Управление ИТ-рисками на основе сервисного подхода VI научно-практическая конференция БАНКИ. ПРОЦЕССЫ. СТАНДАРТЫ. КАЧЕСТВО. ПОСТКРИЗИСНОЕ РАЗВИТИЕ г. Уфа, марта 2010 года Ф.М. Байновский, ЗАО «ИТ Эксперт»

Цель не сфокусирована Избыточные условия Эффективный Критерии для уровней зрелости = Указатели на пути к успеху

Наименование составляющей банковского процесса 1. Продуктовая 2. Технологическая 3. Организационная 4. Управленческая 5. Информационная 6. Программно-техническая 7. Кадровая 8. Имущественно-техническая 9. Клиентская Требования к средствам обработки, доставки, хранения управленческой информации (программному обеспечению и техническим средствам) Стандарт «Стандарты качества банковской деятельности. Основные положения и требования» (Проект) Оптимизированный уровень зрелости – Внедряется лучшая практика по контролю ИТ систем (например, CobIT) Стандарт качества организации управления операционными рисками в кредитных организациях (Проект) Определение ключевых элементов процесса для программно-технической составляющей НулевойНачальныйПовторяемыйОпределенныйУправляемыйОптимизированный Внедрили весь CobiT или только начали внедрять один ИТ-процесс из 34-х? Процессный подход охватывает все ИТ- сервисы или только несколько ИТ-систем? …

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка ИТ-сервис - рискоориентированная деятельность ИТ-подразделения, направленная на обеспечение оптимального вклада информационных технологий в достижение целей деятельности потребителей сервиса Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка ИТ-сервисы и уровни их предоставления бизнес-подразделениям определены, документированы и согласованы в рамках стандартного процесса. Уровень сервисов определяется на этапе формулирования требований к системе и учитывается при разработке дизайна приложений и среды промышленной эксплуатации. Регулярно оценивается степень удовлетворенности потребителей сервисов. Создана и поддерживается формализованная система мониторинга и оценки эффективности ИТ-сервисов с точки зрения бизнес-целей В случае не достижения согласованного уровня обслуживания выполняется анализ основных причин ситуации. Определены эксплуатационные и финансовые риски, связанные с нарушением согласованного уровня обслуживания. Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка ИТ-процесс – последовательная деятельность, направленная на минимизацию ИТ-рисков и повышение ИТ-эффективности, включающая набор взаимосвязанных процедур, в рамках которых входы в процесс преобразуются в сервисы или информацию. Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка 1. Управление инцидентами 2. Управление операциями 3. Управление изменениями 4. Управление конфигурациями 5. Управление проблемами 6. Управление производительностью 7. Управление финансами 8. Обеспечение соответствия ИТ-процессы определены и увязаны с ИТ-сервисами. ИТ-процессы стандартизированы и документально оформлены ИТ-процессы обеспечены ресурсами и компетентным персоналом ИТ-процессы внедрены, контролируются и совершенствуются Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка Управление ИТ - обеспечение в рамках системы взаимосвязанных ИТ-процессов целевого уровня соответствия ИТ текущим и стратегическим целям организации Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка Организационная структура ИТ адекватна стратегии развития бизнеса и взаимосвязана с его организационной структурой Определены и согласованы вопросы принадлежности процессов, систем и рисков, а также ответственности за подготовку отчетности. Определен и реализуется информационный обмен между всеми уровнями управления Стандартизированы контрольные показатели поддержки бизнес целей. Имеются кадровые возможности для комплектования штата исполнителей проектов и профессионального роста сотрудников. Определено и реализовано рациональное соотношение между внутренними кадровыми ресурсами и специалистами, привлекаемыми со стороны. Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка ИТ-риск - Вероятность возникновения отрицательно влияющего на достижение бизнес-целей события (состояния), связанного с предоставлением и/или потреблением ИТ-сервиса Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка Бизнес-руководство может контролировать текущее состояние организации с точки зрения ИТ- рисков и принимать взвешенные решения в отношении того риска, который оно готово принять. Используются согласованные на уровне корпоративного риск-менеджмента стандартизованные меры оценки ИТ-рисков. Определение фактического уровня ИТ-рисков осуществляется на основе полной и достоверной информации, что подтверждается аудиторским заключением Все выявленные ИТ-риски имеют номинальных владельцев, а высшее руководство и руководители службы ИТ определили уровни риска, которые, по их мнению, являются допустимыми. Определены и применяются методы реагирования на выявленные ИТ-риски, в т.ч. инициация процессных процедур по их минимизации. Руководство службы ИТ вырабатывает стратегии минимизации ИТ-рисков основываясь на корпоративной стратегии риск-менеджмента Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка Система внутреннего контроля - Меры, планы, процедуры и организационные структуры предназначенные для обеспечения уверенности в том, что цели бизнеса будут достигнуты, нежелательные события, связанные с предоставлением ИТ-сервисов, предотвращены, либо своевременно обнаружены и оперативно исправлены Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Цели деятельности кредитной организации Банковские процессы ИТ-сервисы Управление ИТ-рисками Программно-техническая составляющая банковских процессов Управление уровнем услуг, затратами, доступностью, безопасностью Управление изменениями, релизами, конфигурациями Управление инцидентами и проблемами Система ИТ-управления Операционные риски Система внутреннего контроля ИТ-риски Самооценка Система внутреннего контроля ИТ интегрирована с корпоративным уровнем СВК Обеспечивается оперативная идентификация (в т.ч. с применением средств мониторинга) и реагирование на все факты отклонения в процессной деятельности Формируется отчетность по вопросам контроля, управления рисками и соответствия требованиям, в т.ч. регулярно проводятся процедуры самооценки для того, чтобы убедиться в том, что меры контроля находятся на должном уровне зрелости и соответствуют требованиям бизнеса. Для получения дополнительных гарантий в отношении наиболее важных сервисов и процессов проводится независимый анализ степени адекватности применяемых мер контроля. Применяется сравнительный анализ с внешними лучшими практиками и используются внешние консультации по совершенствованию системы внутреннего контроля. Составляющие банковского процесса … 6. Программно- техническая 6.1 ИТ-сервисы 6.2 ИТ-процессы 6.3 ИТ-управление 6.4 ИТ-риски 6.5 ИТ-контроль

Процедура 1 Обеспечение регистрации заявок Процедура 2Процедура 3Процедура 4 Фактические параметры Количество учтенных заявок Качественная характеристика Оценка степени соответствия фактических значений целевым Обеспечение внутреннего контроля Предварительный контроль Текущий контроль Последующий контроль Мониторинг внутреннего контроля Качественная характеристика Деятельность Внутренний контроль Расчет целевого уровня Целевые параметры процедуры Дизайн процедуры Качественная характеристика Идентиф икация и анализ требован ий Проекти- рование Планиро вание Разработ ка Тестиров ание Испытан ия Поставка Руководитель – 2-й уровень контроля Менеджер – 1-й уровень контроля

ИТ - сервис Департа мент B Департа мент C Департа мент A Департа мент D Цель, Цель, Цель … Задача, Задача, Задача, Задача, Задача … Процес с С.3.1 Процес с С.3.2 Процес с С.3.3 Процес с С.3.4 АС 1ПС 1РМ 1 АС 1РМ 1 Рабочее место ПС 1 Программное обеспечение Автомат. система результативность рациональность доступность соответствие безопасность* Производство ISO Управление проектными ИТ-рисками Сопровождение ISO Управление операционными ИТ- рисками спецификаобщееспецифика Идентифика ция Проектирова ние Производств о Тестировани е Поставка Ресурсы Документы Измерение Развитие Услуги Изменения Конфигурац ии Инцидент ы Проблемы Производство и поддержание ИТ-сервиса на адекватном уровне Активности Записи Метрики Статистика доступности ИТ-сервиса Оценка достоверности Оценка уровня остаточного ИТ-риска Корпоративный риск-менеджмент Оценка зрелости Вероятность возникновения отрицательно влияющего на достижение бизнес-целей события, связанного с потреблением ИТ-сервиса

Спасибо за внимание!