Практика внедрения компьютерного аудита и искусственного интеллекта в банковском секторе

Введение

Банковский сектор, как и практически все сферы экономической деятельности, столкнулся с большим количеством вызовов в результате ограничений, введенных из-за пандемии COVID-19. В результате негативных процессов, наблюдавшихся в российской экономике в 2020 году, количество добровольных ликвидаций банковских учреждений превысило количество отозванных Центральным банком РФ лицензий [20]. По результатам совместного опроса EY и Ассоциации банков России «Как опыт 2020 года повлияет на будущее банковского сектора России?», наиболее заметное воздействие кризисных процессов в России, связанных с пандемией COVID-19, ощутили крупные банки (преимущественно государственные) с активами более 1 трлн рублей, тогда как для банков меньшего размера этот эффект оказался менее серьезным [9].

Ответом банковского сектора на негативное влияние пандемии COVID-19 стало ускорение цифровой трансформации банковского бизнеса. Информационные технологии позволили сформировать рывок к интенсивному развитию банковского сектора: во-первых, позволив автоматизировать многие бизнес-процессы, что в десятки раз сократило трудовые и временные затраты на предоставление различных банковских услуг. Во-вторых, позволили расширить спектр банковских продуктов, так как информационные технологии помогают расширять границы традиционного банкинга [18] (Pomulev, 2020). Тем не менее в этой сфере существует множество проблем, связанных как с формированием правового поля для использования компьютерных технологий, так и масштабными хищениями средств клиентов банков с использованием IT-технологий. В частности, коммерческим банкам запрещено то, что не разрешено Центральному банку, а здесь вопрос по поводу внедрения технологий определяется взвешенной позицией, которая определяет возможности финансового контроля со стороны регулятора при внедрении различных инновационных финансовых технологий.

Касаясь проблемы мошенничества и хищений средств клиентов с использованием IT-технологий, приведем ряд актуальных статистических данных, обнародованных Центральным банком Российской Федерации. Так, за II квартал 2021 года количество операций, проведенных без согласия клиентов, возросло на 23% по сравнению с аналогичным периодом прошлого года. В результате этого объем средств, похищенных у российских граждан, вырос на 38,4% в сравнении со II кварталом 2020 года и составил за II квартал 2021 года более 3 млрд рублей [14].

Как и в I квартале 2021 года, доля возвращенных средств во II квартале осталась катастрофически мала – 7,4% [16]. Это связано с тем, что преступления по хищению средств остаются нераскрытыми в связи с невозможностью установить личность подозреваемого. И с течением времени мошенники становятся все более изобретательными. Для сравнения: во II квартале 2020 года процент возвращенных средств составил 12,8% [15], что в 1,7 раза выше, чем в текущем году.

Наибольшее количество хищений денежных средств приходится на операции без согласия клиентов при оплате товаров и услуг в Интернете (70% от всех случае во II квартале 2021 года), на втором месте – операции дистанционного банковского обслуживания физических лиц (20,6%), на третьем – операции через банкоматы, терминалы и импринтеры (8,5%), и на четвертом – операции дистанционного банковского обслуживания юридических лиц (0,9%) [16]. Если в 2020 году наибольший объем похищенных средств приходился на операции без согласия клиентов при оплате товаров и услуг в Интернете, то в текущем году ситуация изменилась. Наибольший объем средств был украден посредством операций без согласия клиентов при дистанционном банковском обслуживании физических лиц. Количество похищенных денег выросло на 70% во II квартале 2021 года по сравнению с аналогичным периодом 2020 года и составило 1,24 млрд рублей [16, 15].

Отмеченная негативная динамика по объемам возврата похищенных средств клиентам банков свидетельствует об обострении проблем в этой области и необходимости активизации действий кредитных учреждений по противодействию угроз финансовой безопасности.

Целью исследования, представленного в настоящей статье, является анализ противоречивых тенденций, характерных для современного этапа внедрения искусственного интеллекта и других инновационных технологий в банковском секторе. Авторы также проанализировали опыт ПАО «Сбербанк» в области цифровой трансформации развивающейся экосистемы, перешагнувшей границы просто банковского бизнеса. Этот опыт будет интересен как в научном, так и в практическом плане, не только для банковских структур, пытающихся минимизировать негативное влияние пандемии COVID-19, но и для других бизнесов, развивающихся в направлении создания экосистем.

Банковский сектор, став лидером цифровой трансформации, сконцентрировался на развитии безналичных операций за счет повсеместного внедрения цифровых платформ, облачных технологий и систем распределенного реестра (блокчейн-технологий). Причем в отношении применения блокчейн-технологий позиция регулятора кардинально поменялась. Если в октябре 2017 года на Форуме инновационных финансовых технологий Finopolis председатель Банка России Эльвира Набиуллина подчеркивала, что регулятор банковского сектора не поддерживает использование криптовалют как законного платежного средства, то уже 12 апреля 2021 Банк России опубликовал концепцию цифрового рубля как третьей формы национальной валюты. Его планируют использовать наравне с наличными и безналичными рублями.

У цифрового рубля есть дополнительные преимущества, которые повысят его привлекательность как платежного средства.

Ключевыми среди них можно выделить следующие:

- доступ к кошельку через любую финансовую организацию, в которой обслуживают клиента;

- тарифы на обслуживание не выше, чем в системе быстрых платежей;

- возможности расчетов без доступа к интернету (офлайн-режим);

- высокий уровень надежности. Цифровой рубль – обязательство Банка России;

- расширение инновационных сервисов и продуктов на финансовом рынке;

- уникальные номера цифровых рублей. Благодаря им станет проще восстановить права при хищении [3].

Таким образом, новым направлением развития деятельности Банка России выступает освоение новых технологий, в частности в банковской сфере анонсировано внедрение технологии блокчейна и запущен процесс выпуска собственных цифровых денег, которые составят конкуренцию криптовалютам (биткойну и другим).

В связи с этим можно сказать, что компьютерный аудит может быть универсальной технологией, позволяющей использовать ее преимущества не только внутри конкретного банка, но и во всей банковской системе [25] (Podolskaya, Zhuravlev, Sidelnikov, 2019). В частности, отслеживание движения цифровых денег по их индивидуальному номеру поможет предотвратить финансовое мошенничество и восстановлению прав собственности при хищении.

С точки зрения хищения опасность возникает не только в связи с потерей денежных средств, но и утерей персональных данных, которые выступают в виде основы для финансового мошенничества [6]. В связи с этим Консультативным советом при уполномоченном органе по защите прав субъектов персональных данных Роскомнадзора представлены методи­ческие рекомендации по организационной защите физическим лицом своих персональных данных, в которых отмечается «важность персональных данных как ключевого фактора цифрового присутствия, т. е. участия и взаимодействия в обмене информацией, а «эффективность и безопасность цифрового присутствия во многом зависят от культуры производства и распространения персональных данных. При этом цифровое присутствие может быть как контролируемым, так и вынужденным, то есть осуществляющимся без участия самого физического лица за счет деятельности и устройств третьих лиц» [22].

Например, бесконтрольное распространение персональных данных может стать реальной угрозой как для частной жизни лица, так и клиентов, сотрудников государственных, частных, коммерческих организаций [4] (Bukhonova, Yablonskaya, 2020). При этом активное обращение персональных данных в условиях цифровой экономики является необходимым и базовым условием динамичного развития технологии больших данных (Big Data), которые считаются основой 4-й промышленной революции (Industry 4.0, I4.0) [5].

В коммерческих банках, в соответствии с методическими рекомендациями по выполнению законодательных требований при обработке персональных данных, составленных на основе комплекса документов в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации», и общих требований по обеспечению информационной безопасности банковских технологических процессов, в рамках которых обрабатываются персональные данные, предусматривается использование частных моделей угроз безопасности персональных данных, содержащих актуальные угрозы [2].

В системе внутреннего контроля коммерческого банка компьютерный аудит направлен в первую очередь на оценку безопасности компьютерной системы банка и оценку степени защиты данных, в том числе персональных данных сотрудников и клиентов банка. Интересным представляется опыт в этой области, накопленный ПАО «Сбербанк». На рисунке 1 представлена система технического аудита компьютерной системы ПАО «Сбербанк».

Рисунок 1. Технический аудит и защита персональных данных в информационных системах ПАО «Сбербанк»

Источник: [19].

К примеру, согласно политике обработки персональных данных в ПАО «Сбербанк», «обеспечение безопасности обрабатываемых персональных данных осуществляется в рамках единой комплексной системы организационно-технических и правовых мероприятий по защите информации, составляющей банковскую и коммерческую тайну, с учетом требований законодательства о персональных данных и принятых в соответствии с ним нормативных правовых актов». Система информационной безопасности банка постоянно развивается и проходит корректировку с учетом требований национальных и международных стандартов информационной безопасности, а также передовых международных практик [19].

ПАО «Сбербанк» производит автоматизированную и неавтоматизированную обработку персональных данных, передачу персональных данных по телекоммуникационным каналам связи международного информационного обмена «Интернет», корпоративной сети Банка и на материальных носителях персональных данных в многопользовательском режиме с разграничением прав доступа [17].

Основные операции, проводимые с персональными данными клиентов и работников Банка, представлены на рисунке 2.

Рисунок 2. Операции с персональными данными в информационных системах ПАО «Сбербанк»

Источник: [17].

Правовое обеспечение обработки персональных данных как один из методов их защиты в применяемых информационных системах персональных данных ПАО «Сбербанк» определяется международными стандартами, законодательством Российской Федерации и внутренними корпоративными стандартами.

Рисунок 3. Структура SOC ПАО «Сбербанк»

Источник: [21] .

Благодаря модернизации Центра киберзащиты и управления противодействия кибермошенничеству (Security Operation Centre-SOC) ПАО «Сбербанк», он стал самым масштабным в России проектом трансформации SOC и обеспечивает высокий уровень надежности систем, несмотря на рост киберпреступлений в мире. В ПАО «Сбербанк» определено, что «данные о клиентах являются одним из наших ключевых активов» и в связи с этим будут использоваться современные технологии и подходы к их сохранности.

В связи с возросшим количеством мошеннических операций следует отметить важность защиты всех персональных данных цифрового присутствия физического лица в условиях цифровизации банковского сектора [7] (Eshtokin, 2021).

В ПАО «Сбербанк» активно используются методы и инструменты правовой, технической и организационной защиты персональных данных в сочетании с моделями угроз их безопасности. Это позволило снизить риски и предупреждать несанкционированное использование персональных данных. В связи с этим следует признать эффективной систему внутреннего контроля компьютерных технологий, используемых для обработки персональных данных в связи с предоставлением банковских услуг.

В ПАО «Сбербанк» разработана модель машинного обучения и анализа больших данных для психологического прототипирования своих будущих заемщиков [10] (Kalayda, 2021). Вся группа компаний, входящих в СБЕР, использует технологии искусственного интеллекта, объясняя своим клиентам, что такое искусственный интеллект (ИИ) и зачем он бизнесу. Актуальность задач по внедрению искусственного интеллекта в банковском бизнесе подтверждается и результатами международного опроса, проведенного компанией SAS и Глобальной ассоциацией специалистов по управлению рисками (GARP) «Искусственный интеллект в банковской сфере и управлении рисками». Согласно результатам опроса 2000 респондентов из финансового сектора, в качестве наиболее востребованных направлений использование искусственного интеллекта были названы области управления риском (48%) и финансов (14%) [13] (Lotosh, Platonov, Tkalich, 2021).

Понятие «искусственный интеллект» описывает способность компьютерных систем самообучаться с помощью данных и выполнять узкопрофильные задачи, с которыми раньше справлялся только человек. Возможности нейросетей и других технологий ИИ позволяют:

ü автоматизировать рутину,

ü превращать массивы данных в ценные знания о потребностях клиентов, рисках, ресурсах и уязвимостях [11] (Kazantseva, Kazantsev, 2021).

Широкому распространению ИИ в бизнесе мешает недостаточное регламентирование в действующем законодательстве, «предвзятость» компьютерных систем (склонность обнаруживать закономерности, не понимая их сути) и сложность и дороговизна разработки [1] (Akulinin, Adamov, 2019). Тем не менее уже существуют готовые решения в области ИИ, которые можно купить. А технологии имеют свойство дешеветь, когда приобретают массовый характер.

Искусственный интеллект внедряют российские и мировые компании для решения многообразных задач с целью повышения эффективности бизнес-процессов.

1. Оптимизирует бизнес-процессы. В качестве примера можно привести чат-боты в техподдержке: «Как оплатить товар? Когда доставят мой заказ? Как сменить тарифный план?» – большинство вопросов клиентов типичны, и чтобы ответить на них, необязательно быть человеком.

Все чаще от имени компаний в контакт-центрах, приложениях и мессенджерах нам отвечают голосовые и чат-боты. Судя по опросам, клиентов это устраивает: люди позитивно относятся к общению с роботом – лишь бы он давал нужную и правильную информацию.

Чат-бот компании «МТС» самостоятельно справляется с 80–85% обращений пользователей. В дальнейшем МТС планирует научить бота не только обрабатывать запросы, но и в подходящий момент предлагать абонентам услуги и продукты, которые им действительно нужны.

Еще один пример робота-помощника – чат-бот «ВкусВилл». Он может подбирать скидки и рацион, находить магазины поблизости, а еще выступает важным для компании каналом обратной связи. Через него приходит около 4 000 полезных отзывов в месяц.

2. Прогнозирует спрос и поведение клиента. К примеру, с помощью ИИ можно обеспечить контроль ресурсов в розничной точке. Крупные торговые сети используют для анализа и прогнозирования спроса внутренние наработки в области ИИ, секреты которых, конечно, не раскрывают. Однако какие-то технологии в этой области выходят на рынок, например, решения от Yandex Data Factory (YDF). Так, успехом увенчался пилотный проект YDF для «Пятерочки»: искусственный интеллект научился прогнозировать спрос на акционные товары с точностью до упаковки в 61% случаев.

МТС с помощью машинного обучения предсказывает посещаемость розничных салонов сети и перераспределяет ресурсы на 15% эффективнее. А Mail.ru Group разработала технологию для анализа изображений или видеопотока Vision, благодаря которой можно, к примеру, вовремя обнаружить, что на полках магазина закончились йогурты.

3. Персональные предложения. Возможность анализа больших массивов данных – шанс максимально персонализировать предложения как для отдельных клиентов, так и для групп. Торговые сети сегодня могут подбирать ассортимент точки с учетом информации о жителях района и их потребностях, а сервисы – предугадывать поведение пользователя и предлагать ему то, о чем он даже не успел подумать.

Та же YDF разработала для сайта ЦУМа систему персональных рекомендаций, которая повышает конверсию, что для сегмента люкс – уже большое достижение.

4. Контролирует качество и безопасность: человеку неподвластна та точность, с которой искусственный интеллект способен выполнять рутинные задачи. Именно по этой причине ИИ начинают внедрять на сложных производствах, где приходится соблюдать строгие стандарты качества и технику безопасности.

Carlsberg использует ИИ для создания новых сортов пива. Компьютерные системы с высокотехнологичными датчиками отбирают дрожжи и помогают комбинировать тончайшие оттенки вкусов и запахов для продукции. Valio прибегает к решениям, которые позволяют свести к минимуму контакт сырья с неблагоприятной окружающей средой.

А нижегородская Mattler внедрила на птицефабрике «Моссельпром» технологию Morigan.Lean, с помощью которой легче контролировать производительность сотрудников. Компания также предлагает комплексные решения на базе компьютерного зрения для ретейла, нефтегазовой отрасли и строительства. Искусственный интеллект Mattler способен обнаружить объект в опасной зоне, понять, надел ли сотрудник каску и не нарушает ли он технику безопасности прямо сейчас.

5. Упрощают коммуникацию и тайм-менеджмент. В медицине ведутся разработки, которые помогут людям с заболеваниями ЦНС общаться с близкими и врачами. А в мире бизнеса уже тестируются решения в области речевых технологий, которые облегчают коммуникацию обычных людей. Например, машины могут заменить переводчика.

Накануне ЧМ по футболу 2018 компания PROMT предоставила «дочке» РЖД, «Федеральной пассажирской компании», технологию письменно-голосового перевода, чтобы проводники смогли общаться с пассажирами-иностранцами. Приложение-переводчик внедрили прямо в специальные устройства контроля легитимности электронных билетов (УКЭБ) – привычный инструмент проводников. Особенно пригодилась функция распознавания и перевода текста на картинках, меню и ценниках.

Не менее полезными могут быть виртуальные помощники будущего, прообразами которых можно назвать Алису Yandex и Алексу Amazon. Эти роботы помогают проснуться утром по будильнику или сделать заказ в интернет-магазине, а их «потомки» научатся бронировать авиабилеты, создавать встречи и конспектировать совещания [6].

ПАО «Сбербанк» активно использует технологии искусственного интеллекта, и в рамках внутреннего контроля для реализации принципов этики искусственного интеллекта в экосистеме Сбера создана специальная рабочая группа в Комитете ESG [23] (Shedko, Vlasenko, Unizhaev, 1949). Учитывая, что она стала первым в России специальным органом для спорных этических вопросов искусственного интеллекта, интересен круг задач, поставленных перед ней:

1. Отвечать за реализацию применения принципов искусственного интеллекта в Сбере.

2. Проводить экспертизу рисков применения технологий искусственного интеллекта в работе экосистемы Сбера и оценку последствий их внедрения.

3. Осуществлять мониторинг эффективности реализации принципов и их восприятия в обществе.

В Сбербанке общий контроль автоматизированных информационных систем предусматривает контроль компьютерных систем (контроль за вычислительным комплексом, системой клиент-сервер, рабочими местами конечных пользователей и т.д.), проводимый с целью обеспечения бесперебойной и непрерывной работы.

Общий контроль состоит из контроля процедур резервирования (копирования) данных и процедур восстановления функций автоматизированных информационных систем, осуществления поддержки в течение времени использования автоматизированных информационных систем, включая определение правил приобретения, разработки и обслуживания (сопровождения) программного обеспечения, порядка осуществления контроля за безопасностью физического доступа.

Программный контроль осуществляется встроенными в прикладные программы автоматизированными процедурами, а также выполняемыми вручную процедурами, контролирующими обработку банковских операций и других сделок (мониторинг автоматизированных систем и операций, контроль логического доступа, внутренние процедуры резервирования и восстановления данных и т.п.). Программный контроль используется при разграничении доступа, авторизации и аудите пользователей автоматизированных систем.

Заключение

Таким образом, подводя итог вышеизложенному, следует отметить, что проникновение компьютерных технологий и искусственного интеллекта приобрело всеобщий характер и в коммерческом банке применяется как для работы с клиентами при предоставлении банковских продуктов и услуг, так и для организации внутреннего контроля банка при анализе качества обработки персональных данных для повышения эффективности работы сотрудников, осуществляющих функции внутреннего контроля. Прогнозируемый рост спроса на передовые цифровые технологии в 25 раз к 2030 году (прогнозная стоимостная оценка – 1414,1 млрд рублей) [24] во многом будет связан не только с стремительным увеличением банковских операций, использующих IT-технологии, но с необходимостью совершенствования защиты персональных данных от мошенничества.

Одновременно наблюдается явное противоречие в использовании такой технологии, как блокчейн в финансовой сфере. Международный рынок негосударственных криптовалют, который невозможно регулировать ни на уровне отдельно взятого государства, ни со стороны надгосударственных структур ввиду распределенности мощностей, которые задействованы в хранении информации в блокчейн-технологии, сталкивается с ограничительной политикой ряда стран.

Не имея инструментов влияния на рынок негосударственных криптовалют и понимая, насколько высокорискованными являются эти активы, практически ничем не обеспеченные, государства вводят запреты, в том числе на майнинг и проведение операций с криптовалютой. Так, 21 июня 2021 года Народный Банк Китая предостерег пять крупнейших банков страны и платежную систему Alipay от проведения операций с криптовалютой [12]. Причем большая часть майнинговых международных мощностей до введения ограничений была сконцентрирована именно на территории Китая. Одновременно китайское правительство активно развивает введение цифрового юаня, который уже начал использоваться для выплаты заработной платы в районе Сюнань. В этом же направлении реализуется политика Банка России по запуску цифрового рубля как третьей формы национальной валюты наряду с наличным и безналичным обращением. И чем активнее будут использоваться государственные цифровые валюты, тем, вероятнее, масштабнее будут ограничения, вводимые правительствами отдельных стран на использование негосударственных криптовалют. Представляется, что данный аспект во многом станет определяющим в развитии национальных и негосударственных финансовых инструментов на основе блокчейн-технологий и окажет значительное влияние на развитие банковского бизнеса.