Agnieszka Frommholz, dyrektor ds. IT w grupie spółek Baker Tilly Poland
Dariusz Stefaniuk, project manager w Baker Tilly Poland

Normy i standardy w obszarze bankowości to temat zawiły i niezwykle rozbudowany. By je uporządkować i dostosować do instytucji finansowych, Komisja Nadzoru Finansowego wydała dokument Rekomendacja D, dotyczący obszaru zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach. Na wdrożenie tych instrukcji banki mają czas jedynie do 31.12.2014 roku. Jedną z kluczowych zasad realizacji wytycznych tego dokumentu jest proporcjonalność wdrażania norm.

Wsparcie dla banku od KNF

Rekomendacja D to zbiór 22 zasad opisujących najważniejsze normy z punktu widzenia zarządzania IT. Jej obowiązkowe wdrożenie, ma służyć przede wszystkim poprawie jakości zarządzania i zwiększeniu poziomu bezpieczeństwa IT w bankach, usprawnieniu nadzoru w tych obszarach oraz udoskonaleniu zarządzania ryzykiem. W zaleceniach KNF znajdują się zarówno przepisy pochodzące wprost z norm ISO27001, ISO20000 oraz ISO22301, jak i zalecenia z międzynarodowego kodeksu ITIL (Information Technology Infrastructure Library). Wszystkie one stanowią uzupełniający się mechanizm, będący narzędziem do podejmowania decyzji dla kierownictwa każdego szczebla od menadżerów operacyjnych, do zarządu banku.

Zgodnie z praktykami ITIL

Listę rekomendacji można traktować jako zbiór wytycznych zgodnych z najlepszymi praktykami ITIL, które wskazują jak efektywnie i skutecznie świadczyć usługi informatyczne. Rekomendacja D kładzie także duży nacisk na sposób przepływu informacji do kierownictwa każdego szczebla oraz rady nadzorczej banku. Ważne jest, aby zgodnie z zasadą proporcjonalności zarządzanie w obszarze IT wspierane było przez dedykowane narzędzia, które obsługują: zarządzanie usługami, help desk, zarządzanie zmianą, zarządzanie projektami oraz zarządzanie ryzykiem.

Zasada proporcjonalności

Każdy z funkcjonujących obecnie banków, ma już w pewnym stopniu wdrożone niektóre rekomendacje. Poziom ich wdrożenia można ocenić korzystając z cyklu Deminga. Koncepcja ta mówi o ciągłym doskonaleniu (przebiegającym w czterech etapach: planowanie – wykonanie – sprawdzenie – poprawienie) i stanowi podstawę oceny każdej normy oraz procesów jej towarzyszących.

Przy wdrażaniu rekomendacji D należy również pamiętać o zasadzie proporcjonalności,
tzn.w zależności od wielkości i rodzaju banku, wymagania poszczególnych rekomendacji mogą się różnić. Przykładowo te dotyczące rozwoju środowiska teleinformatycznego będą zupełnie inaczej oceniane w mniejszych bankach spółdzielczych, a inaczej w przypadku banków, które intensywnie rozwijają swoje aplikacje i infrastrukturę.

KNF wielokrotnie podkreślał konieczność indywidualnego podejścia do wdrażania rekomendacji. Już na jej wstępie zawarta została informacja o następującej treści: „Biorąc jednak pod uwagę specyfikę zagadnień związanych z technologią i bezpieczeństwem środowiska teleinformatycznego oraz różnice w zakresie uwarunkowań, skali działalności oraz profili ryzyka banków, sposób realizacji tych rekomendacji i wskazanych w nich celów może być odmienny. W związku z tym, opisy i komentarze zawarte wraz z poszczególnymi rekomendacjami należy traktować jako zbiór dobrych praktyk, które jednak powinny być stosowane z zachowaniem zasady proporcjonalności”. W praktyce oznacza to konieczność indywidualnej oceny w jakim stopniu rekomendacja dotyka specyfiki banku oraz jaki jest jej związek z profilem banku.

Kluczowa niezależność oceny

Jedno z zaleceń rekomendacji mówi, że stopień wdrożenia powinien być oceniony przez niezależnego audytora. Spowodowane jest to tym, że efektywna implementacja zaleceń wymaga obiektywizmu. Specjalista w tej dziedzinie potrafi również porównać stopień zaawansowania działań banku z innymi instytucjami działającymi w tym obszarze, a także stosuje metody i narzędzia, dzięki którym jest w stanie zdiagnozować stan zabezpieczeń infrastruktury teleinformatycznej.

Termin realizacji założeń Rekomendacji zbliża się nieuchronnie. W pracach nad wdrożeniem trzeba pamiętać o tym, że jednym z podstawowych celów stawianych przez KNF jest poprawa jakości, stabilności i bezpieczeństwa świadczonych usług przez banki w obszarach wspieranych przez rozwiązania informatyczne. Dokument KNF opiera się o najlepsze praktyki i standardy wykorzystywane w IT. Analizując poszczególne jej części, można dostrzec zarówno elementy norm ISO, ITIL jak również odwołanie się do metodyk i praktyk zarządzania projektami tj. PRINCE2, PMBoK. Wszystkie te działania mają jeden nadrzędny cel – poprawę jakości obsługi klientów banku przez zwiększenie niezawodności i bezpieczeństwa systemów informatycznych.