Скенер рањивости може означити одређени налаз као критичан. То још не говори колико је тај налаз важан за банку.
Иста рањивост на изолованом тестном систему и на систему од којег зависи платни промет може имати исту техничку озбиљност, али сасвим другачији пословни значај. Да би се одредио прави приоритет, потребно је знати коју пословну функцију систем подржава, од чега та функција зависи и какве би последице имао прекид или компромитовање система.
Ту технички налаз прелази у питање управљања ризиком.
DORA додатно ставља тај однос у фокус. Оцена ризика остаје важна, али сама по себи није довољна за одлуку. Потребан је контекст који објашњава шта је угрожено, ко је одговоран и шта се ради да би се ризик смањио.
DORA после рока за примену
DORA се примењује од 17. јануара 2025. године. За финансијске институције у њеном обухвату питање више није како се припремити за почетак примене, већ како захтеве укључити у редовно управљање ИКТ ризицима, инцидентима и односима са пружаоцима ИКТ услуга. (EUR-Lex)
То се види и у надзорним приоритетима Европске централне банке за период 2026–2028. Јачање оперативне отпорности и ИКТ способности један је од два главна приоритета, уз посебан фокус на ризике трећих страна и одговор на инциденте. ECB наводи и раније утврђене недостатке у сајбер безбедности, управљању ризицима трећих страна и извештавању о ризицима. (ECB Banking Supervision)
За банку то значи да усвојена политика или уредно вођен регистар нису крај процеса. Захтеви се проверавају у свакодневном раду: када се појави нови налаз, промени важан систем, догоди инцидент или настане нова зависност од пружаоца ИКТ услуга.
Техничка озбиљност није исто што и пословни ризик
DORA тражи да финансијске институције идентификују, класификују и документују пословне функције које подржава ИКТ, као и информациону и ИКТ имовину која их подржава и њихове међусобне зависности. (EUR-Lex)
То је важно јер технички проблем нема исти значај у сваком делу банке.
Замислимо рањивост на апликационом серверу. Ако сервер подржава интерну тестну апликацију која се користи повремено, пословне последице могу бити ограничене. Ако се иста рањивост налази на систему који учествује у обради плаћања или подржава канал који клијенти свакодневно користе, приоритет је другачији.
Да би се то разумело, потребно је знати више од техничке оцене. Коју пословну функцију систем подржава? Која имовина и услуге су потребне да би та функција радила? Постоји ли зависност од спољног пружаоца? Шта се дешава ако једна од тих компоненти није доступна?
Када су те везе познате, лакше је одредити шта заиста захтева хитну реакцију. ИКТ тим добија јаснији приоритет, функција управљања ризицима бољи основ за процену, а управа информацију коју може повезати са пословањем.
ЕУ и регион: различити прописи, слична практична питања
DORA се као уредба Европске уније не примењује директно на банке које послују само у Босни и Херцеговини и Србији. Локалне прописе зато не треба представљати као "DORA-у ван ЕУ".
Ипак, теме које регулаторни оквири отварају све више се преклапају.
У Федерацији БиХ је 2025. донета Одлука о управљању информационо-комуникационим системом и ИКТ ризиком у банци. Она, између осталог, уређује управљање ИКТ ризицима, уговорне односе и надзор над трећим странама које пружају ИКТ услуге, извештавање о значајним ИКТ инцидентима и сајбер претњама и тестирање дигиталне оперативне отпорности. (FBA)
Агенција за банкарство Републике Српске је исте године донела Одлуку о управљању информационим системом и ризицима ИКТ-а у банци, уз додатна упутства о класификацији ИКТ инцидената и сајбер претњи и управљању ИКТ системом и ИКТ ризицима. (ABRS)
Народна банка Србије примењује Одлуку о минималним стандардима управљања информационо-комуникационим системом финансијске институције из 2024. године, а посебним прописом уређује и поверавање активности повезаних са информационим системом трећим лицима. (NBS)
Правни основ, обухват и појединачни захтеви разликују се између ових јурисдикција. Практична питања за банке су, међутим, често слична. Које пословне функције зависе од одређених система? Где постоје важне зависности? Како се процењује ризик пружалаца ИКТ услуга? На основу чега је донета одређена одлука о ризику и може ли се њен траг касније једноставно пратити?
Управо је на том нивоу корисније тражити заједничке обрасце него различите прописе сводити на исти оквир.
Пружаоци ИКТ услуга део су пословне зависности
Пословни контекст не завршава на системима којима банка сама управља.
Ако пословна функција зависи од услуге спољног ИКТ пружаоца, и та зависност улази у процену ризика. DORA изричито третира ризик трећих страна као саставни део оквира за управљање ИКТ ризиком. Финансијска институција притом остаје одговорна за своје регулаторне обавезе и када одређене ИКТ услуге повери трећој страни. (EUR-Lex)
Поверавање услуге трећој страни, дакле, не преноси одговорност банке.
Због тога назив пружаоца и датум последње процене нису довољни да би се разумела стварна изложеност. Потребно је знати коју услугу пружалац обезбеђује, које функције од ње зависе и колико би било тешко прећи на друго решење ако дође до озбиљног проблема.
Код ИКТ услуга које подржавају критичне или важне функције DORA захтева да се у процени размотри и концентрациони ризик. Посебно су релевантни случајеви у којима пружалац није лако заменљив, као и трошак, време и додатни ризици које би прелазак на алтернативно решење могао донети. (EUR-Lex)
Зато ризик трећих страна има више смисла посматрати кроз пословне зависности него као издвојен регистар добављача. Пружалац, уговор, ИКТ услуга и пословна функција део су истог контекста.
Подуговарачи, концентрациони ризик, уговорне обавезе и излазне стратегије заслужују детаљнији преглед и биће тема једног од наредних текстова у овој серији.
Када су евиденције одвојене, тешко је пратити одлуке
Табеле и специјализовани алати могу сасвим добро решавати појединачне делове процеса. Проблем настаје када се информације које заједно објашњавају један ризик налазе у различитим евиденцијама.
Налаз може бити у једном алату, регистар имовине у другом, корективна активност у ITSM систему, процена пружаоца у посебној евиденцији, а извештај за управу састављен из више извора.
Тада тим приликом сваког прегледа поново тражи исти контекст: који је налаз покренуо процену, шта је погођено, ко је одговоран, која активност је договорена, шта је урађено и због чега је оцена ризика промењена.
Проблем није Excel сам по себи. Проблем настаје када се изгуби веза између података.
Ако налаз, ризик, погођена имовина, одлуке и докази нису повезани током целог животног циклуса ризика, људи сваки пут поново састављају причу коју је организација већ једном имала.
Завршена активност још не значи да је ризик смањен
Исти проблем постоји и након што је корективна активност завршена.
Затворен задатак потврђује да је планирани посао извршен. Не потврђује аутоматски да је ризик смањен у очекиваној мери.
Ако је циљ третмана ризика био смањити одређену изложеност, потребно је забележити шта је промењено, ко је проверио резултат и који подаци или докази подржавају нову процену.
Тако се може пратити цео пут:
налаз → ризик → пословни контекст → третман → провера резултата → доказ
Једнако је важно да тај пут функционише и у супротном смеру.
Ако се у извештају управи појави отворен ризик, кашњење у третману или промена оцене, требало би бити могуће доћи до записа и одлука који објашњавају тај податак. Без те везе извештавање лако постаје посебан процес који се пре сваког прегледа поново усклађује са оперативним евиденцијама.
Како RiskDam повезује ове информације
RiskDam је направљен тако да информације које заједно објашњавају ризик остану повезане и након почетне процене.
Налаз се може повезати са постојећим ризиком или, након прегледа, бити основ за нови. Уз ризик се могу пратити погођена имовина, одговорне особе, третмани, рокови и докази. Процене пружалаца ИКТ услуга могу се повезати са налазима и активностима које из њих произлазе.
Вредност таквог приступа није само у томе да се подаци налазе у једном систему. Важније је сачувати однос између њих.
Ако се оцена ризика промени, треба бити јасно због чега. Ако је третман завршен, треба бити видљиво шта је урађено и како је резултат проверен. Ако управа добије извештај, важан податак у том извештају треба моћи повезати са записима који га објашњавају.
То је разлика између самог вођења регистра и управљања ризиком кроз његов цео животни циклус.
Од регулаторног захтева до свакодневног управљања ризиком
DORA је европским финансијским институцијама поставила детаљније захтеве за дигиталну оперативну отпорност. Истовремено, нови и ажурирани ИКТ оквири у Босни и Херцеговини и Србији показују да су многа иста практична питања релевантна и за банке ван ЕУ, иако конкретне правне обавезе нису исте.
Добар систем управљања ризиком зато треба да омогући одговоре на неколико врло конкретних питања: шта је угрожено, од чега зависи, ко је одговоран, шта је договорено и на основу чега знамо да се стање променило.
Овим текстом почињемо серијал о савременом управљању ИКТ и оперативним ризицима у банкама. У наредним текстовима детаљније ћемо се бавити пословним контекстом ризика, разликом између налаза и ризика, управљањем пружаоцима ИКТ услуга, третманом и провером резултата и повезивањем оперативних догађаја са управљачким извештавањем.
За све те теме полазна тачка је иста: оцена ризика има право значење тек када знамо шта у пословању стоји иза ње.