張浩

網(wǎng)銀時(shí)代資金風(fēng)險(xiǎn)與控制初探

張浩

隨著信息化與傳統(tǒng)銀行業(yè)的完美融合，網(wǎng)絡(luò)銀行業(yè)務(wù)發(fā)展突飛猛進(jìn)，網(wǎng)銀交易規(guī)模迅速增長(zhǎng)、用戶規(guī)模不斷擴(kuò)大、網(wǎng)銀替代率顯著增加。國(guó)家財(cái)政預(yù)算管理體制改革不斷推進(jìn)，國(guó)庫(kù)集中支付與網(wǎng)絡(luò)銀行成功對(duì)接，實(shí)現(xiàn)了支付電子化管理，進(jìn)一步推動(dòng)了網(wǎng)絡(luò)銀行在行政事業(yè)單位的普及。

網(wǎng)絡(luò)銀行在以其快捷和高效給單位帶來方便的同時(shí)，也產(chǎn)生了一系列的問題，給單位的資金安全帶來一定的風(fēng)險(xiǎn)。

一、網(wǎng)絡(luò)銀行使用現(xiàn)狀

據(jù)統(tǒng)計(jì)，使用財(cái)政資金的單位針對(duì)國(guó)庫(kù)集中支付代理銀行已經(jīng)全部開通了網(wǎng)銀業(yè)務(wù)，網(wǎng)銀使用率為100%；針對(duì)自有資金的銀行賬戶也絕大部分開通了網(wǎng)銀業(yè)務(wù)，網(wǎng)銀使用率應(yīng)該在95%以上。只有極少部分單位因辦公或外部通訊條件限制、賬戶使用率不高等特殊原因沒有開通網(wǎng)銀業(yè)務(wù)。

除零星支出的現(xiàn)金業(yè)務(wù)及社保繳費(fèi)等有特殊要求的業(yè)務(wù)外，網(wǎng)銀業(yè)務(wù)幾乎全部替代了傳統(tǒng)支付手段。網(wǎng)銀系統(tǒng)的省時(shí)、高效為用戶資金支付和管理提供了極大的便利，提高了工作效率，降低了運(yùn)行成本。網(wǎng)銀業(yè)務(wù)已經(jīng)成為單位運(yùn)行不可缺少的重要環(huán)節(jié)。

網(wǎng)銀業(yè)務(wù)雖然得到了普遍的推廣和應(yīng)用，但各單位對(duì)網(wǎng)銀業(yè)務(wù)的管理和控制重視程度普遍不足，風(fēng)險(xiǎn)意識(shí)不強(qiáng)。沒有制定專門的辦法及內(nèi)控制度，對(duì)網(wǎng)銀業(yè)務(wù)進(jìn)行管理和規(guī)范。同時(shí)，對(duì)網(wǎng)銀支撐系統(tǒng)的硬件投入也嚴(yán)重不足，絕大多數(shù)單位沒有配備網(wǎng)銀業(yè)務(wù)專用電腦。

二、網(wǎng)絡(luò)銀行使用的風(fēng)險(xiǎn)分析

（一）沒有制訂網(wǎng)銀業(yè)務(wù)崗位責(zé)任制度，分工及權(quán)限劃分不明確

存在業(yè)務(wù)交叉、混崗，甚至出現(xiàn)一人處理網(wǎng)銀全部業(yè)務(wù)流程的情況。

（二）處理網(wǎng)銀業(yè)務(wù)的電腦系統(tǒng)運(yùn)行環(huán)境及安全防范狀況惡劣

因受條件限制，多數(shù)網(wǎng)銀客戶端電腦沒有進(jìn)行物理隔離，日常工作電腦和網(wǎng)銀客戶端電腦無法分開，部分網(wǎng)銀操作員電腦上裝有聊天軟件、購(gòu)物軟件、游戲軟件、影視軟件、下載軟件等非工作性軟件。部分客戶端電腦安裝了盜版的操作系統(tǒng)或應(yīng)用軟件，造成網(wǎng)銀客戶端運(yùn)行環(huán)境惡劣，隨時(shí)面臨病毒、木馬及黑客侵入風(fēng)險(xiǎn)。絕大部分操作系統(tǒng)只安裝了免費(fèi)的殺毒軟件，沒有能力防范針對(duì)網(wǎng)銀的網(wǎng)絡(luò)攻擊和病毒入侵，安全狀況堪憂。

（三）密碼的設(shè)置和使用不規(guī)范

密碼設(shè)置過于簡(jiǎn)單，沒有定期更換密碼制度或制度沒有得到嚴(yán)格落實(shí)，密碼更換沒有現(xiàn)場(chǎng)監(jiān)督及登記，致使密碼更換流于形式。密碼使用不規(guī)范，甚至在一定范圍內(nèi)公開，工作人員以多種身份進(jìn)入系統(tǒng)操作。會(huì)造成責(zé)任無法區(qū)分，給營(yíng)私舞弊留下可乘之機(jī)。

（四）密鑰、口令盤、U盾等移動(dòng)加密介質(zhì)管理不嚴(yán)格

沒有實(shí)現(xiàn)專人專用，使用人不能妥善保管相關(guān)加密介質(zhì)，存在混用、交叉使用，甚至長(zhǎng)期插在網(wǎng)銀客戶端電腦上失去監(jiān)管。移動(dòng)加密介質(zhì)對(duì)網(wǎng)銀系統(tǒng)的保護(hù)作用形同虛設(shè)，存在極大的安全隱患。

（五）網(wǎng)銀支付憑證取得和管理不規(guī)范

以從網(wǎng)銀系統(tǒng)自行打印的電子回單完全替代傳統(tǒng)銀行支付回單，加之回單由支付人員打印、會(huì)計(jì)憑證無法與支付人員完全隔離等因素，存在偽造、替換支付憑證及虛假支出等風(fēng)險(xiǎn)。

（六）銀行對(duì)賬不規(guī)范

銀行對(duì)賬崗位設(shè)置不合理，對(duì)賬不及時(shí)。對(duì)賬單從網(wǎng)銀系統(tǒng)自行打印，且由出納人員打印并核對(duì)，存在偽造對(duì)賬單及資金損失風(fēng)險(xiǎn)。

三、網(wǎng)絡(luò)銀行風(fēng)險(xiǎn)控制措施

（一）關(guān)于網(wǎng)銀操作崗位的設(shè)置及分工

1.注冊(cè)開通網(wǎng)上銀行服務(wù)的單位至少需配備兩名網(wǎng)上銀行操作人員方能進(jìn)行相關(guān)操作。

2.網(wǎng)銀操作人員權(quán)限應(yīng)進(jìn)行分級(jí)管理，依據(jù)操作人員權(quán)限分為不同級(jí)別，出納人員權(quán)限級(jí)別最低，財(cái)務(wù)主管人員權(quán)限級(jí)別最高。

3.支付申請(qǐng)、復(fù)核及支付審批權(quán)限應(yīng)分別授予不同崗位。支付電子回單打印、銀行對(duì)賬及電子對(duì)賬單打印權(quán)限不得授予出納人員。

（二）關(guān)于網(wǎng)銀客戶端操作環(huán)境維護(hù)

1.有條件的單位應(yīng)盡量安排網(wǎng)銀客戶端專用電腦，保證網(wǎng)銀操作系統(tǒng)安全。

2.裝有網(wǎng)銀客戶端的電腦必須設(shè)置開機(jī)口令，嚴(yán)禁無關(guān)人員操作使用。

3.嚴(yán)禁在網(wǎng)銀客戶端電腦上安裝與公務(wù)活動(dòng)無關(guān)的應(yīng)用程序及游戲軟件。

4.使用正版操作系統(tǒng)，盡量安裝功能完善的付費(fèi)殺毒軟件，并及時(shí)升級(jí)殺毒軟件和防火墻，保證電腦的殺毒軟件保持在最新狀態(tài)。建議殺毒軟件設(shè)定為自動(dòng)升級(jí)，每天都要對(duì)電腦進(jìn)行殺毒，尤其在進(jìn)行網(wǎng)上銀行操作之前，必須開啟殺毒軟件的實(shí)時(shí)監(jiān)控，并啟用個(gè)人防火墻。

5.網(wǎng)銀操作人員離開崗位時(shí)必須退出網(wǎng)上銀行系統(tǒng)，并將密鑰從計(jì)算機(jī)上拔出，以防數(shù)字證書等機(jī)密資料落入他人之手。

6.不得在網(wǎng)銀客戶端專用電腦及單位財(cái)務(wù)內(nèi)部電腦以外其他任何電腦下載網(wǎng)銀證書、使用單位網(wǎng)銀辦理業(yè)務(wù)。

7.網(wǎng)銀客戶端電腦發(fā)生系統(tǒng)崩潰、黑客入侵及硬件毀損等情況時(shí)，須報(bào)告部門及單位領(lǐng)導(dǎo)，統(tǒng)一查明原因，采取更換或維修等必要措施，不得隱瞞不報(bào)，不得私自處理，嚴(yán)禁引入外部單位或人員參與網(wǎng)銀系統(tǒng)的數(shù)據(jù)維護(hù)及維修。

（三）關(guān)于密碼設(shè)置及使用

1.無論在什么時(shí)候都要保管好自己的密碼，絕對(duì)不可以告訴第三方，遇有崗位輪換時(shí)應(yīng)立即更換密碼。

2.切不要把自己的出生日期、房間號(hào)、電話號(hào)碼以及身份證號(hào)碼等作為密碼，建議選擇有代表性的數(shù)字和字母混合的方式設(shè)置密碼，以提高密碼破解的難度；不同的客戶端登錄密碼、用戶PIN碼、支付密碼采用不同設(shè)置方案，嚴(yán)禁與郵箱、論壇、購(gòu)物網(wǎng)站等私人密碼相同；嚴(yán)禁長(zhǎng)期使用網(wǎng)銀客戶端啟用時(shí)的原始密碼。

3.密碼要定期修改，最長(zhǎng)不得超過兩個(gè)月，不得采用幾組固定密碼輪換方式。密碼更換要有登記并由專人進(jìn)行監(jiān)督檢查，基本程序?yàn)椋罕O(jiān)督人現(xiàn)場(chǎng)監(jiān)督用舊密碼進(jìn)入系統(tǒng)，監(jiān)督人回避，密碼更換人啟用新密碼，監(jiān)督人驗(yàn)證舊密碼無法進(jìn)入，密碼更換人及監(jiān)督人在登記表上簽字完成密碼更換。

4.不要使用自動(dòng)登錄功能讓電腦記憶密碼，尤其是在非網(wǎng)銀專用電腦上，如果有軟鍵盤要盡量用軟鍵盤登陸方式輸入密碼。

5.嚴(yán)禁將網(wǎng)銀密碼以文本形式存儲(chǔ)在電腦硬盤、U盤、電子郵箱及手機(jī)中，以免泄露；記載密碼的密碼紙或口令本應(yīng)存放于密碼使用人保險(xiǎn)柜中且與對(duì)應(yīng)的密鑰、口令盤、U盾等移動(dòng)加密介質(zhì)分開保管，嚴(yán)禁將二者存放在一起。

6.密鑰、口令盤、U盾等移動(dòng)加密介質(zhì)必須由使用人妥善保管，不得混用、交叉使用，使用完畢應(yīng)立即收回，妥善保管，嚴(yán)禁長(zhǎng)期插在網(wǎng)銀客戶端電腦上失去監(jiān)管。

7.密鑰、口令盤、U盾及密碼發(fā)生遺失、泄露時(shí)，應(yīng)立即報(bào)告部門及單位領(lǐng)導(dǎo)，采取必要的補(bǔ)救措施。

（四）關(guān)于網(wǎng)銀支付憑證及對(duì)賬單

1.網(wǎng)絡(luò)銀行支付回單不能以自行打印的電子回單代替。可在支付完畢后先將電子回單附憑證后入賬，單位應(yīng)定期到開戶銀行取回加蓋銀行業(yè)務(wù)公章的正式回單入賬。

2.網(wǎng)銀支付電子回單打印應(yīng)由網(wǎng)銀業(yè)務(wù)復(fù)核或?qū)徟藛T完成，不得由出納人員操作。

3.單位不得以網(wǎng)銀系統(tǒng)打印的電子對(duì)賬單代替正式對(duì)賬單，應(yīng)定期到開戶銀行取回加蓋銀行業(yè)務(wù)公章的正式對(duì)賬單，并由財(cái)務(wù)主管人員核對(duì)及編制銀行余額調(diào)節(jié)表

（作者單位：淮委沂沭泗水利管理局221018）