Специальные аналитические технологии для предупреждения и расследования противоправных посягательств на безопасность банка

Управление системой обеспечения безопасности современного банка связано с необходимостью аналитической обработки в сжатые сроки большого объема разноплановой информации, извлечения из нее определенного вида данных, их правильной оценки и принятия по результатам анализа обоснованных и своевременных решений. Просчеты в указанной деятельности могут повлечь за собой серьезный вред как имущественного, так и нематериального характера.

Вместе с тем интенсивный рост количества данных, подлежащих поиску, неотложной оценке и осмыслению работниками соответствующих подразделений банка, во многих случаях значительно превышает объективные возможности человека. Это объясняется расширением спектра и объемов банковских услуг, появлением новых банковских технологий и инструментов, а также необходимостью обрабатывать огромные массивы электронных хранилищ информации. Например, одна из зарубежных информационных аналитических систем (Falcon), обслуживающая 16 крупнейших банков мира, контролирует и осуществляет в реальном масштабе времени анализ операций, проводящихся по 250 млн платежных карт. Непосредственная задача этой системы — выявлять и блокировать случаи мошенничества. Само собой разумеется, что выполнить эту задачу человеческими силами без применения специальных технологий невозможно.

Субъекты аналитической деятельности банка и их функции. Отечественные законодательные и иные нормативные правовые предписания государственных органов установили для исполнительных структур российских банков обязанность вести аналитическую обработку соответствующих видов информации с целью выявления опасностей, угрожающих имуществу и порядку функционирования кредитной организации, предупреждения и расследования опасных для банка действий и событий, а также для противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма. Кроме того, практически любой банк выполняет большой объем аналитических работ в сфере обеспечения безопасности по собственной инициативе.

Основными субъектами указанной аналитической деятельности являются служба внутреннего контроля, служба безопасности и подразделение защиты информации банка, функционирующие в тесном взаимодействии друг с другом^[1].

Об объеме аналитических процедур, выполняющихся в процессе повседневной деятельности одного из многих направлений службы внутреннего контроля банка, дает представление следующий пример. Один только законодательно определенный перечень банковских операций, подлежащих обязательному контролю в целях противодействия легализации «грязных» денег и финансированию терроризма, включает в себя описание вероятных способов совершения преступления и сопутствующих ему признаков набором из 23 ситуаций, которые, в свою очередь, складываются из 70 структурных элементов, имеющих самостоятельное значение^[2]. Полной или частичной проверке на соответствие всем этим 1610 признакам подлежит каждая операция, совершающаяся в течение операционного дня.

Не менее трудоемкие и сложные задачи аналитического характера стоят перед службой внутреннего контроля банка на других направлениях ее деятельности. В частности, в сфере выявления и предупреждения должностных правонарушений, защиты установленного порядка доступа к имуществу, к осуществлению операций по счетам и другим элементам функционирования банка.

Для службы безопасности банка характерными задачами являются многоаспектный анализ обширной информации в целях выявления скрытых связей между объектами сыскной деятельности или объектами внутренних расследований, проверка и оценка значимой для расследования информации; выдвижение необходимых версий, составление планов их проверки и решение иных задач.

Аналитические задачи службы защиты информации банка связаны с контролем использования информационных ресурсов информационно-вычислительной системы банка, проверками внутренних нарушений порядка использования информационных ресурсов, попыток взлома информационно-вычислительной системы извне и вирусных атак и т. д.

Кроме перечисленных выше обязанностей, каждое из названных подразделений должно фиксировать и расследовать выявленные нарушения, разрабатывать рекомендации и указания по их устранению, осуществлять контроль за исполнением этих рекомендаций и указаний, а также за применением мер дисциплинарного и иного воздействия к нарушителям^[3].

Объективные данные свидетельствуют о том, что сотрудники банков, выполняющие перечисленные выше обязанности, испытывают в ходе переработки больших массивов информации постоянно возрастающие нагрузки интеллектуального и психологического характера, утомление и снижение внимания, чреватые опасными последствиями.

Эти обстоятельства указывают на объективную необходимость скорейшей автоматизации ряда перечисленных функций и внедрения в сферу обеспечения безопасности российских банков современных аналитических технологий.

Автоматизация аналитических операций. Определенный опыт решения аналогичных задач автоматизации поиска знаний, скрытых в большой массе разрозненных данных, их последующего анализа и оценки накоплен отечественными разработчиками^[4]. Речь идет об информационно-аналитических комплексах, созданных по заказу правоохранительных органов, спецслужб и ряда коммерческих организаций.

Подобного рода комплексы на базе информационных технологий Data Mining^[5] могут быть разработаны для функционирования в предметной области любой организации, испытывающей потребность в аналитической обработке больших массивов информации, в первую очередь электронных банков данных.

Наряду с поиском скрытой информации такие системы позволяют представлять результаты анализа в виде легко воспринимаемых схем, выполненных в терминах и понятиях анализируемой области, и устанавливать интерактивную связь с анализируемыми массивами информации путем непосредственного обращения к отображаемым на схемах объектам. Большим достоинством комплексов является предоставляемая ими возможность выполнять аналитические операции без участия программиста.

В коммерческом банке аналитический комплекс, реализующий информационные технологии Data Mining, может использоваться одновременно или автономно всеми подразделениями, участвующими в сфере обеспечения безопасности. Информационными ресурсами для целей анализа могут служить данные внутренних операционных систем банка, собственные массивы информации службы внутреннего контроля, службы безопасности, службы защиты информации, подразделения по работе с персоналом и других структурных подразделений кредитной организации. При этом право доступа к собственным массивам информации подразделений может быть разграничено внутренними документами банка. Кроме того, система может использовать в автоматическом режиме в заданных ей целях данные сети Интернет (например, интернет-страницы АУВЕР^[6], Росбизнесконсалтинга (РБК) и др.), а также содержание информационных баз государственных контролирующих, регистрирующих и иных организаций.

Возможности применения автоматизированного комплекса в целях качественного повышения уровня аналитической работы субъектов обеспечения безопасности банка могут быть реализованы на любом из направлений деятельности соответствующих подразделений.

Так, целям предупреждения злоупотребления полномочиями и защиты порядка функционирования банка может служить автоматизированный поиск в массиве текущей (и архивной) информации признаков нарушений процедур, функций и полномочий по принятию решений в действиях любого из сотрудников банка и его филиалов.

Для этого в системе создается набор соответствующих шаблонов (заданных параметров), в которых фиксируется верхний предел полномочий каждого сотрудника банка, установленный законодательными и иными нормативными актами, стандартами профессиональной деятельности, внутренними документами, регулирующими деятельность и определяющими политику банка, решениями органов управления кредитной организации и должностными инструкциями.

Наложение шаблонов на данные информационных массивов позволяет незамедлительно обнаружить лицо, допустившее отклонения от установленного в банке порядка заключения сделок и выполнения операций. При этом система представляет сведения о содержании и других характеристиках операции, сути допущенного нарушения, а также о конкретных нормативных предписаниях и обязательствах (инструкции, договоре), которые нарушил виновный.

По команде пользователя комплекс группирует информацию по времени и видам нарушений, по сотрудникам банка, совершившим нарушения, по клиентам, связанным с выделенными операциями, и т. д.

В случае необходимости сфера поиска связей между названными выше объектами (в частности, с данными о клиенте) может быть расширена за пределы внутрибанковских массивов информации. При этом команда пользователя формулируется в текстовом виде либо в форме графического запроса к хранилищу данных путем совмещения соответствующих объектов на выведенной на монитор схеме.

Образец визуального представления результатов аналитической обработки массива информации по заданным параметрам представлен на рис. 9.1 (левая часть схемы — необработанный информационный массив, правая часть схемы представляет данные в структурированном виде).

Рис. 9.1. Образец визуального представления результатов аналитической обработки массива информации.

В целях расследования нарушения может быть также предпринят автоматизированный поиск и анализ содержания связей между:

• — конкретным сотрудником банка и другими совершавшимися нарушениями;
• — клиентом банка и другими совершавшимися в банке нарушениями;
• — клиентом банка и иными лицами, причастными к имевшимся в банке нарушениям порядка функционирования.

Кроме банковских операций, анализу в целях поиска связей между сотрудником банка и клиентом могут быть подвергнуты данные телефонных переговоров, электронной почты и иных массивов информации. При этом программа позволяет вести поиск связей объектов через любое количество уровней (выявлять цепочки косвенных связей).

Система успешно справляется с задачей установления связей между умышленно раздробленными проводками денежных средств по счетам и наглядной демонстрацией конечного (подлинного) содержания таких операций.

Возможности комплекса могут быть использованы для контроля в автоматическом режиме за адекватным отражением операций банка в учете по установленной форме.

Использование комплекса позволяет оценить полноту и своевременность представленной отчетности, выявить нарушения установленного порядка отчетности в больших объемах разнородной информации и представить полученные знания в удобной для восприятия визуальной форме. Например, на рис. 9.2 и 9.3 для сравнения показаны варианты представления плана счетов кредитной организации, включающего более 1400 счетов. В одном случае в форме схемы (см. рис. 9.2), во втором — в форме таблицы (см. рис. 9.3). Модель способна сигнализировать о наличии в представленной совокупности тех или иных нарушений порядка представления отчетности.

Самостоятельными моделями следующих уровней могут стать наполненные фактическими данными модели 2-го, 3-го и последующих уровней типовой информации: модель агрегированного балансового отчета (рис. 9.4) и модель расчета отдельных показателей агрегированного балансового отчета (рис. 9.5). Формы представления информации пользователь задает системе по собственному усмотрению.

Выявление банковских рисков и угроз. Описанная методика и инструменты поиска признаков нарушений процедур,.

Рис. 9.2. Отчет по форме 409 101 с детализацией по счету второго порядка 31 306.

Рис. 9.3. Фрагмент тех же сведений в форме сводной таблицы по форме 409 101.

Рис. 9.4. Схема представления агрегированного баланса кредитной организации (фрагмент).

Рис. 9.5. Детальный анализ расчета показателя агрегированного баланса по строке 8.2 (пассив).

функций и полномочий субъектов успешно применяются в целях защиты информации банка. Автоматизированный комплекс позволяет преобразовывать в единый формат данные, поступающие из различных контролируемых объектов, вести выявление фактов нарушений порядка доступа к информационным ресурсам и самих нарушителей, четко фиксировать суть и иные обстоятельства нарушений, формировать в визуальной форме запросы на выборку данных, представлять результаты обработки информации в виде отчетных документов с использованием легко воспринимаемых схем и т. д.

Возможности автоматического поиска сведений по заданным параметрам и выявления скрытых связей могут успешно использоваться в целях выявления различного рода банковских рисков и угроз. В частности, кредитного риска, который является основным в процессе банковской деятельности и заключается в неспособности либо нежелании партнера действовать в соответствии с условиями договора.

Кредитная деятельность требует определенных аналитических оценок относительно кредитоспособности заемщика. Практика свидетельствует, что такие оценки не всегда точны и корректны. Известно, что кредитный риск значительно возрастает в случае предоставления крупных кредитов так называемым связанным заемщикам. Между тем указанные связи могут быть неявными. Использование представленных выше информационных технологий позволяет выявить деловые и иные связи между заемщиками или группами заемщиков путем анализа массивов информации о совершенных и планируемых сделках, об участии в образовании имущества юридического лица и т. д.

Заданные комплексу параметры помогут аналитику в выявлении в исследуемых массивах информации сведений о сотрудниках банка, которые могут быть признаны лицами, заинтересованными в операциях (сделках). Напомним, что набор признаков возможной личной заинтересованности сотрудника включает в себя более 20 элементов, находящихся в прямой либо опосредованной зависимости. В их числе: владение акциями (долями, паями) юридического лица, являющегося стороной операции (сделки) или участвующего в пей в качестве представителя или посредника; участие сотрудника в органах управления юридического лица; участие родственников сотрудника в сделке; нахождение у родственников во владении акций (долей, паев); участие родственников сотрудника в органах управления юридического лица, являющегося стороной сделки, и т. д. Разноплановость названных признаков и разрозненность источников сведений, подлежащих изучению для их поиска, делают ручную обработку информации весьма непродуктивной, а ее результаты не всегда полными и достоверными. И наоборот, применение в данном случае автоматизированного комплекса аналитической обработки информации качественно повышает эффективность работы аналитика.

К числу используемых аналитиком простейших моделей автоматизированного поиска банковских рисков относится, например, шаблон выявления фактов неоднократного использования одного и того же предмета залога в одном либо нескольких банках (рис. 9.6) или анализ платежей, произведенных организацией по банковским проводкам или платежным поручениям (рис. 9.7).

Как упоминалось выше, информационные технологии Data Mining могут быть использованы для выявления и блокирования попыток мошеннических операций с платежными картами.

Рис. 9.6. Результаты применения модели поиска для выявления неоднократного использования одного и того же предмета залога.

Рис. 9.7. Схема анализа платежей (по платежным поручениям и проводкам).

При этом в основе поисковой и аналитической деятельности в указанном случае лежит все то же использование соответствующих шаблонов (моделей, заданных параметров). Система содержит в себе, а затем распознает в реальном режиме времени модели различного типа мошенничества в кредитной сфере. Финансовые операции по выявленным попыткам мошенничества автоматически блокируются. Фактические данные для создания моделей мошенничества собираются специалистами банка и постоянно обновляются с учетом последней информации о случаях мошенничества.

Еще одна особенность автоматизированного комплекса — его способность самостоятельно выявлять типичные признаки анализируемой (в нашем случае противоправной) деятельности и участвующих в ней лиц (юридических и физических). В этих целях аналитической обработке подвергается информация о достоверно известных фактах правонарушений. Такой прием позволяет, например, установить типичные характеристики лжекоммерческих организаций (фирм прикрытия), использующихся для совершения мошенничества при заключении банковских договоров и операций для легализации «грязных» денег. Комплекс выявляет типичные признаки имитации клиентами производственной и коммерческой деятельности (когда деятельность не проводится вовсе), а также коммерческой деятельности в форме оказания интеллектуальных (маркетинговых) услуг и т. д. Указанные выше параметры состоят из нескольких десятков элементов.

Использование этих параметров при аналитической обработке соответствующих массивов информации показало высокую поисковую эффективность и надежность оценки подлинных намерений потенциальных клиентов.

На рис. 9.8 в левой части представлена типовая схема движения денежных средств «по кругу» в целях имитации финансовой деятельности, в правой части представлены конкретные факты таких маскировочных действий, отобранные системой.

Существенным направлением информационно-аналитической поддержки субъектов обеспечения безопасности банка (в частности, службы безопасности) является возможность представления результатов сыскной (проверочной) деятельности предполагаемого клиента или проведенного внутреннего расследования в виде визуальных моделей, отражающих:

— обстоятельства, подлежащие проверке;

Рис. 9.8. Типовая схема движения денежных средств «по кругу» в целях имитации финансовой деятельности и конкретные факты таких маскировочных действий, отобранные системой.

• — мероприятия, которые необходимо выполнить в целях проверки;
• — факт выполнения и результаты выполненных мероприятий, источники и материалы для обоснования принятого решения;
• — степень полноты полученных сведений, позволяющих принять окончательное решение по делу.

Так, например, стандартная проверка потенциального клиента с целью предупреждения мошенничества (и риска невозврата кредита) при заключении кредитного договора (договора займа) предполагает выполнение, фиксацию и анализ службой безопасности банка результатов следующих действий, направленных на проверку подлинности:

• • сведений и документов, удостоверяющих право организации заключать договор займа в объеме и на условиях, предусмотренных проектом договора, а также документов, удостоверяющих личность руководителя или представителя организации, наличие у них соответствующих полномочий па получение кредита, правильность оформления доверенности и т. д.;
• • сведений, подтверждающих реальное существование организации-заемщика, путем изучения уставных документов, сведений из налоговых органов и др., соответствия кредитуемой сделки законодательству и уставным документам заемщика. В частности, получить информацию о наличии у организации-заемщика постоянных производственных и складских помещений, об объемах товаров или продукции, которыми располагает фирма;
• • способности заемщика заработать средства для погашения долга и возвратить кредит (анализируются сведения о продолжительности присутствия фирмы на рынке товаров и услуг, наличие положительных экономических показателей, изучаются кредитная история (получал ли заемщик кредиты в других кредитных организациях, не допускал ли нарушений при их получении; как использовались деньги, полученные в качестве кредита; не было ли проблем с возвратом денег банку) и репутация в деловом мире партнеров (контрагентов, кредиторов, банков);
• • вложений собственного капитала заемщика в кредитуемое дело (данные балансовых ведомостей, расчетно-кассовые документы и другая документация первичного учета, наличие у него достаточных объемов реального товара или продукции);
• • документов о вторичных источниках погашения долга (договора о залоге, гарантии, поручительства, страхового свидетельства). Проверяется их точное соответствие нормам гражданского законодательства, наличие возможных признаков материального и интеллектуального подлога. Выясняется, отражен ли факт выдачи гарантийного письма, страхового свидетельства и пр. в соответствующих документах поручителя;
• • целей испрашиваемого кредита, а также сведений, раскрывающих содержание и механизм предполагаемого контракта по всей технологической цепочке от момента производства до доставки к месту реализации; о характере деятельности предполагаемых контрагентов потенциального заемщика; о возможности контрагентов поставить заемщику товар ожидаемой номенклатуры и качества в названные сроки, вид и количество транспортных единиц, которые предполагается использовать, наличие соответствующих договоров на доставку товара (сырья).

После заключения кредитного договора служба безопасности банка обязана контролировать ход его исполнения с целью своевременного выявления обстоятельств, могущих препятствовать возврату кредита. При возникновении таких обстоятельств — принимать меры к минимизации ущерба^[7].

Автоматизированный комплекс предоставляет возможность сотруднику службы безопасности (аналитику) самостоятельно создать графическую схему, представляющую процедуру и результаты проверки, на экране монитора (рис. 9.9).

Указанная схема формируется в режиме диалога с комплексом. Данные об анализируемых объектах и связях между ними вводятся в компьютер в виде графической схемы, которая выполняется пользователем непосредственно на экране. Для графического обозначения объектов пользователь выбирает значки из предлагаемого программой набора шаблонов и выводит их в рабочее поле экрана. Связи между объектами фиксируются путем проведения между ними схематических линий. Одновременно с этим программа позволяет дополнять графическое изображение зафиксированных объектов и их связей текстовой информацией. Это дает пользователю возможность наделить объекты и связи признаками (атрибутами), которые имеют самостоятельное поисковое значение и используются в последующем компьютерном анализе. В обычном режиме работы текстовая информация находится в скрытом состоянии. Она выводится на экран в специаль;

Рис. 9.9. Схема, представляющая процедуру и результаты проверки.

ном окне, которое открывается непосредственно на схеме по команде пользователя в привязке к конкретному объекту или связи. Содержание текстовой информации может меняться в диалоговом режиме путем внесения новых сведений непосредственно в поле окна.

Каждый из объектов содержит в «свернутом» виде информацию, представленную выше в текстовой форме, однако в случае необходимости она «разворачивается» по команде пользователя. По мере поступления сведений о результатах проверки он пополняется путем непосредственного внесения информации в базу данных через экран монитора.

Сформированная модель проверочных мероприятий и полученных фактических данных позволяет представить собранную информацию в цельном, удобном для восприятия виде. Удобству восприятия способствует возможность изображения отдельных групп объектов и их связей в различных цветах.

Кроме того, модель указанного вида обладает рядом динамических свойств, которые позволяют группировать собранную информацию в соответствии с целями аналитических процедур. В частности, зафиксированные моделью носители информации могут выделяться по команде пользователя из общего массива данных по признакам вида, источника информации (лицо, документы), места обнаружения, наличия связей и их типа и т. д.

Наряду с общей схемой всех зафиксированных объектов, модель представляет частные схемы их отдельных групп (например, признаки, свидетельствующие о фиктивном характере организации-заемщика).

Результаты указанных процедур позволяют аналитику получить, не упустив даже самых незначительных деталей, четкое представление о содержании и целях проверочных действий, об имеющейся фактической информации, которая может быть использована для оценки подлинных намерений организации-заемщика, и т. д.

Кроме того, одновременно с аналитической обработкой имеющейся фактической информации сотрудник службы безопасности может использовать функции комплекса для поиска недостающих данных в других массивах сведений.

• [1] Подразделение защиты информации может входить в структуру службы безопасности либо функционировать автономно.
• [2] См.: ст. 6 Федерального закона «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» .
• [3] Подробно система безопасности банка описана в работе: Галии В. А., Ткачук И. Б. Концепция и система безопасности банка. М.: Изд-ль Шумилова, 2003.
• [4] ЗАО «Институт проблем безопасности» .
• [5] Christopher Westphial Tereza Blaxton. Data Mining Solutions. Methods and Tools for Solving Real-World Problems. WILEY COMPUTER John Wiley & Sons, Inc New York «Chichester Weinheim», 1998.
• [6] АУВЕР — Ассоциация участников вексельного рынка (некоммерческая профессиональная организация), публикует сведения о недобросовестных участниках рынка, векселях, вышедших из владения собственников помимо их воли, появлении поддельных векселей, их реквизитах и т. д.
• [7] Подробнее см.: Гамза В. А., Ткачук И. Б. Безопасность коммерческого банка: учеб.-практ. пособие. М.: Изд-во Шумилова И. И., 2000. С. 27.