ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 10.01.2024
Просмотров: 176
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
14ФИНАНСЫ И КРЕДИТ
Банковское дело
36 (516) - 2012
-
обеспечение физической и технологической
безопасности процессов производства карт, тран
закций и авторизации; -
обеспечение информационно-аналитичес
кой деятельности по раннему выявлению мошен
нических действий с платежными картами; -
формирование среднестатической модели
поведения клиента, исключающей возможность
совершения мошеннического действия при пользо
вании платежной карты и повышение финансовой
грамотности населения.
На взгляд автора, для решения первой задачи необходимо создать эффективную систему проверки заемщика, которая должна включать в себя:
-
первичную проверку документов и клиента; -
проверку данных службой проверки заемщи
ков и службой безопасности банка; -
оценку рисков, связанных с обслуживанием
клиента; -
кредитный скоринг.
Для минимизации рисков при операциях с платежными картами необходимо начинать с проверки клиентского заявления-анкеты, которое содержит просьбу о выпуске карты. Именно на основе анализа данной анкеты банк принимает решение о выпуске или об отказе в выпуске карты. Перед анализом данных сотрудник банка обязан дать визуальную оценку потенциальному клиенту.
1. Первичная проверка документов и клиента сотрудником, принимающим документы. Данный этап должен включать в себя:
а) проверку документа, удостоверяющего лич
ность. Сотрудник обязан проверить документы на
предмет подделки:
- отсутствие защитных знаков;
-отсутствие различного рода исправления.
Частым случаем является использование клиентами паспортов с устаревшими данными. Сотруднику также необходимо проверить - числится ли данный документ в списке украденных и в случае совпадения незамедлительно сообщить в соответствующие органы власти. База данных украденных документов должна предоставляться непосредственно органами власти и управления и постоянно обновляться;
б) проверку личности клиента. Сотрудник
обязан сделать сличение внешнего вида клиента с
фотографией в документе;
в) проверку клиентского заявления-анкеты. Со
труднику необходимо сверить подписи, указанные в
документе и анкете, проверить полноту заполнения всех полей в анкете.
В случае если анкета-заявление заполняется по технологии «1 визит» (анкета-заявление по технологии «1 визит» - это анкета, которая была заполнена сотрудником по телефону, без визуального ознакомления с потенциальным клиентом, т. е. клиенту в случае одобрения останется подъехать с необходимым пакетом документов для получения карты), то процедура проверки начинается сразу со второго этапа.
2. Второй этап проверки состоит из одновре
менной проверки данных службой проверки заем
щиков и службой безопасности банка.
Сотрудник службы проверки заемщиков обязан:
- проверить актуальность на момент подачи
заявления паспортных данных;
-
уточнить, действительно ли клиент прописан
по адресу, указанному в анкете; -
уточнить, действительно ли существует ука
занный адрес прописки; -
уточнить, действительно ли проживает клиент
по указанному адресу фактического проживания;
-
проверить контактные номера - действи
тельно ли они зарегистрированы и соответствуют
организации и фактическому адресу проживания; -
проверить организацию, в которой работает
клиент. Организации могут быть «однодневками»
для совершения различного рода махинаций либо
не существовать вообще. Одним из обязательных
действий является проверка юридического и фак
тического адреса организации.
Сотрудник службы безопасности банка обязан:
-
проверить - не числится ли заявитель в розыс
ке, в ориентировках правоохранительных органов; -
проверить клиента на предмет судимости; -
проверить клиента по специализированным
базам на предмет выявления компрометирующих
сведений.
3. Оценка рисков, связанных с обслуживанием
клиента, играет одну из важнейших ролей при ми
нимизации рисков при операциях с платежными
картами. Сотрудник для оценки рисков, связанных
с обслуживанием клиента, обязан:
-
сделать запрос в бюро кредитных историй на
наличие отрицательной кредитной истории; -
проверить возможность связаться с клиентом
по указанным в анкете номерам: сотрудник может
позвонить на рабочий номер и уточнить - числится
ли данный сотрудник в штате указанной организа
ции или нет;
ФИНАНСЫ И КРЕДИТ15
Банковское дело
36 (516) - 2012
- проверить, числится ли клиент в «черныхсписках» платежных систем;
- проверить наличие негативной информации о
клиенте в зарубежных процессинговых центрах.
4. Кредитный скоринг также является важным для снижения рисков при операциях с платежными картами. На взгляд автора, эффективная система кредитного скоринга должна строиться на системе SAS Credit Scoring for Banking. Это полноценное решение для разработки, использования и мониторинга скоринговых карт и прогнозирующих моделей оценки кредитного риска. Важно, что это решение уже включает в себя возможность создавать модели для:
-
потребительских кредитов; -
кредитных карт; -
овердрафтов; -
автомобильных кредитов; -
ипотечных кредитов; -
других кредитных продуктов на основании
данных, доступных банку.
При этом банк может эффективно использовать решение SAS Credit Scoring for Banking как на ранних стадиях развития системы управления кредитным риском, так и при внедрении продвинутого подхода на основе внутренних рейтингов (Advanced-IRB) в соответствии с рекомендациями Базельского комитета по банковскому надзору.
Кроме того, это решение является составной частью единой интегрированной среды управления рисками SAS, которая представляет собой трехслойный «сэндвич»:
- в его основе - платформа управления данны
ми (Data Integration);
- вверху - средства отчетности (Business
Intelligence);
- между ними - широкий набор аналитических
инструментов для построения и анализа моделей
кредитного скоринга.
По желанию заказчика любой из этих аналитических инструментов может быть внедрен либо как самостоятельный продукт, либо как часть общей централизованной системы управления рисками в банке в процессе ее последовательного построения. Эта особенность выгодно отличает решение SAS от аналогичных продуктов на рынке [3].
Для решения второй задачи, на взгляд автора, необходимо предпринять следующие меры:
- совершить 100 %-ную авторизацию всех опе
раций в торгово-сервисной сети (это не относится к
специфическим сетям с микро-платежами и пр.);
-
завершить переход от использования карт с
магнитной полосой к смарт-картам нового поколе
ния. Данные с такой карты считываются гораздо
сложнее, и всегда есть возможность вернуть похи
щенные денежные средства; -
установить лимит на максимальную сумму
покупки, на максимальное количество операций,
максимальную сумму операций по одной карте и т.д.
При превышении лимита авторизационная система
банка-эквайрера должна направлять в торговую точку
обслуживания сообщение, чтобы сотрудники магазина
связались с банком. Цель данного сообщения заключа
ется в том, что банк смог бы дополнительно провести
проверку держателя карты. Сотрудники службы мо
ниторинга должны иметь возможность оперативно
изменять значения лимитов или отменять их вообще на
какой-то период времени или количество транзакций,
Сценарий действий банка в данной ситуации может
варьироваться от «симуляции» инициации запроса по
держателю карты в банк-эмитент до реального запроса
в банк-эмитент на подтверждение личности держателя
карты. То же касается снятия наличных денежных
средств через банкомат, т. е. при снятии большой суммы
сотрудники службы безопасности или мониторинга
обязаны позвонить клиенту и сообщить о факте снятия
наличных. Смысл всех действий заключается в разум
ном компромиссе между безопасностью и бизнесом.
Лимиты, оптимально установленные предприятиям,
и оперативность банка в принятии решения должны
минимизировать влияние этого процесса на время
обслуживания клиента. В то же время возможность
применения данной системы отпугнет мошенника
При этом настроена система мониторинга должна бьпь
таким образом, чтобы минимизировать воздействие на
бизнес, обеспечив разумную нагрузку на службу авто
ризации при заданном максимально допустимом уров
не мошенничества в торгово-сервисной сети банка; -
сопоставлять операции «возврат покупки». Все
операции «возврат покупки» сопоставляются с опера
циями в торговой точке за определенный период. Если
операция не сопоставлена по определенному алго
ритму, она откладывается из обработки до окончания
расследования. Конечно, нет смысла расследовать все
случаи несопоставленных операций. Разумным явля
ется применение пороговых лимитов: сумма операции,
сумма операций за день, неделю. Все события превы
шения лимитов можно отправлять на расследованиеи
по результатам процессировать операции; -
использовать технологии SMS-оповещенш
держателей платежных карт об авторизационных за-
16ФИНАНСЫ И КРЕДИТ
6) - 2012
Банковское дело
36 (516) - 2012
шия карт с ого поколе-:ся гораздо 1нуть похи-гую сумму операций, карте и т.д. ая система овую точку «магазина «заключало провести лужбы мо-шеративно сообщена ранзакций. ции может запроса по )го запроса держателя денежных ной суммы ниторинга кте снятия :я в разум-бизнесом, приятиям, я должны на время можность шенника. иена быть йствие на жбу автором уров-[ банка; шеи». Все яс опера-иод. Если >му алго-кончания овать все ым явля-перации, [я превы-;ование и
?ещения иных за-
'ЕДИТ
просах на проведение операций по их картам. Метод весьма эффективен, так как клиент самостоятельно обеспечивает мониторинг собственных денежных средств на карт-счете;
- предоставить клиентам возможность допол
нительной аутентификации и/или двухфакторной
аутентификации, а также обеспечение поддержки
механизма электронно-цифровой подписи при вы
полнении различного рода финансовых операций;
- внедрить специальный антискимминговый
модуль безопасности, который устанавливает
ся на сам банкомат. Данный модуль оборудован
специальными датчиками для контроля области
картоприемника, которые позволяют выявлять не
санкционированную установку на банкомат любых
посторонних устройств. При обнаружении несан
кционированного доступа к банкомату мгновенно
отсылается сообщение в соответствующие службы.
При этом банкомат блокируется для проведения
операций, а камера фиксирует лицо мошенника.
Некоторые производители банкоматов самостоятельно могут внедрить средства и механизмы обеспечения безопасности в конструкцию банкомата. Например, специальная закругленная форма передней панели банкоматов вокруг картоприемника не позволит установить мошенническое устройство. Устройство считывания платежных карт также можно оснастить специальным механизмом вибрации, который встряхивает карту во время загрузки, т. е. меняет скорость движения самой карты и использует серию быстрых остановок и пусков. Данный эффект тряски не позволяет точно считывать данные с карты с помощью мошеннического устройства (например с помощью скиммера);
-
использовать технологию 3D-Secure, которая
позволяет значительно снизить риски при проведе
нии транзакций по платежным картам; -
определить относящиеся к зоне повышенно
го риска регионы с целью установления в данных
регионах определенных лимитов на снятие налич
ных денежных средств и проведение транзакций за
определенные промежутки времени;
-ввести запрет на использование платежных карт в сети Интернет в регионах повышенного риска;
-
производить эмиссию EMV-карт с подде
ржкой DDA (Dynamic Data Authentication), обеспе
чивающих наиболее высокий уровень защиты от
скимминговых атак; -
предоставить доступ к мобильному банку для
того, чтобы клиент в режиме онлайн мог контроли
ровать состояние своего счета;
Ф
ИНАНСЫ И КРЕДИТ-
следовать стандарту по обеспечению безопас
ности данных PCI DSS (Payment Card Industry Data
Security Standart) и использованию специальных
технических программ фрод-мониторинга, анализу
транзакций; -
проанализировать клиентскую базу. Анализ
заключается в том, что соответствующие службы
банка производят тщательную проверку физических
лиц и организаций, претендующих на получение
банковских карт, а также предприятий торговли,
желающих участвовать в системе эквайринга. Осу
ществляется и периодический мониторинг деятель
ности клиентов, уже имеющих банковские карты или
находящихся на обслуживании в банке-эквайрере;
-контролировать функционирование оборудования и коммуникационных систем. Контроль должен включать в себя мониторинг каналов связи на наличие и продолжительность сбоев, а также качества связи, мониторинг оборудования (банкоматов, POS-термина-лов) на наличие неисправностей и выявление их причин, определение времени и материальных ресурсов, необходимых на устранение неисправностей;
- обеспечить принудительный ввод на терми
нале последних четырех эмбоссированных цифр
номера карты при формировании авторизационного
запроса и автоматическое сопоставление их с дан
ными на магнитной полосе. Если данные не совпа
ли, операция не разрешается. Это защитит банк от
мошенничества с поддельными картами, когда на
магнитную полосу валидной карты, принадлежа
щей мошеннику, записывается магнитная полоса
другой валидной карты, принадлежащей ничего не
подозревающему добропорядочному клиенту банка,
скопированная в торгово-сервисной сети.
Для решения третьей задачи предлагается:
- создать единую специализированную службу,
которая бы проводила круглосуточный мониторинг
операций по картам клиентов. Современные техно
логии дают возможность распознать практически
любую мошенническую операцию в режиме реаль
ного времени. Специальный центр при первом же
подозрении на несанкционированность операции
блокирует карту;
-
проводить обмен опытом между банками
и активно сотрудничать с правоохранительными
органами по выявлению мошеннического исполь
зования платежных карт; -
создать договоренность между банками и
платежными системами об отправке уведомлений в
случае обнаружения той или иной мошеннической
1 2 3 4 5 6 7 8 9 10
17
Исследование функционирования субъектов финансового сектораУПРАВЛЕНИЕ РИСКАМИ ПРИ ПРОВЕДЕНИИ ОПЕРАЦИЙ С ИСПОЛЬЗОВАНИЕМ ПЛАТЕЖНЫХ БАНКОВСКИХ КАРТ
К
.Л. Поляков, канд. техн. наук,М.В. Полякова, канд. техн. наук,
Национальный исследовательский университет «Высшая школа экономики»
Мониторинг банковских операций и операций купли-продажи с использованием платежных карт (в дальнейшем - операции по пластиковым картам, ОПК) является необходимым, условием снижения вероятности возникновения мошеннических операций (fraud, фрод). Процесс этот очень непростой и, несмотря на значительные усилия специалистов, слабо формализуемый. Настоящая работа посвящена некоторым его аспектам, а представленные в ней результаты могут быть полезны для банков-эмитентов.
Мониторинг ОПК: проблемы автоматизации
Распределение ответственности в процессе мониторинга ОПК определяют Международные платежные системы (МПС). Заметной тенденцией последних лет является смещение центра тяжести контроля ОПК от эмиссии в сторону обслуживания платежных карт [1, 2,3]. В недавних редакциях операционных правил МПС для банков-эквайров сформулированы подробные требования к организации контроля ОПК в торгово-сер-висных организациях. В то же время существенную роль в борьбе с карточным мошенничеством всегда будут играть банки-эмитенты. От их решения во многом зависит, удастся ли мошенникам реализовать свои преступные замыслы. Кроме того, держатель банков-
ской карты, который непосредственно несет потери в результате карточного мошенничества (большие в случае депозитной карты и меньшие в случае кредитной), обращается за компенсацией именно к банку-эмитенту, с которым он заключил договор. Это повышает вероятность возникновения потерь у банка. Но даже если потерь удается избежать (например, доказав вину держателя карты или банка-эквайра), подрыв авторитета банка в этих ситуациях весьма вероятен.
Реализация мониторинга ОПК требует привлечения средств автоматизации. Об этом свидетельствуют темпы роста объема эмиссии (см. рис. 1) и количество отчетов (несколько десятков в день) по результатам мониторинга, которые необходимо направлять в МПС [4].
210 -
120 • 110
100
2
30 220 "Рис. 1. Объемы эмиссии платежных карт по данным Центрального банка РФ (млн единиц) URL: http://www.cbr.ru/statistics/p_sys/ps_imageO12.png
Помимо фиксации значений установленных банком-эмитентом параметров ОПК и их статистической обработки для формирования отчетности, мониторинг должен сопровождаться принятием решений, например, об отклонении/подтверждении авторизационных запросов или блокировании карт. Скорость их принятия должна быть достаточно высокой, чтобы снизить риски держателя карты, а значит, и свои риски. Сегод-
ня существуют информационные системы мониторинга, позволяющие организовать принятие решений в реальном времени [4, 5]. Однако использование средств автоматизации в данной ситуации предъявляет очень высокие требования к их настройке. Любые методы классификации, лежащие в основе систем принятия решений, обладают погрешностями, ведущими к принятию неправильных решений. Снижение величины
■ Вопросы статистики, 12/2012
39
Исследование функционирования субъектов финансового сектора
Наибольшие потери отмечены по операциям в банкоматах, бакалейных магазинах, ресторанах, на автозаправочных станциях и при электронных продажах. При этом отмечается, что в целом в отличие от ситуации в SEPA в США не наблюдается снижения объемов карточного мошенничества, в частности в силу того, что здесь до сих пор мало распространены чиповые пластиковые карты. Согласно отчету Nilson Report [10, 11], 47% от всего количества мошеннических операций в мире по кредитным и дебетовым картам приходится на США.Относительно свежие данные о карточном мошенничестве в России приведены в [12]. Данные, предоставленные компанией «АльфаСтрахование», говорят о быстром росте их объемов. В период с 2009 по 2011 г. в 11 раз возросла «сумма выплаты страхового возмещения по риску несанкционированного снятия денежных средств».
Таким образом, даже столь поверхностный анализ вторичных источников позволяет заключить, что:
-
в целом ОПК в США обладают более высоким
риском, чем в остальном мире, особенно если карта
не имеет чипа; -
на территории SEPA к группе высокого риска
можно отнести CNP-операции; -
на той же территории несколько меньшим рис
ком обладают операции в POS-терминалах; -
на территории США к группе высокого риска от
носятся операции по дебетовым картам.
Приведенную классификацию можно существенно развить за счет более тщательного анализа вторичных источников (публикаций в журналах, на сайтах, аналитических обзоров), многие из которых являются бесплатными.
Простейший анализ первичных данных
Используя результаты анализа вторичных источников как критерий проверки правильности полученных результатов, можно при необходимости перейти к анализу первичных данных собственного банка, определив набор характеристик ОПК (включая характеристики держателя карты), которые будут использоваться для классификации операций. Предложенный далее вариант анализа можно отнести к простейшим. Он сводится к анализу значимости разбиения множества ОПК на группы с помощью каждого из выбранных признаков. Технически это можно сделать, например, используя критерий хи-квадрат Пирсона [13] проверки гипотезы о том, что вероятности принадлежности ОПК к каждой из групп одинаковы. Если данная гипотеза отвергается, то анализируемый признак считается значимым для классификации. В ходе данного анализа игнорируется возможная связь между выбранными признаками. Она может быть учтена в более сложных вариантах анализа.
Влияние временного фактора на вероятность фрода. Вероятность совершения мошеннических операций зависит от времени. Об этом свидетельствует анализ данных одного из российских банков. За 2009 г. объем его эмиссии составил 773841 карту. На рис. 2 представлена динамика блокирования карт банка.
7 -
3 2 1
0
1,41
74
1.35
и
0773"
П
^ /° S/ X j? Г Г
Рис. 2. Количество карт, заблокированных по причине
мошенничества (тыс. единиц)
Видно, что наибольшее количество карт, а именно 7780, заблокировано в октябре. По мнению специалистов банка, этому есть две причины. Во-первых, в платежных системах происходит закрытие года, для формирования отчетности собираются данные по картам, которые могли быть использованы в проведении мошеннических операций. Платежная система направляет эту информацию в банки, которые в свою очередь доводят информацию до клиентов. Во-вторых, многие клиенты банка проводят летний отпуск за границей, используя карты банка для оплаты товаров и услуг: нужно учесть, что именно в июле в большинстве стран начинается летний сезон скидок. Естественно ожидать, что в этих условиях держатели карт теряют осторожность и преступникам проще похитить сами карты или связанную с ними конфиденциальную информацию. Информация о компрометации накапливается, и осенью держателям карт приходят предупреждения от банков о том, что карта может быть несанкционированно использована.
г г / /
Рис. 3. Динамика количества заявлений о несогласии с операцией (единиц)
Высокая рискованность ОПК в летний период подтверждается динамикой количества заявлений о несогласии с операцией (см. рис. 3).