面，以及同技术相关的管理措施。
（2）内部联络。内部联格强调银行的高级管理层应该把电子银行于银行总体目标的作用向下层职员传达、下层职员应该把涉及电子银行运作的所有技术、安全等问题及时向上层反映，作到上情下达，下情上达。同时，高级管理层应该重视对职员的持续培训。了解技术的发展和市场的最新动向。
（3）外部资源的管理。银行的许多技术设备和软件是由外部厂商提供的，应该采取措施减少外部资源引起的风险，其措施包括监测外部厂商的财务和经营情况，明确双方权利义务，建立紧急情况下，撤换外部厂商的应急措施。
（4）对客户的教育。教育客户如何使用新产品，出现问题如何解决，潜在的风险如何等等。
（5）建立应急计划。
对风险的监测包括监测、监视系统，以及追踪业务活动两个方面。
因该说，巴塞尔委员会的报告从宏观上对电子银行的风险管理提供了一个整体框架。美国联邦储备委员会的安全管理实际上是将这个框架进行了具体化，更加侧重技术层面。
3采取安全防范措施。德国联邦数据保护法规定，使用电子计算机必须休取10条队范措施，其中主要的有：
〃进口处检查〃一使无关人员不得接近电子计算机和数据处理设备。
〃出口处检查〃一防备数据存储器被窃。
〃对存储装置进行检查〃一目的是监视数据输入，防止改变和消除数据。
〃对使用者进行检查〃一阻止无关人员利用数据传输分接到的电子计算机上。
美国最大的计算机制造公司一国际商用机器公司，对计算机的安全制订了200条要则。其中包括：〃窗子要有栏杆〃，〃进入电子计算机中心的门要安装一种设备一可以马上发现随身携带磁带的探测器〃，〃对所有接触数据处理的职员进行审查〃，等等。
三、对开展电子业务银行的监管
因为在计算机网络上，资金的划拨方向靠用户的网址和账户来识别，而当网上其他人通过其它方式获取网址、账户号吗及命令等信息后，完全可以伪装成接收用户的网上账户，接收划拟过来的资金，然后再非法占有。
而这时，如果划拨方只是发出指令，指示银行向另一方付款，而银行只作为命令的银行作用，则由于是直接划拨而未由银行介入，接收方未收到资金话，划拨方仍有义务再次支付款项，也就是说，这种直接划拨，划拨方要负责接收方接收到资金而不简单是划出资金。而我们也不能排除接收方欺诈划拨方，在收到的情况下，制造假象要求划拨方再划拨的可能。
所以，对电子银行的监管也是建立在风险监管的基础之上的。对电子银行的风险进行了有效识别和监管，实际上也就达到了监管机构的要求。目前，一些国家已经开始制定对电子银行业务的监管措施，其中，比较全面的是美国联邦存款保险公司（美国银行业的监管机构之一）1998年6月出台的《电子银行……安全和健全检查程序》。这个报告把银行参与的电子业务分成三个层次，然后在风险管理的基础上，具体对检查的范围和标准作出了要求。
1银行网络业务的三个层次
银行的网络可以分为内联网、外联网和互联网。不同的网络对象并不相同。互联网实际上是一个信息系统，通过这个系统可以公布、传送信息，也可以将所有业务在信息系统中开展。因此，不同的银行，利用互联网开展业务是不同的，有不同的层次的差别。《程序》将银行开展电子业务分成三个层次，对不同层次采取不同的检查标准和措施。
（1）第一层次：信息公开展示系统（information－only system）。在第一层次中，银行利用互联网只限于在互联网上刊登广告，介绍银行业务的有关信息，比如介召本银行的业务种类。有的时候，也可以通过电子邮件传递一些公开的信息。
（2）第二层次：电子信息传递系统（electronic information transfer system）。在第一层次中，银行同客户通过电子邮件的形式传递一些秘密的信息，或者，银行允许客户下载一些资料或文件。比如银行的网址上允许进行在线的货款和存款申请，下载一些需要客户填充的表格，以及通过电子邮件的形式传送这些数据和表格（里面可能含有一些需要保密的数据，比如客户的帐号等）。
（3）第三层次：全面的交易信息系统（fully transactional information system）这是最为高级的一个层次。银行可以完全通过网络开展自己的业务，比如帐户查询、转移资金，网上支付以及其他传统的银行业务。这一层次的银行需要全面的网上电子支付作为支持，也就是说金钱、资金可以完全变成数字化的形式通过网络传送和转移。
不同的银行，开展网络业务的层次不一样，有的只处于第一层次，有的可能不仅可以从事第一和第二层次的业务，还可以从事第三层次的业务；同时，一些银行可能是全面的参与和从事网上业务，比如自己设计开发整个系统，不需要外界技术力量的参与和其他银行的合作，而一些银行可能只是参与其部分的工作，比如只是作为交易的中介，从事授权、清算等工作等等。不同层次的银行风险不同。不同作用的银行风险也不同。
2检查的范围和标准
检查的范围包括六个方面：计划和实施方面；『操』作规程方面；稽核方面；法律和监管方面；管理方面；外部资源管理方面。每个方面由于银行开展网络业务的层次不同而采取不同的标准，但是，一般高级层次的银行同时也会开展低层次的业务，因此，检查时，也必须同时对低层次的业务进行检查。
（1）计划和实施
第一，对于第一层次的银行而言，主要看三个方面：首先，查看所有的网络是否得到有效的测试，要查看系统的容量、内容，评估其可行『性』；其次，查看银行是否对有关人员进行了培训。银行管理层对所有受到电子银行业务影响的人员都必须进行有效的培训，这些人员涉及各个业务部门和层级，包括负责产品开发、系统维护、稽核、纪律和法律部门的所有职员，同时，培训应该是长期的、不断更新的。再次，查看银行是否进行了充分的保险，或者是全面的保险，或者是责任保险、意外保险等等，总之，要使保险的范围涵盖各个可能出现事故的领域。
第二，对于第二层次银行，主要检查四个方面：首先，检查银行对于系统的开发和运作是否进行了充分的可行『性』研究，是否考虑了各种不同的情况，包括最坏的情况，董事会和高级管理层是否审查过该研究报告；其次，检查银行是否对系统内各种软件的内容及其准确『性』进行过核实和检查；再次，检查银行在系统出现故障时，是否存在备份，或其他方式以便于客户能够继续从事有关的交易，有没有有关的指示，使客户明白出现故障时可以采取的其他方式，有没有一定的程序，在出现故障时可以通知有关的客户；最后，检查银行有没有相关措施，限制有关人员进入计算机硬件、软件、通讯设备等。
第三，对于第三层次银行，目前还没有确定的检查标准。
（2）『操』作规程
第一，对于第一层次银行，主要检查两个方面：首先，通过审查有关的『操』作规程，确定银行是否有断修改和更新其『操』作规程，以适应各种不同传播渠道（包括电子广告）的特点和风险；其次，检查银行是否采用了足够的安全措施，包括获得、披『露』和保护客户秘密信息的安全措施，确认每一个要求银行提供有关信息和数据的客户的合法『性』的方式，可以和第三方共享的信息，以及提供有关服务的第三方参与和监测银行与客户之间电子交易的能力。
第二，第二层次银行主要检查两个方面：首先，检查有关获得、披『露』和保护客户秘密信息的规程随着电子设施的采用而更新，确认这些规程是否适用于银行同第三方共享的信息，比如银行同不属于联邦保险范围的机构之间共享人信息（有的银行依赖技术厂商提供网上技术支持，同这些厂商共享客户信息，但这些厂商不属于联邦保险的范围，可能给银行带来额外的损失）等等；其次，检查银行是否采取了有关的规程，当向银行提供服务的第三方可以参与或监测银行与客户之间的交易时，对这些第三方进行控制，这些第三方包括开发和向银行提供整个系统的技术商，或替银行处理信息和数据的厂商等，要确保这些规程同时也是银行同第三方之间合同或协议的一部分。
第三，第三层次银行主要检查同处方面：首先，当银行代理支付有关费用，资金转移或从事类似的业务时，检查银行是否要求客户提供一个签名的授权，银行如何证实收款人的合法『性』，是否采取了相应的合理程序和指南来增加和取消收款人；其次，检查银行是否采用了有关程序来控制客户转移未经托收的资金，识别和防止重复的交易；再次，检查银行是否采用了有关的措施向客户披『露』系统的安全『性』、银行对系统的控制程度和责任；第四，检查银行采取了什么样的机制来监测系统内交易的『性』质、数量和趋势；第五，检查银行是否采取和不断更新有关的规程来控制资金转移，定期的交易次数或交易数额的限制（比如每天限额多少），客户的最低信用标准，清算指南，透支情况等；第六，如果有电子外汇业务，有没有适用于外汇业务的规程。
四、立法和执法措施
以往的金融欺欺诈都要与金融机构进行接触，伪造多种金融票据也会留下一些比较明显的痕迹。而采用了计算机网络之后，储存在计算机网络中的电子资金面临着巨大的风险。以往只有银行人员才能接触的资金调拨，现在在理论上任何人均有可能调拨。比如一个电脑黑客可以通过手提电脑无线电话或卫星通讯系统进入一个银行的系统，增加自己的账户存款或将别人账户上的资金划拨到自己的账户上来，然后在atm（自动柜员机）上提取现款。据称欧洲此损失已达数百亿美元。这种犯罪的特点是高智能化，一般是计算机业内人士，熟悉银行计算机网络系统，作案地点隐蔽不易发现，并且可以随时变化。有人曾说，〃计算机网络在金融业内的实现使获取巨额的财富从来没有变得这么容易过。〃
上面已经提到，金融交易在网络系统的支持下，其发展潜力是无限的。但同时，在整个融活动完全依赖于网络系统的情况下，网络系统发生问题，特别是发生利用网络系统犯罪问题时，后果也比进行传统金融交易时的后果更为严重。
1996年，英国的巴林银行和日本人合银行纽约分行以及日本住友公司铜期货交易事件等震惊了全球金融界，巴林银行被荷兰inc银行购买，日本大和银行赔掉了它在美国的两个分行才平息了风波。人们不禁要问：在传统金融活动中，个人使用的各种手段绝不可能一下子毁掉一家资产逾百亿美元和具有200多年历史的老牌投资银行，而在今天利用电子金融交易的网络系统，像里森这样一个年青交易员就可以轻而易举地毁掉一家老牌银行。里森的破坏力如此之大，就是他利用了电子网络系统来诈骗的缘故。同传统金融交易相比，电子金融交易网络系统支持的证券与期货交易方式不同，巴林银行一案中的巨额金融期货交易只有采用联接全球的电子网络系统才能够得以进行。同时电子网络系统的脆弱『性』也表现出来了：一旦出现问题，就不是局部的，而是系统『性』的，就不是可补偿的，而是毁灭『性』的。在另一方面，任何严厉刑法都不能阻止网络系统上犯罪，因为在网络系统上的巨额金钱诱『惑』力比任何钞票直接交易时都大得多。
大网络化的条件下，金融从业人员往往也是都是网络系统的『操』作人员，他们是网络时代金融系统的重要要素。计算机虽然能够减轻人的劳动，但是不能代替『操』作人员的『操』作。『操』作人员是人机对话的主动体，计算机是被动体。没有『操』作人员的主观意图和客观的『操』作行为，金融机构的交易就不会在网络系统上表达出来，交易结果也不会产生。从法律角度来看，没有交易『操』作人员在『操』作中实施具体的犯罪行为，其犯罪结果也不会在网络系统上出现，也不会给任何网络系统中的人或公司造成经济损失。只有人才是主动的，能够主动进行行为的人才会实施犯罪行为，计算机或网络系统都是被动的，机器和网络系统本身都不会犯罪，因为它们是无生命体，既不能思考也不能行为，但是它们能够成为犯罪的危险工具。而当犯罪分子使用计算机和网络系统来实施犯罪时，对社会的危害『性』是比使用任何其他手段的危害『性』都大。由于网络系统的特殊『性』，法律在处理网络系统中的犯罪应该有不同考虑。
针对银行的计算机和网络犯罪无论从立法、执法（侦查），还是审判来讲都是非常棘手的问题。从世界各国来看，这也是各国有关机构一直关心的问题。从银行的角度来讲，对付计算机和网络�
