Skener ranjivosti može označiti određeni nalaz kao kritičan. To još ne govori koliko je taj nalaz važan za banku.
Ista ranjivost na izolovanom testnom sistemu i na sistemu od kojeg zavisi platni promet može imati istu tehničku ozbiljnost, ali sasvim drugačiji poslovni značaj. Da bi se odredio pravi prioritet, potrebno je znati koju poslovnu funkciju sistem podržava, od čega ta funkcija zavisi i kakve bi posljedice imao prekid ili kompromitovanje sistema.
Tu tehnički nalaz prelazi u pitanje upravljanja rizikom.
DORA dodatno stavlja taj odnos u fokus. Ocjena rizika ostaje važna, ali sama po sebi nije dovoljna za odluku. Potreban je kontekst koji objašnjava šta je ugroženo, ko je odgovoran i šta se radi da bi se rizik smanjio.
DORA poslije roka za primjenu
DORA se primjenjuje od 17. januara 2025. godine. Za finansijske institucije u njenom obuhvatu pitanje više nije kako se pripremiti za početak primjene, već kako zahtjeve uključiti u redovno upravljanje IKT rizicima, incidentima i odnosima sa pružaocima IKT usluga. (EUR-Lex)
To se vidi i u nadzornim prioritetima Evropske centralne banke za period 2026–2028. Jačanje operativne otpornosti i IKT sposobnosti jedan je od dva glavna prioriteta, uz poseban fokus na rizike trećih strana i odgovor na incidente. ECB navodi i ranije utvrđene nedostatke u sajber bezbjednosti, upravljanju rizicima trećih strana i izvještavanju o rizicima. (ECB Banking Supervision)
Za banku to znači da usvojena politika ili uredno vođen registar nisu kraj procesa. Zahtjevi se provjeravaju u svakodnevnom radu: kada se pojavi novi nalaz, promijeni važan sistem, dogodi incident ili nastane nova zavisnost od pružaoca IKT usluga.
Tehnička ozbiljnost nije isto što i poslovni rizik
DORA traži da finansijske institucije identifikuju, klasifikuju i dokumentuju poslovne funkcije koje podržava IKT, kao i informacionu i IKT imovinu koja ih podržava i njihove međusobne zavisnosti. (EUR-Lex)
To je važno jer tehnički problem nema isti značaj u svakom dijelu banke.
Zamislimo ranjivost na aplikacionom serveru. Ako server podržava internu testnu aplikaciju koja se koristi povremeno, poslovne posljedice mogu biti ograničene. Ako se ista ranjivost nalazi na sistemu koji učestvuje u obradi plaćanja ili podržava kanal koji klijenti svakodnevno koriste, prioritet je drugačiji.
Da bi se to razumjelo, potrebno je znati više od tehničke ocjene. Koju poslovnu funkciju sistem podržava? Koja imovina i usluge su potrebne da bi ta funkcija radila? Postoji li zavisnost od vanjskog pružaoca? Šta se dešava ako jedna od tih komponenti nije dostupna?
Kada su te veze poznate, lakše je odrediti šta zaista zahtijeva hitnu reakciju. IKT tim dobija jasniji prioritet, funkcija upravljanja rizicima bolji osnov za procjenu, a uprava informaciju koju može povezati sa poslovanjem.
EU i region: različiti propisi, slična praktična pitanja
DORA se kao uredba Evropske unije ne primjenjuje direktno na banke koje posluju samo u Bosni i Hercegovini i Srbiji. Lokalne propise zato ne treba predstavljati kao "DORA-u van EU".
Ipak, teme koje regulatorni okviri otvaraju sve više se preklapaju.
U Federaciji BiH je 2025. donesena Odluka o upravljanju informaciono-komunikacionim sistemom i IKT rizikom u banci. Ona, između ostalog, uređuje upravljanje IKT rizicima, ugovorne odnose i nadzor nad trećim stranama koje pružaju IKT usluge, izvještavanje o značajnim IKT incidentima i sajber prijetnjama te testiranje digitalne operativne otpornosti. (FBA)
Agencija za bankarstvo Republike Srpske je iste godine donijela Odluku o upravljanju informacionim sistemom i rizicima IKT-a u banci, uz dodatna uputstva o klasifikaciji IKT incidenata i sajber prijetnji te upravljanju IKT sistemom i IKT rizicima. (ABRS)
Narodna banka Srbije primjenjuje Odluku o minimalnim standardima upravljanja informaciono-komunikacionim sistemom finansijske institucije iz 2024. godine, a posebnim propisom uređuje i povjeravanje aktivnosti povezanih sa informacionim sistemom trećim licima. (NBS)
Pravni osnov, obuhvat i pojedinačni zahtjevi razlikuju se između ovih jurisdikcija. Praktična pitanja za banke su, međutim, često slična. Koje poslovne funkcije zavise od određenih sistema? Gdje postoje važne zavisnosti? Kako se procjenjuje rizik pružalaca IKT usluga? Na osnovu čega je donesena određena odluka o riziku i može li se njen trag kasnije jednostavno pratiti?
Upravo je na tom nivou korisnije tražiti zajedničke obrasce nego različite propise svoditi na isti okvir.
Pružaoci IKT usluga dio su poslovne zavisnosti
Poslovni kontekst ne završava na sistemima kojima banka sama upravlja.
Ako poslovna funkcija zavisi od usluge vanjskog IKT pružaoca, i ta zavisnost ulazi u procjenu rizika. DORA izričito tretira rizik trećih strana kao sastavni dio okvira za upravljanje IKT rizikom. Finansijska institucija pritom ostaje odgovorna za svoje regulatorne obaveze i kada određene IKT usluge povjeri trećoj strani. (EUR-Lex)
Povjeravanje usluge trećoj strani, dakle, ne prenosi odgovornost banke.
Zbog toga naziv pružaoca i datum posljednje procjene nisu dovoljni da bi se razumjela stvarna izloženost. Potrebno je znati koju uslugu pružalac obezbjeđuje, koje funkcije od nje zavise i koliko bi bilo teško preći na drugo rješenje ako dođe do ozbiljnog problema.
Kod IKT usluga koje podržavaju kritične ili važne funkcije DORA zahtijeva da se u procjeni razmotri i koncentracioni rizik. Posebno su relevantni slučajevi u kojima pružalac nije lako zamjenjiv, kao i trošak, vrijeme i dodatni rizici koje bi prelazak na alternativno rješenje mogao donijeti. (EUR-Lex)
Zato rizik trećih strana ima više smisla posmatrati kroz poslovne zavisnosti nego kao izdvojen registar dobavljača. Pružalac, ugovor, IKT usluga i poslovna funkcija dio su istog konteksta.
Podugovarači, koncentracioni rizik, ugovorne obaveze i izlazne strategije zaslužuju detaljniji pregled i biće tema jednog od narednih tekstova u ovoj seriji.
Kada su evidencije odvojene, teško je pratiti odluke
Tabele i specijalizovani alati mogu sasvim dobro rješavati pojedinačne dijelove procesa. Problem nastaje kada se informacije koje zajedno objašnjavaju jedan rizik nalaze u različitim evidencijama.
Nalaz može biti u jednom alatu, registar imovine u drugom, korektivna aktivnost u ITSM sistemu, procjena pružaoca u posebnoj evidenciji, a izvještaj za upravu sastavljen iz više izvora.
Tada tim prilikom svakog pregleda ponovo traži isti kontekst: koji je nalaz pokrenuo procjenu, šta je pogođeno, ko je odgovoran, koja aktivnost je dogovorena, šta je urađeno i zbog čega je ocjena rizika promijenjena.
Problem nije Excel sam po sebi. Problem nastaje kada se izgubi veza između podataka.
Ako nalaz, rizik, pogođena imovina, odluke i dokazi nisu povezani tokom cijelog životnog ciklusa rizika, ljudi svaki put ponovo sastavljaju priču koju je organizacija već jednom imala.
Završena aktivnost još ne znači da je rizik smanjen
Isti problem postoji i nakon što je korektivna aktivnost završena.
Zatvoren zadatak potvrđuje da je planirani posao izvršen. Ne potvrđuje automatski da je rizik smanjen u očekivanoj mjeri.
Ako je cilj tretmana rizika bio smanjiti određenu izloženost, potrebno je zabilježiti šta je promijenjeno, ko je provjerio rezultat i koji podaci ili dokazi podržavaju novu procjenu.
Tako se može pratiti cijeli put:
nalaz → rizik → poslovni kontekst → tretman → provjera rezultata → dokaz
Jednako je važno da taj put funkcioniše i u suprotnom smjeru.
Ako se u izvještaju upravi pojavi otvoren rizik, kašnjenje u tretmanu ili promjena ocjene, trebalo bi biti moguće doći do zapisa i odluka koji objašnjavaju taj podatak. Bez te veze izvještavanje lako postaje poseban proces koji se prije svakog pregleda ponovo usklađuje sa operativnim evidencijama.
Kako RiskDam povezuje ove informacije
RiskDam je napravljen tako da informacije koje zajedno objašnjavaju rizik ostanu povezane i nakon početne procjene.
Nalaz se može povezati sa postojećim rizikom ili, nakon pregleda, biti osnov za novi. Uz rizik se mogu pratiti pogođena imovina, odgovorne osobe, tretmani, rokovi i dokazi. Procjene pružalaca IKT usluga mogu se povezati sa nalazima i aktivnostima koje iz njih proizlaze.
Vrijednost takvog pristupa nije samo u tome da se podaci nalaze u jednom sistemu. Važnije je sačuvati odnos između njih.
Ako se ocjena rizika promijeni, treba biti jasno zbog čega. Ako je tretman završen, treba biti vidljivo šta je urađeno i kako je rezultat provjeren. Ako uprava dobije izvještaj, važan podatak u tom izvještaju treba moći povezati sa zapisima koji ga objašnjavaju.
To je razlika između samog vođenja registra i upravljanja rizikom kroz njegov cijeli životni ciklus.
Od regulatornog zahtjeva do svakodnevnog upravljanja rizikom
DORA je evropskim finansijskim institucijama postavila detaljnije zahtjeve za digitalnu operativnu otpornost. Istovremeno, novi i ažurirani IKT okviri u Bosni i Hercegovini i Srbiji pokazuju da su mnoga ista praktična pitanja relevantna i za banke van EU, iako konkretne pravne obaveze nisu iste.
Dobar sistem upravljanja rizikom zato treba da omogući odgovore na nekoliko vrlo konkretnih pitanja: šta je ugroženo, od čega zavisi, ko je odgovoran, šta je dogovoreno i na osnovu čega znamo da se stanje promijenilo.
Ovim tekstom počinjemo serijal o savremenom upravljanju IKT i operativnim rizicima u bankama. U narednim tekstovima detaljnije ćemo se baviti poslovnim kontekstom rizika, razlikom između nalaza i rizika, upravljanjem pružaocima IKT usluga, tretmanom i provjerom rezultata te povezivanjem operativnih događaja sa upravljačkim izvještavanjem.
Za sve te teme polazna tačka je ista: ocjena rizika ima pravo značenje tek kada znamo šta u poslovanju stoji iza nje.