Pisma urzędowe
Status: Nieaktualne

Pismo
z dnia 31 grudnia 1998 r.
Narodowy Bank Polski
NB/BPN/Y2K3/98
Bezpieczeństwo banków w kontekście problemu roku 2000.

Na bankach spoczywa obowiązek zapewnienia bezpieczeństwa środków pieniężnych powierzonych przez klientów (art. 49 Prawa bankowego), własnych aktywów, oraz obowiązek udziału w tworzeniu bezpieczeństwa całości systemu bankowego. Geneza problemów mogących zakłócić właściwe funkcjonowanie m.in. polskiego systemu bankowego na przełomie tysiącleci jest związana powszechnie z użytkowanymi systemami informatycznymi. O ile więc źródłem potencjalnych kłopotów jest środowisko komputerowe, o tyle skutki jego nieprawidłowego działania będą miały swoje implikacje w każdej sferze działalności banku. Rok 2000 był początkowo uważany za problem techniczny i dlatego wielu menedżerów uznało, że najlepiej się nim zajmą specjaliści od informatyki. W rzeczywistości można wysnuć tezę, że przygotowanie do roku 2000 to walka o przetrwanie banku na rynku, a nie jedynie prace nad sprawnym działaniem infrastruktury informatycznej. Muszą tego być świadomi i uczestniczyć w tym wszyscy, łącznie - a może przede wszystkim - z najwyższym kierownictwem banków. O ile każdy bank jest w stanie zaabsorbować stratę któregoś z posiadanych aktywów, o tyle żaden nie jest w stanie przetrwać utraty danych. Nadchodzący przełom wieków i ryzyko z tym związane są w chwili obecnej postrzegane jako największe ryzyko w branży. Rzecz nie dotyczy tylko błędnej interpretacji daty w komputerze. Dotyczy nagłego - choć przewidywalnego - odcięcia od wszystkich mediów potrzebnych dla istnienia instytucji oraz skutków pośrednich w postaci m.in. zachwiania płynności poszczególnych banków i systemu bankowego.

Sformułowanie głównych założeń w zakresie zabezpieczenia banku przed mogącymi się pojawić problemami przełomu tysiącleci należy do zarządu każdej instytucji bankowej. Aby w pełni wywiązać się ze swych zadań, powinien on mieć dosyć szczegółową wiedzę na temat stanu zabezpieczenia wszystkich elementów struktury banku, ze szczególnym uwzględnieniem systemu informatycznego. Trzeba dodać, że wyższy poziom świadomości kierownictwa to szersze postrzeganie różnorodnych zjawisk mogących oddziaływać na bank, a więc stanowiących realne ryzyko. Umiejętność identyfikowania ryzyka i zapobiegania ich potencjalnym skutkom przekłada się na większe poczucie bezpieczeństwa zarówno kierownictwa banku, jak i klientów. Jednocześnie każdy z członków kierownictwa banku winien być świadomy zagrożeń, jakie wiążą się z niebezpieczeństwem oddziaływania problemów roku 2000 nie tylko na systemy informatyczne, ale na sam fakt dalszego istnienia banku. Świadomość kadry kierowniczej powinna znaleźć przełożenie na opracowanie założeń dotyczących bezpieczeństwa podległych im pionów, podanie tego do wiadomości pracowników, ustalenie obszarów szczególnej wrażliwości na ryzyko i oszacowanie bezpośrednich oraz pośrednich strat finansowych (analiza pesymistycznych scenariuszy), które mogą powstać z tego tytułu. Niewątpliwie ważne jest ustalenie poziomu maksymalnego dopuszczalnego ryzyka wyrażonego np. wielkością funduszy własnych lub przychodu netto, które zarządy w porozumieniu z radami nadzorczymi "godzą się stracić" na skutek negatywnych zdarzeń mogących nastąpić w wyniku zmiany dat. Władze banku winny więc ustalić wymagane dla banku poziomy bezpieczeństwa (np. minimalny i pożądany), sporządzić program dochodzenia do poszczególnych etapów oraz być regularnie informowane o jego realizacji w celu skontrolowania, czy i w jakiej mierze jest już osiągnięty odpowiedni stopień bezpieczeństwa. Zarząd powinien na bieżąco badać, czy założony poziom bezpieczeństwa umożliwi mu sprawne funkcjonowanie w przypadku wystąpienia poważnych i długotrwałych zakłóceń lub awarii. Powinien on wyznaczyć osoby odpowiedzialne za opracowanie i wdrożenie konkretnych rozwiązań mających zapewnić ciągłe prowadzenie działalności oraz stałą poprawę stanu bezpieczeństwa banku. Zarządowi winno szczególnie zależeć na tym, aby poziom zabezpieczeń elementów struktury oraz systemów informatycznych był mierzony okresowo, w celu umożliwienia ewentualnych działań zmierzających do poprawy sytuacji. Ważne jest również oszacowanie, w jakim terminie podległe komórki będą w stanie wznowić normalną pracę. Na obecnym etapie konieczne staje się więc przygotowanie szczegółowych planów awaryjnych, tj.: planów ciągłości działania i planów wznowienia operacji. Ustalenie głównych założeń w tej dziedzinie oraz kontrola ich realizacji należy w ostatecznym rozrachunku do zarządu danego banku, który odpowiada za stan bezpieczeństwa, reputację oraz zarządzanie ryzykiem (w tym także operacyjnym) banku.

Przy akceptacji budżetów, zarządy banków winne mieć świadomość, że ani jedna złotówka wydana na prace przy dostosowaniu banku do wymogów roku 2000 nie przyniesie bezpośrednio żadnych zysków, ale "zaoszczędzenie" kilku tysięcy złotych może spowodować, że bank przestanie istnieć. Wydatki te są zatem swego rodzaju "polisą na przetrwanie". Jednocześnie utworzenie właściwych mechanizmów kontroli dyscypliny budżetowej pozwoli na uniknięcie zbędnych czy nadmiernych wydatków, a także zafałszowania informacji o kosztach. Ważne przy tworzeniu finansowej części planu jest uwzględnienie, że prócz kosztów bezpośrednich, odtworzenia sprzętu i oprogramowania oraz strat finansowych dochodzą zazwyczaj także koszty pośrednie (koszty dodatkowe, czas poświęcony na ponowną instalację systemu i odtworzenie danych, straty operacyjne i majątkowe, koszty z tytułu odpowiedzialności cywilnej, utrata prestiżu, koszty utraconych możliwości itp.), trudne niejednokrotnie do realnego oszacowania.

Specyfika banku polega na tym, że surowcem i produktem są dla niego pieniądze. Do przetwarzania i zarządzania nimi używa informatyki oraz technologii informatycznych. Z chwilą utraty możliwości korzystania z niej, utraci swoje podstawowe "narzędzie produkcji". Nie będzie więc w stanie wykorzystywać informacji do przekształcenia jednej formy finansowej w drugą. Dodatkowo, w związku z przetwarzaniem i obsługą strumieni pieniężnych innych podmiotów gospodarczych, klientów instytucjonalnych, agend rządowych, organizacji społecznych czy osób fizycznych, przeżywane przez bank trudności lub niewłaściwa polityka informacyjna o przygotowaniu do roku 2000 spowodują z ich strony szybką reakcję polegającą na odcięciu linii refinansowania, na wycofaniu wkładów lub nieprzedłużeniu umowy lokaty, co w sposób nieuchronny prowadzi do kryzysu płynności. Jednocześnie należy brać pod uwagę wariant, w którym niezależnie od polityki informacyjnej banku i stanu przygotowania systemów informatycznych do roku 2000, deponenci (zwłaszcza osoby fizyczne i część podmiotów gospodarczych) wycofają znaczną część swoich środków z obawy przed ewentualnymi (często hipotetycznymi) trudnościami, jakie mogą ich spotkać. Ponieważ wolumen transakcji finansowych dotkniętych katastrofą może być ogromny, a systemy bankowe są współzależne, kłopoty techniczne napotkane przez jeden bank lub jeden z segmentów rynku finansowego mogą szybko przenieść się na jego kontrahentów lub, w skrajnym przypadku, na system finansowy jako całość. W tym kontekście zapewnienie stabilności i bezpieczeństwa funkcjonowania banku, jego systemów informatycznych, przetwarzania, przechowywania i przemieszczania strumieni finansowych staje się bezwarunkowym nakazem.

Prócz zachwiania płynności pojedynczego banku, problemy roku 2000 mogą spowodować osłabienie płynności rynków finansowych. Zatem kłopoty z płynnością mogą dotyczyć wszystkich uczestników rynków i w tym samym czasie. W konsekwencji banki będą mniej odporne na ryzyko kontrahenta niż dotychczas i mogą być na to nie przygotowane. Trudno jest oszacować dokładnie skalę i skutki spadku płynności rynków, ale z doświadczeń wiadomo, że wszelkie zawirowania płynnościowe odbijały się co najmniej spadkami dochodów, choć nie musiało to być zaraz postrzegane jako kryzys. Sygnałem wskazującym, jak poważnie sprawa jest traktowana, są doniesienia o zwiększeniu pieniądza gotówkowego w obiegu w niektórych krajach (np. działania podejmowane w Wielkiej Brytanii przez Bank Anglii).

Wynikiem prac nad przygotowaniem banku do roku 2000 miała być ocena wszystkich obszarów i rodzajów działalności, na które ma wpływ zmiana tysiąclecia oraz opracowanie odpowiedniego, szczegółowego planu (programu) odnoszącego się do nich. Spośród uwag zawartych w Rekomendacji E dodatkowy nacisk należy położyć na odpowiednie ustalenie wymaganych zasobów (personel, budżet, konsultacje, dostęp do zasobów zewnętrznych), upowszechnianie świadomości, jak ważne są plany roku 2000, a także właściwe sporządzenie planów kontynuowania działalności oraz planów na wypadek jej załamania się. Sam plan dotyczący roku 2000 powinien stanowić część istniejących już planów awaryjnych: planów ciągłości działania i planów wznowienia operacji. A zatem można powiedzieć, że proces przygotowania do roku 2000 oraz sam rok 2000 będą ważnymi egzaminami dla istniejących planów awaryjnych. Jest to również sprawdzian dla technik zarządzania zasobami ludzkimi i alokacją zasobów. Należy jednak pamiętać, że tego egzaminu - w razie niepowodzenia - nie można zdawać ponownie.

Najistotniejszym ryzykiem, które powinny zostać uwzględnione w planach awaryjnych banków, to:

- ryzyko "braku transferu" (płynności), kiedy to bank traci zdolność do bieżącego realizowania swoich zobowiązań wobec klientów lub innych banków z różnych przyczyn, np. mających związek z informatyką;

- ryzyko utraty informacji, wynikające z całkowitej lub częściowej utraty strategicznych zasobów pamięci;

- ryzyko prowadzące do utraty zysków i wartości majątkowych (koszty ekonomiczne).

Kierując się własnym, dobrze pojętym interesem, banki powinny szeroko ujawnić swoje przygotowania do roku 2000, zarówno wobec kontrahentów (banki, partnerzy instytucjonalni), jak i pozostałych klientów. Podawane informacje winny być przygotowane w sposób wyważony i zrozumiały dla odbiorców. Formą ich propagowania i przekazywania opinii publicznej mogą być różnorakie media (prasa, publikacje okolicznościowe itd.), jak i informacje udostępniane klientom na terenie jednostek operacyjnych.

Niewątpliwie dużą rolę w upublicznianiu stanu przygotowania banków do roku 2000 oraz w potencjalnym uspokajaniu opinii publicznej mogą odegrać biegli rewidenci badający sprawozdania finansowe za rok 1998 oraz firmy doradcze specjalizujące się w ocenie ryzyka systemów informatycznych. Korzystając z zapisów ustawy z dn. 29.09.1994 r. o rachunkowości biegli rewidenci mogą wydać opinię na temat stanu przygotowań banku do funkcjonowania w roku 2000 w kontekście założeń, że będzie on kontynuował w dającej się przewidzieć przyszłości działalność gospodarczą w nie zmniejszonym zakresie. Opinia wydana przez niezależnego biegłego rewidenta lub firmę doradczą, która przeprowadziła pogłębione badania diagnostyczne, zawierająca określenie etapu prac i zakresu przygotowania, mogłaby być wykorzystana w działaniach "public relations" banków. Przestrzegamy przy tym przed nierozważnym, fragmentarycznym lub jednostronnym wykorzystywaniem opinii rewidentów i doradców w celu wykazania gotowości do roku 2000.

Niektóre elementy działań podjętych w związku z rokiem 2000 mogą być częścią bieżących planów i prac. Banki powinny jednak mieć świadomość operowania w bardzo ograniczonym horyzoncie czasowym. Należy jednakże z całą mocą podkreślić, że nawet późne rozpoczęcie lub poszerzenie działań jest lepszą drogą postępowania niż bagatelizowanie ryzyka. W związku z tym nadzór bankowy oczekuje osiągnięcia przez banki:

- wysokiej świadomości kadry kierowniczej, że problem roku 2000 to problem przetrwania na rynku i kontynuowania działalności oraz wyzwanie dla sfery zarządzania i organizacyjnej,

- utworzenia i rozbudowania mechanizmów identyfikacji ryzyka w perspektywie roku 2000 (m.in. testowanie systemów krytycznych oraz testowanie kontrahentów pod kątem roku 2000),

- wdrożenia odpowiednich działań zabezpieczających przed zidentyfikowanymi zagrożeniami,

- opracowania adekwatnych planów awaryjnych,

- opracowania stosownej polityki informacyjnej.

Nadzór bankowy w inspekcjach dotyczących rozpoznania i przygotowania do roku 2000 nie spodziewa się wykrycia przypadków ignorowania ryzyka roku 2000. Oczekuje pełnej świadomości wymiarów tego ryzyka, podejmowania przez zarządy banków przejrzystych działań odpowiednich do charakteru rozpoznanych zagrożeń, oszacowania kosztów zabezpieczenia banku i porównania ich z ewentualnymi stratami wynikającymi z danego obszaru ryzyka.

Opublikowano: Glosa 1999/6/25