Główne ryzyka dla banków według CRO to cyberbezpieczeństwo, AI i geopolityka

Najważniejsze ryzyka dla sektora bankowego to w tej chwili ryzyka operacyjne, w szczególności związane z cyberbezpieczeństwem i AI, oraz rosnąca złożoność ryzyk geopolitycznych i makroekonomicznych, ocenili dyrektorzy ds. ryzyka (ang. chief risk officers, CRO) banków i przedstawiciele firm consultingowych podczas panelu „Ryzyko bankowe – mapa wyzwań dla sektora bankowego. Okrągły stół CRO” na Europejskim Kongresie Finansowym (EKF) w Sopocie. Agencja ISBnews była patronem medialnym tego wydarzenia.

„Ryzyko cyber będzie się intensyfikować i coraz bardziej będzie stanowiło coraz większe wyzwanie dla banków. W sferze cyber mamy dwa dominujące elementy. Pierwszy to jest asymetria możliwości, czyli klient versus przestępca – tak to trzeba chyba wprost określić i drugi element – to są efekty funkcji czasu i technologii” – powiedziała wiceprezes ING Banku Śląskeigo Joanna Erdman podczas panelu.

„Wszyscy chyba zgodnie tutaj obserwujemy, iż zmienia się charakter wyzwań cyber, ponieważ przestępczość ta się mocno instytucjonalizuje. I kiedyś celem ataku był głównie klient detaliczny, teraz również klient korporacyjny. I ciężko jest w tej nierównej walce, w tej asymetrii możliwości rzeczywiście zapewnić funkcje ochronne i bezpieczeństwo klientów” – dodała.

Podkreśliła, iż bank jest odpowiedzialny za bezpieczeństwo swoich klientów, za bezpieczeństwo danych, ale też w tej walce jest często na zupełnie asymetrycznej pozycji, bo włącza się ten drugi element, czyli funkcja czasu i technologii.

„Tam, gdzie mamy do czynienia z taką zinstytucjonalizowaną przedsiębiorczością, technologia, która w dodatku bardzo gwałtownie czasowo ewoluuje, jest narzędziem masowego rażenia i bardzo ciężko przygotować się – i bankom, i klientom – do tego, aby stanąć w tej nierównej walce twarzą w twarz. Ale to się dzieje, proszę państwa, i ja uspokajająco chcę powiedzieć, iż chyba wszyscy dajemy sobie radę” – wskazała Erdman.

Wiceprezes zaznaczyła, iż banki uczą się i każda taka próba jest dla nich „mocną lekcją”, która uszczelnia procesy i systemy.

Ze względu na potrzebę stawiania czoła wyzwaniom związanym z cyberbezpieczeństwem banki powinny wzmocnić współpracę, zaproponował wiceprezes Santander Bank Polska Artur Głembocki.

„My powinniśmy dużo więcej ze sobą współpracować, bo jest wiele takich tematów, gdzie jak będziemy pracować indywidualnie, to sobie nie poradzimy z tematem, albo inaczej – może osiągnąć dużo większy efekt, jeżeli będziemy współpracować. jeżeli na przykład popatrzę na cyberbezpieczeństwo, to widzę trzy punkty, które warto w tym kontekście uwzględnić” – powiedział wiceprezes.

Po pierwsze, w ciągu ostatnich pięć lat banki wykonały „gigantyczną pracę”, o ile chodzi o swoją infrastrukturę. To znacząco uodporniło je na zewnętrzne ataki i pozwala w tej chwili przejść do kolejnych dwóch punktów.

„I tutaj mam taki apel, żebyśmy sobie te dwa punkty wpisali do planu wspólnej pracy. Po pierwsze, ponad połowa naszych klientów firmowych nie ma w ogóle zainstalowanego antywirusa. I my debatujemy o stress testach, ale praktyka jest taka, iż choćby gdy wydarzą się jakieś turbulencje typu taryfy, to nasi przedsiębiorcy, nasza gospodarka sobie z tym całkiem nieźle radzi. Ale jeżeli trafi się atak malware, to firma jest zamknięta i w zasadzie po paru dniach traci płynność. A tego w ogóle nie uwzględniamy w naszych modelach i nie działamy wspólnie” – wskazał Głembocki.

Trzeci punkt to kolejny apel o współdziałanie w kwestii przeciwdziałania transakcjom oszukańczym – zjawisko to wiceprezes określił jako „kulę śniegową, która się nakręca”.

Kolejna kluczowa grupa ryzyk – wciąż w polu technologii – wskazywana przez uczestników panelu jest związana ze sztuczną inteligencją.

„Warstwa kontrolna w bankach nie nadąża, ogólnie rzecz biorąc, na zmiany związane z AI. I pewnie to jest normalne, bo to jest nowa technologia, nie wiemy do końca, do czego można jej użyć – więc najpierw zaczynamy używać, a pewnie dopiero później pojawi się miejsce na kontrolę. Tym bardziej, iż te rozwiązania są w obszarach takich, powiedzmy, IT, właśnie silnie optymalizacji procesów i tak dalej, które co do zasady w bankach aż takiej wysokiej kultury kontroli pewnie nie mają” – powiedział wiceprezes Banku Pekao nadzorujący Pion Zarządzania Ryzykami Marcin Gadomski.

Podkreślił, iż w tej chwili banki zastanawiają nad oceną i sposobem traktowania ryzyk związanych z AI m.in. w kontekście wdrożenia „europejskiego AI actu”.

Musimy zwrócić uwagę, iż przynajmniej klasyfikacja modeli czy systemów AI musi znaleźć się pod jakąś kontrolą. Kolejna kwestia to dyskusja na temat klasyfikacji ryzyk. […] To są zupełnie nowe rodzaje ryzyk operacyjnych i bardzo rozproszone po organizacji” – wskazał wiceprezes.

Gadomski wskazał ponadto, iż jeżeli chodzi o najważniejsze ryzyka poza cyberbezpieczeństwem, określiłby je generalnie jako związane z dezinformacją.

„Deep fake, scam – te zjawiska mogą się intensyfikować, czy to ze względu na różne działania hybrydowe, wojenne, czy to ze względu na nową technologię, chociażby AI. Dalej jest kwestia nieautoryzowanych płatności, ale też być może uruchomienia dzięki dezinformacji wszelkich innych produktów bankowych – gwarancji, leasingów, tudzież choćby wywołanie jakiegoś 'run na bank'” – wymienił wiceprezes Pekao.

Prowadzący panel wiceprezes ds. zarządzania ryzykiem mBanku Marek Lusztyn wymienił te same zagrożenia.

„Z mojej perspektywy zdecydowanie też dezinformacja i to, w jaki sposób sztuczna inteligencja może być wykorzystana do tego, żeby manipulować ludzkie zachowania, które są dużo bardziej przewidywalne i podatne na tego typu interwencje, niż nam się wydaje” – powiedział Lusztyn.

„Najważniejsze zagrożenia – po cyber – to dezinformacja i fake newsy, wpływające w sposób manipulacyjny na decyzje klientów. Czyli dla nas najważniejsze jest, jak zarządzić rozeznawaniem, co jest prawdziwe, i jak zabezpieczyć komfort klientów, jak nieustająco dbać o bezpieczeństwo” – dodała Erdman z ING BSK.

Obok ryzyk związanych z szeroko pojmowanymi nowymi technologiami uczestnicy panelu jako najistotniejsze wskazywali te związane z geopolityką.

„Zdecydowanie najważniejsze jest ryzyko geopolityczne. […] W tej chwili jeszcze nie widzimy tego ryzyka w marżach kredytowych, ale widzimy już, iż nowe inwestycje są właśnie powstrzymywane ze względu na to zwiększone ryzyko. o ile to będzie proces, który się utrzymuje, należy go wprowadzić do modeli ryzyka nie tylko tego istniejącego portfela na zasadzie stress testów, ale w ogóle w procesie udzielania kredytów jako taką cechę stałą” – powiedział lider usług dla sektora finansowego w Polsce w Deloitte Przemysław Szczygielski.

Na fakt, iż standardowe modele bankowe nie zawsze są już adekwatne, zwrócił też uwagę partner, lider doradztwa dla sektora bankowego, head of AI w KPMG w Polsce i Europie Środkowo-Wschodniej Andrzej Gałkowski.

„Zwiększona niestabilność geopolityczna, gospodarcza i monetarna, tak jak wojna na Ukrainie, wzrost cen surowców, efekt taryf podnoszonych, zmiany stóp procentowych – to wszystko ma tak wiele kanałów transmisji na działalność banków, iż w tej chwili stosowane modele mogą być nieodpowiednie do szacowania potencjalnych skutków ekonomicznych w tak bezprecedensowych i nieprzewidywalnych warunkach” – powiedział Gałkowski.

Według niego kluczowa jest tutaj dodatkowa identyfikacja zagrożeń i kanałów transmisji na bardziej stopniowalnym poziomie.

„Złożoność możliwych scenariuszy generuje potrzebę zwinnego podejścia do skutecznego wychwytywania i kwantyfikowania pojawiających się zagrożeń. Tak jak to miało miejsce podczas pandemii, kiedy banki szczegółowo przeanalizowały swoje modele, aby wychwycić ich słabości. To może nie jest odkrywcze, ale warto z wyprzedzeniem zastanawiać się na wpływ, jaki na naszych kluczowych klientów kredytowych mają takie rzeczy jak wzrost cen surowców, spadek popytu na produkty danego klienta czy w końcu zwiększenie konkurencji z importu” – dodał partner w KPMG.

Szybka reakcja na pojawiające się negatywne informacje, kooperacja między departamentami i narzędzia symulacyjne na pewno w takich sytuacjach pozwolą bankowi lepiej szacować wymagany poziom rezerw czy strategicznie definiować działania podejmowane względem podmiotu, wskazał także.

„Jeśli my nie zmienimy naszych modeli biznesowych, to będziemy mieć duże problemy. Przykładem jest Nubank w Brazylii, który istotnie zmienił sektor w tym kraju. Moim zdaniem, jeżeli my się nie zmienimy, to niestety będziemy mieli duże problemy” – dodał wiceprezes i CRO PKO Banku Polskiego Piotr Mazur.

Wiceprezes Citi Handlowego Barbara Sobala zwróciła uwagę, iż każde ryzyko geopolityczne jest nowe, a zatem inne, ma inną dynamikę i żadne dotychczasowe znane metody, w tym stress testy, nie pokażą, jak na podstawie danych historycznych można być przygotowanym do określonego ryzyka.

„Stąd też tak ogromna rola zarówno scenariuszy stresowych, ale też tak zwanych reverse stress testów, czyli co musi się wydarzyć, aby określony wskaźnik został przełamany, tak abyśmy widzieli, w którym momencie zbliżamy się już do materializacji tego ryzyka” – powiedziała wiceprezes.

Wymieniła kwestie, które niezależnie od położenia geograficznego warto mieć w tym kontekście na uwadze. Po pierwsze – ciągłe monitorowanie szeregu zdarzeń, które może przekształcić się w nieznane dotychczas ryzyko. Po drugie, wzmacnianie odporności systemów finansowych poprzez utrzymywanie zarówno wysokich poziomów kapitałów, jak też zasad zarządzania ryzykiem pozwalających proaktywnie badać odporność klientów i systemów bankowych na wydarzenia, które mogą się pojawić. Po trzecie, konieczne jest natychmiastowe weryfikowanie korelacji z regionem świata, w którym nastąpiło nieprzewidziane wydarzenie (np. jak to było niedawno z Izraelem). Po czwarte, należy regularnie dokonywać przeglądów koncentracji, tak aby widzieć, czy określone produkty czy grupy klientów, czy branże, czy rejony kraju bądź Europy nie generują z punktu widzenia koncentracji większego ryzyka geopolitycznego.

Źródło: ISBnews