网上银行主要风险及应对，本文主要内容关键词为：网上银行论文,风险论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
自1995年美国第一家网上银行诞生以来，短短几年间，网上银行以其便利、不受时间和地域制约等广为人们接受的特性，迅速席卷整个国际银行业，国内大多数银行也相继开办了以传统业务为依托的网上银行业务，且业务增长速度平均保持在30%左右。在业务快速增长的同时，商业银行和银行监管部门也逐步把网上银行风险防范和业务监管纳入重要议事日程。
网上银行资金划转或支付交易，是由以常规手段无法确定其真实身份的交易发起人，通过开放性的国际互联网络发起，银行或银行系统根据验证的来自互联网的指令办理资金划转或支付的交易行为。因此，客户、商业银行及银行监管部门，出于各自的利益和职责，将网上银行风险防范的关注焦点锁定在网络安全方面。而作为网上银行业务的提供方，商业银行有责任和义务将网上银行的风险防范系统化、制度化，全面提高风险防范质量，降低预期风险转化为实际损失的可能性，在维护客户利益的同时确保银行资产安全。
一、网上银行主要风险及防范目标
网上银行风险防范的根本目标是保证银行及客户资金安全。其防范目标可分解为：确保网上银行系统主机及相关系统的安全及稳定运行；确保银行生产系统及相关系统的安全和稳定运行；确保银行内部网络不受监听、窃取、攻击和病毒等恶意行为威胁；确保银行及客户静态数据资料安全；确保客户动态交易数据不被转移、破解、修改；确保银行生产系统不接受任何非法交易指令，确保及时接受合法客户的交易请求决绝任何形式的非法请求等等。
从这个根本目标出发，网上银行主要风险可划分为整体策略风险、技术风险、业务风险、法律风险等。
整体策略风险是指商业银行在网上银行整体风险防范策略上的不完整或存在重大缺陷带来的潜在损失。
技术风险是指商业银行的网上银行系统或关联系统不完整或存在重大缺陷带来的潜在损失。
业务风险是指商业银行在网上银行产品的业务处理流程设计上，存在产品或制度缺陷，导致非法指令控制的资金转移成为可能。
法律风险是指网上银行业务运营过程中或交易纠纷形成后，没有确定的、适用的法律条款和规定来定性结果或切分责任。
网上银行是高科技含量产品，一项非预期后果的产生，有时较难确定是业务或技术因素所导致，有时业务流程上的问题可追究到技术手段，有时技术因素也可追究到业务要求，技术风险与业务风险相互转化，并最终导致法律风险的加剧。这要求商业银行在制定相关业务处理流程和配套制度方面，将技术手段、业务制度、法律或规定等，有机地结合起来，通盘考虑、相互印证、互相制约；将技术风险、业务运营风险、法律风险综合纳入网上银行风险防范体系，才能系统地、有效地及时应对各种风险，保证网上银行业务的稳健运营。
二、整体策略风险及防范
整体策略风险是网上银行系统非技术层面的全局风险因素，主要体现在商业银行对网络业务的预期风险估计不足，没有系统的、可实施的应对方案或方案不完整。不具备或者整体策略不完整或存在重大缺陷，将导致风险点失控，当某项风险成为损失，可能以放射状和网络方式触发网上银行系统的全局风险，甚至可能威胁到商业银行整体利益，引发信用危机。网上银行整体风险防范策略应明确或回答如下问题：
1、是否具备文本形式的网上银行风险及应对手册或指引；
2、整体风险防范策略是否经专家组论证并通过；
3、风险防范制度及应对风险的工作步骤；
4、可能导致严重后果的重要风险的界定和防范措施；
5、重要风险点的定期检查、监测、评估、衡量、预测制度；
6、第三方独立执行的技术及业务审计制度；
7、业务运行应急计划和业务连续性计划；
8、风险防范应急组织的组建及相关指责的规定；
9、与中国人民银行《网上银行业务管理暂行办法》相配套的制度等等。
网上银行整体风险防范策略的制定，是商业银行应对网上银行风险所采取的最重要的积极步骤，它将在更广阔的层面上唤醒银行员工、技术和业务管理人员、高层决策人员的风险防范意识；将使网上银行风险防范工作依法、合规、有序地进行；也将使商业银行主动地将网上银行的局部风险控制在上商业银行自身可控范围之内。
三、技术风险及防范
网上银行技术风险的直接诱因来自如下几个方面，这些诱因给恶意或随机探测行为提供了可利用或可重复利用的潜在资源，也会造成系统自身运行过程中故障多发、效率低下，影响网上银行的稳定运行，诱发业务或法律风险：
1、网上银行IT技术的常规风险。网上银行和商业银行其它涉及帐务处理的计算机系统一样，面临系统总体架构设计、应用系统详细设计、网络结构设计、软硬件选型和配置、开发平台和运行平台的选择、系统集成商及其它合作公司的技术实力和服务质量等等常规风险，这是银行应用系统普遍关注的基本问题。在这些问题上，国有商业银行及股份制商业银行已经具备了足够的专业知识和技术经验及相对稳定的科技人才队伍，有能力做好IT系统常规风险防范。商业银行应更加关注网上银行的新特性，按更高的安全标准做好网上银行系统的基础设施建设和常规风险防范。
2、加密技术风险。加密技术、加密体制、加密算法，密钥长度等网上交易和数据传输安全策略的确定，是网上银行安全问题的核心。目前，PKI公开密钥加密体制已成为互联网交易加密体制的主流，应该成为商业银行网上银行的首选。加密技术风险主要来自以下几个方面，一是虽然我国商用密码研究处于国际领先水平，但还不具备适用于互联网交易的成熟的、体系化的、可应用的商用密码方案和产品，我国自有知识产权的密码产品还不能成熟地运用到互联网交易，目前大多数商业银行采取的密码产品一般来自美国、加拿大等西方国家，而这些国家向中国出口的往往是低端产品，这无疑在加密这个核心问题上对我国商业银行构成威胁；二是商业银行对网上银行交易正在应用的加密体制的研究还处住初级阶段，大多数银行技术人员还停留在调用加密函数完成应用程序设计阶段，对加密函数处理机制及重要算法或参数不了解不具备源代码，不能预测可能的问题，出了问题也不能及时妥善地解决；三是有的商业银行为了尽快占领网上银行交易市场，将在封闭式金融内部网内使用的加密手段应用到开放式网络交易，其加密传输体制和加密强度远远不能满足互联网交易的安全要求，虽然这种做法提高了系统响应效率，却大大降低了系统的安全强度。
我们应该清醒地认识到，目前商业银行应用的商用密码产品与西方发达国家还存在差距，来自这些国家的不速之客可能会居高临下俯视我们的网络，只有认识到这个问题的严重性，才能投入更多的力量来跟踪国际商密技术和理论，才能不断更新我们的加密手段，抵御来自国内和国际的技术威胁。
3、身份认证和验证策略。应用PKI体制，网上交易身份认证和验证与加密技术一道，共同构筑了互联网上解决交易双方或多方非对面交易的技术基础，也逐渐被一些国家立法认同和保护。身份认证过程是通过认证客户的公开密钥来确认客户的真实身份，它的技术手段是颁发含有认证中心(CA)数字签名的数字证书，来证明客户公开密钥的合法。证书验证过程是商业银行通过与认证中心联网核查，确保交易发起方的数字证书为指定的认证中心所签发，且该交易发起方为本行合法客户。
加密、身份认证和验证是银行互联网交易逐渐被法律认同的技术基础，商业银行应在如下几个方面提起重视，保证队证和验证的安全：
(1)选择独立于银行及银行系统的第三方认证中心为自己信赖的认证中心，目前多数银行选择了中国金融认证中心作为数字证书的颁发机构。商业银行自建认证中心、自己为客户颁发数字证书、白行验证的做法有悖于互联网交易争取法律认同和保护的技术初衷，一旦发生纠纷成损失，商业银行将处于被动局面。金融监管部门也应该逐渐禁止商业银行自建认证中心开办网上银行业务；
(2)商业银行证书验证系统与认证中心的联网验证或证书数据镜像线路，应封闭在金融专用网内部；
(3)我国认证中心刚刚起步，在技术水平和服务质量上还需要进一步提高和改进。目前阶段，商业银行应该将注意力更多地放在提高自身技术实力上，投入更多的人员和精力学习国外先进技术。改善和优化证书验证系统等与认证中心配套的银行端系统，提高银行端对数字证书的利用效率和对紧急事件的自处理能力；
(4)提高私人密钥和数字证书承载介质的安全质量。目前私人密钥和证书承载介质一般为软盘、硬盘、USB借口卡、非智能IC卡、智能IC卡。不携带CPU的存贮介质在任何一台计算机上即可读取，大大降低了私人密钥的机密程度，且密钥生成依赖于认证中心，理论上存在安全隐患，所以商业银行应逐步淘汰软盘、硬盘、非智能IC卡及单一存储功能的USB借口卡存放私人密钥的方式。智能IC卡，保密性能高、密钥对可在在卡内生成，但成本较高，不利于商业银行推广网上银行业务。从安全性能和成本考虑，智能USB借口卡应成为首选方案。私人密钥承载介质还应该具备灵敏的抗攻击能力和自毁能力。
4、网络安全策略。网络安全是网上银行系统安全的第一道屏障。我们注意到，我国的网络产品和网络安全产品（包括软件和硬件）在整体水平上离发达国家还存在较大差距，银行使用的大多数网络安全产品是国外品牌，这是无可争辩的事实。商业银行对网络安全产品的熟悉。掌握和应用水平，直接决定着商业银行对网络物理安全的应对能力。商业银行也应该清楚地意识到，网上银行在空间上拓广了客户群体的同时，也将网络恶意行为的实施者扩大到国际范围，地球上任何一名“黑客”都是我们防范的对象，商业银行不能存在侥幸心理，应该主动地掌握更可靠的安全技术，从内部网络结构、防火墙设置、防火区域设计、内部网络隔离等诸多方面审慎设计和论证，不放过任何细小环节，从安全技术和安全策略上降低银行系统被攻击的可能性。
5、群机系统安全。群机系统安全主要指网上银行系统运行过程中涉及的诸如web服务器、应用服务器、交换设备，防火墙系统、路由系统、域名解析服务器、邮件服务器、数字证书验证目录服务器等众多功能各异的硬件和软件系统，能够协调、不间断地稳健运行。这些众多的设备和系统集成为网上银行的后台系统，是商业银行提供网上银行业务的核心部位，一个部位出现问题或一个程序进程死锁，都将影响网上银行业务的持续进行，它的影响也会随着网络迅速蔓延到全国的客户。群机系统安全策略包括系统间物理和逻辑的联接方式、进程间调用关系、系统应急处理措施、群机安全自动扫描监测、全部进程的实时监控。外部入侵的动态扫描等技术措施，还包括人员执守制度、应急报告和处理制度、机房人员机密保护制度等配套的行政措施。
6、INTERNET接入线路。接入线路的风险源自接入线路的实际带宽、接入线路的稳定性、接入提供商的服务质量等。从商业银行角度考虑，接入线路质量的不可控程度较高，银行应选择从两个以上不同的接入线路提供商，用于网上银行业务，既提高接入速度，也可以互为备份。网上银行技术风险还有其他多种表示方式，以上谈及的是主要风险点及概要防范。
四、网上银行业务风险及防范
网上银行业务和传统银行业务及存在共同的风险特征，又具有自身的特殊性，但网上银行业务风险较技术风险比较容易确定和防范。业务风险源自如下几个方面：
1、客户端业务操作问题。网上银行交易的发起方为客户而非银行自身，这是引发客户操作风险的主要原因。在网上银行业务中，银行参与交易处理的人为控制因素逐渐降低，在实行网上银行交易与清算系统自动对接的商业银行，其客户资金也许在工作人员丝毫没有察觉的瞬间转出或转入银行，它在极大方便客户的同时，也加大了客户操作风险。客户操作风险主要表现在非客户真实意愿的重复操作、客户端非授权或非法授权的资金转移、客户端无合法凭证的交易指令，客户端财务管理软件的缺陷造成银行被动划款等几个方面。实际上，在商业银行与网上银行签订的网上银行协议或合同中一般都已明确了签约客户对以客户私人密钥下达的交易指令负责的免责条款，但在实际业务中，商业银行将不可避免地陷入纠纷，商业银行有义务在客户端软件流程设计、客户端交互界面无歧义、网上银行与财务软件对接接口等方面做更多的工作，协助客户做好操作风险防范，并不断提高客户端软件质量，与签约客户一起将客户操作风险降低到可控程度。
2、客户端有效凭证问题。以传统转帐支票业务为例，企业以转帐支票存根联和盖有银行业务公章的对账单确认贷记支付的完成，并将支票存根联和银行对账单作为附件制作企业记帐凭证。而在网上银行业务中，客户无法得到类似于支票存根的有效凭证，银行对账单也往往迟于实际资金划转后数小时或数天后到达，这是网上银行给客户会计处理造成的不便，也给客户端掩盖非授权资金转移提供了作案时间。这个问题可通过如下措施协助客户共同防范，一是网上银行系统的客户端程序要提供可供客户选择的多授权人和操作员操作才能使交易指令生效的授权操作机制；二是提供网上银行系统与财务管理软件的自动对接功能，以财务管理软件的授权机制和自动处理减少客户直接操作；三是提高银行对账单的送达时间，商业银行可采取网上银行业务对账单加急送达的措施，协助客户防范资金的风险的同时，也方便客户的会计处理；四是逐步实施商业银行提供数字签名的电子回执，相信不远的将来，电子回执将彻底解决网上银行业务的有效回执问题。
3、客户端私人密钥风险。私人密钥是网上银行验证客户真实身份的最重要的条件之一，也是客户承担相关责任的主要凭据。客户端私人密钥风险主要表现在如下几个方面：
(1)私人密钥被非法复制、利用；
(2)私人密钥密码泄漏；
(3)私人密钥和密码同时丧失；
(4)私人密钥被破坏；
(5)私人密钥恶意挂失；
(6)私人密钥非法出借；
(7)银行人员利用工作便利窃取戒伪造客户私人密钥盗取客户资金。
在以上问题中，商业银行重点防范的对象是自身工作人员利用掌握客户资料的便利，窃取或伪造客户私人密钥的行为。商业银行要加大对网上银行业务的稽核检查，利用会计和交易资料相互印证手段，及时发现并纠正违规行为。
4、交易指令传递风险。交易指令传递风险是指银行内部工作人员，利用网上银行电子支付指令转化为纸基凭证的环节恶意制证的违规行为所导致的风险。商业银行应优化网上银行业务处理流程，尽量减少同一电子支付指令转化为纸基凭证进行人工后续处理的环节，降低人工介入网上支付指令的处理，人工介入网上银行业务的环节越多，其被恶意利用的几率越高。
5、银行端会计凭证问题。网上银行电子支付指令最终要在银行形成纸基凭证，再由银行进行相关处理。目前风险比较大的业务环节是跨行贷记支付的会计凭证处理。在跨行贷记支付过程中，银行需提出只有银行签章无需也无法由客户签章的贷记凭证，这给恶意动机行为人留下了作案空间。商业银行需在如下几个方面增加防范措施：
(1)将网上银行转账凭证纳入重要空白凭证管理；
(2)银行留存的网上银行转帐凭证经会计主管签字确认后才能办理日结手续；
(3)对网上银行转帐凭证坚持及时对账；
(4)需跨行提出的网上银行贷记凭证增加会计主管签字确认环节；
(5)有条件的银行应首先将网上银行交换数据纳入跨行电子数据交换系统。
6、借记支付业务风险。目前我国网上银行主要开办贷记支付业务，有的银行也在尝试开办同系统银行内的网上借记支付业务，由于网上银行跨行互联的制度，跨行借记支付业务的开展还需要一段时间。在借已支付业务中，交易发起方为收款人，交易对方为付款人，这要求开办此项业务的商业银行要严格履行付款人授权制度、真实交易验证机制，并在网上支付业务或可选择支付方式的业务中尽量避免使用借记支付手段。
五、法律风险及防范
网上银行的法律风险源于开放式互联网络的特殊性。在我国，尽管商业银行采取了一系列技术性保护措施，但商业银行还是面临目前没有明确立法保护的局面，网上银行赖以生存和发展的数字签名也得不到《票据法》、《支付结算办法》的支持。我们应该认识到，立法应该以社会实际需要为前提，商业银行应该尽量利用现有法律，规避法律风险，加强自我保护意识。
(1)充分利用和执行中国人民银行《网上银行业务管理暂行办法》；
(2)在网上银行业务处理上充分利用《票据法》、《支付结算办法》、《会计法》、《合同法》等法律法规拟定网上银行相关协议、制定有关业务流程和业务处理规定；
(3)在技术安全上充分利用目前执行的关于网络安全方面的行政法规，如《计算机信息系统安全保护条例》、《计算机信息网络国际联网管理暂行规定》、《计算机信息网络国际联网安全保护管理办法》等；
(4)充分利用中国金融认证中心在认证技术方面的权威性和第三方认证的合理性。
实际上，网上银行业务只是从技术上改变了法律关系的产生和存在形式，但当事人法律关系的实质没有改变，许多问题可以在现有法律框架下得到解决。商业银行应该注重交易数据的保管，这其中包括电子数据和纸基凭证，认真研究其作为证据的合理性和得到第三方技术支持的可能性，争取得到合理认定，为可能的纠纷或诉讼过程做好必要的准备。
网上银行确实存在比传统银行业务较多的风险，但消极等待，面临的将是在竞争中被淘汰出局的风险。面对网上银行风险，我们要以审慎的态度客观地对待，并积极做好系统化的相关准备。面对风险的商业银行，你准备好了吗？
标签：银行论文; 风险防范论文; 商业银行论文; 技术风险论文; 银行风险论文; 网上银行业务论文; 银行系统论文; 交易风险论文; 交易银行论文; 密钥管理论文; 支付安全论文; 网络支付论文; 网络安全论文;