Платежные карты: Бизнес-энциклопедия

Проект

• использование данных магнитной полосы карты (в том числе и гибридной карты) для создания поддельной карты с последующим ее применением в магнитном терминале в оффлайновом режиме;

• использование гибридных карт в магнитных терминалах;

• подделывание гибридных карты (неправильная персонализация чипа и использовование fallback на магнитную полосу или менять кода обслуживания карты при переносе данных на заготовку с магнитной полосой и использование карты в режиме floor limit).

Значительную брешь в операциях с микропроцессорными картами создает использование банками режима Fallback. Платежные системы уже обязали банки отказаться от этого режима в банкоматных транзакциях (Fallback разрешается под ответственность обслуживающего банка). Более того, в ближайшее время сегодня обязательное использование режима Fallback в POS-терминалах будет заменено на опциональное решение для страновых рынков. В этом случае в странах,

где уровень соответствия стандартам международных платежных систем высокий, банки откажутся от использования резервной авторизации по магнитной полосе.

Организационные процедуры управления рисками при эмиссии и эквайринге банковских карт

Общий подход к управлению рисками при эмиссии банковских карт с магнитной полосой

Несмотря на введение платежными системами чиповых или микропроцессорных технологий в процесс обслуживания банковских карт, задача обеспечения безопасности при использовании карт с магнитной полосой остается актуальной. Это связано с тем, что темпы эмиссии карт на микропроцессорные технологии не столь высоки, как хотелось бы, из-за значительной стоимости проектов по миграции карт банка с технологии магнитной полосы на ЧИП-технологию. Поэтому банки продолжают эмиссию банковских карт с магнитной полосой, успокаивая себя тем, что с точки зрения рисков для них практически ничего не изменилось. Разве что, упускается возможность сократить свои потенциальные потери. В этом смысле стратегия банка оправдана, ведь это его право выбирать инструмент управления рисками: технологически (микропроцессор, магнипринт, биометрия, онлайновый мониторинг и т. д.) или организационно (службы поддержки клиентов, службы мониторинга, привлечение услуг страхования и т. д.). С другой стороны, ни одна платежная система не гарантирует 100 % защиты микропроцессорных карт от подделки в перспективе, это только вопрос времени и средств, вкладываемых мошенниками для производства поддельных карт. Поэтому средства банка, вложенные в организацию системы управления рисками при использовании карт с магнитной полосой, не пропадут, а уже существующий потенциал Банка с успехом может быть использован и при применении ЧИП-технологий.

В общем случае управление рисками при эмиссии сводится к минимизации влияния рисковых факторов использования банковских карт на доходность бизнеса в целом. Вопрос заключается в поиске компромисса между возможными потерями от мошенничества и теми средствами, которые затратит банк при реализации собственных проектов по предотвращению мошенничества с банковскими картами. С другой стороны, действует всеобщий закон сохранения энергии, материи и т. д.: избыточные меры по обеспечению безопасности операций с банковским картами неизбежно ведут к конфликту с процессом развития бизнеса и качеством обслуживания клиентов и, наоборот, безоглядное развитие бизнеса ведет порой к катастрофическим потерям. Поэтому задача выбора стратегии при минимизации риска мошеннических операций с картами носит актуальный характер.

Рассмотрим выбор стратегии банка в зависимости от этапа развития бизнеса банковских карт в банке:

1) банк только начал эмиссию (до 20 тыс. карт). Страховка. Стандартные отчеты платежной системы — требование страховых компаний;

2) банк достиг среднего уровня — 100 тыс. карт. Страховка, формирование собственной службы мониторинга, подготовка EMV миграции (если не начали сразу);

3) банк достиг уровня массового выпуска и обслуживания карт. Собственная служба мониторинга, call-center, система предотвращения мошенничества, основанная на определенных жестких правилах, которым она следует в режиме онлайн (on-line rule-based), система страхования, система мобильного информирования клиентов, формирование технологических инструментов (услуг), позволяющих клиентам самостоятельно управлять рисками.

1 этап эмиссионной программы — начало эмиссии

Очевидно, что при старте программы эмиссии издержки банка и так значительны, чтобы вкладывать серьезные средства в организацию мер по предотвращению потерь от мошенничества. Тем более, что базовые функции обеспечения безопасности уже заложены платежной системой в процесс эмиссии при сертификации Банка, как участника платежной системы. Довольно часто программное обеспечение процессингового центра (ПЦ, собственный или процессор третьей стороны (third party)) уже в базовом комплекте содержит набор средств по управлению рисками, часть из которых является обязательными в соответствии с требованиями платежной системы. С другой стороны, уровень использования банком инструментов управления рисками зависит от его стратегии развития бизнеса, ведь это

подразумевает привлечение дополнительных человеческих ресурсов. А увеличение штата сотрудников на первом этапе развития бизнеса всегда является непопулярным. Именно поэтому довольно часто можно встретить банки с эмиссией более 50 тыс. карт, где за вопросы безопасности и мониторинга операций с банковскими картами отвечает один, максимум два сотрудника. И руководство банка можно понять, ведь на его основной вопрос: «А каковы наши риски?», к сожалению, редко можно дать сколько-нибудь аргументированный ответ, особенно при старте эмиссии, когда Банк еще не сталкивался с проблемами такого рода. Ведь ссылки на прессу, пугающую массовыми подделками карт, и статистику платежных систем об убытках банков, разбиваются о «железные аргументы» в виде следующих вопросов руководства с соответствующими комментариями: «Сколько карт мы выпустим в течение первого года? Каков будет средний остаток средств на каждой карте или клиентскому сегменту? Какова вероятность изготовления подделки для каждого сегмента? А теперь посчитайте каков может быть максимальный ущерб банку и сравните с затратами на привлечение дополнительных сотрудников и организацию технологии предотвращения мошенничества.».

По итогам беседы в лучшем случае будет предложено поднять этот вопрос в следующем году. Существует и еще более неприятный вопрос руководства: «Что даст организация мониторинга операций по банковским картам на предмет выявления мошенничества?» Ответ, что мы сможем увидеть, когда у клиента уже похитили со счета все средства (а так обычно и бывает, карточку редко «щиплют» по чуть-чуть, изо дня в день) вряд ли убедит руководство в необходимости создания службы по предотвращению мошенничества с банковскими картами. Единственным сильным аргументов является требование платежных систем выполнять предписанные Банку мероприятия по минимизации рисков, а именно соответствовать стандартам мониторинга и выполнять требования платежных систем по отчетности и регламентным мероприятиям по реагированию на предупреждения, поступающие из платежных систем. Кстати, не помешает упомянуть про возможные штрафные санкции со стороны платежных систем, если будет выявлено несоответствие Банка требованиям по предотвращению мошенничества.

Учитывая вышесказанное, при старте программы эмиссии необходимо убедить руководство банка в необходимости уделить внимание развитию направления обеспечения безопасности операций с банковскими картами. Чтобы быть более убедительным, предложите руководству план развития подразделения в зависимости от уровня эмиссии банковских карт. Для этого можно запросить региональное подразделение платежной системы о рекомендациях и так называемые «лучшие практики» (best practice) по организации подразделений безопасности по банковским картам и зависимости численности подразделения от уровня эмиссии карт. Получив от платежной системы рекомендации и, чтобы не шокировать руководство необходимостью нанять «армию» специалистов по обеспечению безопасности операций с банковскими картами, лучше всего предложить компромиссное решение в лице страховой компании. Тем самым вы уберете неопределенность в процессе решения управления рисками — уплатив страховую премию, банк будет уверен в возмещении оговоренной в договоре суммы по мошенническим операциям. С другой стороны вы получаете еще один стимул в развитии подразделения по обеспечению безопасности. Страховая компания по каждому страховому случаю будет требовать от банка предоставить доказательства того, что банк предпринял все необходимое, чтобы предотвратить потери, связанные с мошенничеством по банковским картам. А сюда как раз и относятся результаты мониторинга и документированные действия банка по предотвращению мошенничества (блокировка карты, отчеты системы мониторинга и т. д.).

Страхование рисков — дело недешевое и соизмеримо с убытками, которые может понести банк от мошенничества. При эмиссии до 20 тыс. карт банк может уложиться в страховую премию до 20 тыс. долл. США в зависимости от условий страхования. При этом покрыто будет практически 100 % рисков. Однако с ростом эмиссии страховая премия начинает принимать пугающие значения, значительно превышающие потери банка за предыдущий период, поэтому необходимо искать пути оптимального сочетания страхования с применением иных методов управления рисками.

2 этап — эмиссия до 100 тыс. карт

При эмиссии до 100 тыс. карт количество потихоньку начинает переходить в иное качество. Все чаще возникают случаи мошенничества, и, если служба мониторинга не заметила и не отреагировала должным образом, то возможны конфликты со страховой компанией. Учитывая значительный объем страховой премии, приходится перераспределять финансовой бремя борьбы с мошенничеством между страховой компанией, содержанием службы мониторинга и организацией технологической поддержки.