Bankalarda iç suistimaller

Transkript

1

2 Bankalarda iç suistimaller Dr. Sezer Bozkuş Kahyaoğlu CIA, CFE, CFSA, CRMA, SMMM Kurumsal Risk Yönetimi Hizmetleri İstanbul,

3 Sunum Planı Bankalarda iç tehditlerin görünümü Bankalarda iç suistimal yaşam döngüsü İç suistimalci profili İç suistimali veri analizi süreci Genel değerlendirme ve öneriler 3

4 İçsel suistimaller ve tehditler Finansal piyasalarda ve özellikle bankacılık alanında mevcut ve eski çalışanlar, iş ortakları veya sözleşme bazlı tarafların tesadüfen veya kasıtlı olarak kendilerine sağlanan imkan ve hakları şirketin itibarını, çalışanlarını, varlıklarını veya müşterilerini olumsuz etkileyecek potansiyel iç suistimal/tehdit unsurları olarak değerlendirilebilir. Çalışanlar İş ortakları Sözleşme bazlı Eski çalışanlar 4

5 Pervasız işiler Eğitimsiz Kişiler Şirket dışına sempati Vendor Ortak Rasyonel Olmayan Hırsız Hoşnut Olmayan Aktivist Terörist Organize Suç Rakip Ulus Devlet Niyet İç Tehditler Atak Türleri Kötü Olmayan Çift Yönlü Sızmalar X X X X X X X Kötü Niyetli Olan İspiyonlama X X X X X X X X Finansal Yolsuzluk X X X X X Uygunsuz Kullanım X X X X X X X X Fırsatçılık X X X X X X X X Veri Hırsızlığı X X X X X Fiziki hırsızlık X X X X X Ürün taklidi X X X X X X X X X Sabotaj X X X X X X Şiddet X X X İç tehditlerin finansal piyasalardaki görünümü Buna göre; Küskün çalışanlar en büyük tehlikedir 5

6 İç suistimallerin yaşam döngüsü İşe giriş İlk Yolsuzluk Yasal İşlem (Yİ) Yolsuzluk Mahkumiyet (M) Çıkış İşe giriş ve ilk yolsuzluk Tespit Yİ M Ay Toplam Süre 114,5 ay= 9,5 Yıl

7 İç suistimalci profili Insider- Teknik olmayan 80% Bilinmey en 12% Insider- Teknik 8% İç tehditlere yol açan iç suistimalcilerin finansal piyasalardaki iş deneyiminin görünümü Buna göre; İç suistimalci olmak için teknik ekipte görev almak şart değildir

8 Yönetici vs yönetici olmayanların iç suistimali Ortalama Medyan Yöneticiler Yöneticiler Olmayanlar Yöneticiler kendilerine sağlanan erişim ve onay yetkilerini kötüye kullanarak iç suistimale konu olmakta ve bu durumu daha uzun süreli olarak devam ettirebilmektedir.

9 İç suistimallerin birimlere göre dağılımı ortalama süresi ve kayıp düzeyi İç Suistimal Ortalama Kayıp Miktarı (USD) İç Suistimal Ortalama Süre- Ay Ortalama Kayıp Muhasebe Müşteri İlişkileri Teknik Analist Ortalama Süre 10 Muhasebe Müşteri İlişkileri Teknik Analist 9

10 İç suistimal inceleme süreci 1. Aşama: Atak tanımlama 2. Aşama: Vaka tanımlama 3. Aşama: Suistimal ihtimalini Tanımlama 4. Aşama: Suistimal inceleme 5. Aşama: Raporlama Atak türünü belirleme Atak senaryosunu tanımlama Etkilerini tanımlama Olasılık ve etkisini sayısallaştırma Uygulanabilirliğini değerlendirme Para hareketlerini belirleme Kronolojik tanımlama Kilit olay Kriminal metod Sistem erişimi Etkilenen hesaplar Parasal büyüklükler Tehditler ve sistemdeki kırılganlıklar Eşanlı ve eşleşen kilit olaylar Etkilerinin belirlenmesi Sistemdeki kırılganlıklarla eşleşen kontrol faaliyetlerini belirleme Kontrol Boşluklarının Raporlaması Potansiyel ilave etki alanlarının belirlenmesi 10

11 İç suistimallerin analizinde alternatif yaklaşımlar Aktivite bazlı Ortalama Çarpıklık/Basıklık Mod İlişki bazlı İçerik bazlı Medyan 11

12 Veri Normalleştirme Gerçek zamanlı filtreleme İç suistimal veri analizi süreci İç Tehdit Verileri Analiz İçerik İyileştirme ve Senaryolar Uyarı İçerik Akış Bildirim Veri Madencilik ve Analiz Analiz Portalı Vaka Korelasyonu Big Data Tahmin Dışsal veriler Loglama Kimlik Batch Bildirimi Kanıt Toplama Otomatik İzleme Otomatize edilen veriler

13 Veri Analizinde Ölçütler Metrik Olan Ölçütler Metrik Olmayan Ölçütler Oransal (Ratio) Örnek:0 noktası olur, yükseklik, yaş Aralıklı (Interval) Sürekli. Örnek: sıcaklık derecesi, yaş grupları Ölçeğin istatistiksel gücü Sıralı (Ordinal) Sıralama Örnek: en küçük=1 en büyük=10 İsimsel (Nominal) Kategorik Örnek: cinsiyet 0=kadın, 1=erkek azalır

14 Tek Değişkenli Analizler Çok Değişkenli Analizler Tek Örneklem Bağımlılık Analizi İki veya Daha Fazla Örneklem Bağımsızlık Analizi Hipotez Testleri Tek Örneklem Testleri İki Örneklem Testleri k Örneklem Testleri Bağımsız İki Örneklem Testleri Bağımlı İki Örneklem Testleri Bağımsız k Örneklem Testleri Bağımlı k Örneklem Testleri

15 Tavsiyelerimiz Politika ve prosedürlerin açık ve tutarlı bir şekilde tüm kurum genelinde uygulanmasını desteklemek Çalışanlara sistematik ve periyodik olarak güvenlik farkındalık eğitimleri düzenlemek İnceleme/ denetim kapsamı ne olursa olsun süreçte yer alan çalışanlarda görülen olağandışı/kaynağı tam olarak açıklanamayan finansal kazançların raporlanmasını sağlamak Çalışanların online olarak yaptığı tüm işlemleri loglamak, izlemek ve denetlemek Özellikle çalışanlar arasında yöneticilere ve muhasebe çalışanlarına daha fazla odaklanmak Kişisel bilgilere erişim haklarını kısıtlamak ve kontrol etmek İçsel tehdit/suistimal vakalarına nasıl tepki verilmesi gerektiğini belirleyen planlar hazırlamak Tüm bu çalışmaların sürdürülebilirliği amacıyla iç suistimal sorgu araç ve teknikleri ile paket programları kullanmak tavsiye edilmektedir.

16 16

17 Legal disclaimer The content presented in this presentation is subject to copyright protection and has the ownership title. Texts, graphics, photographs, sound, animations and videos as well as their distribution in the presentation are protected under the Copyright and related rights Law. Unauthorized use of any material contained in the presentation herein may constitute an infringement of copyright, trademark or other laws. The materials in this presentation may not be modified, copied, publicly presented, executed, distributed or used for any other public or commercial purposes, unless the Board of Asseco Poland S.A. gives consent in writing. Copying for any purpose, including commercial use, distribution, modification or acquisition of the contents of this presentation by third parties is prohibited. Moreover, this presentation may contain reference to third-party offers and services. Terms of use for such offers and services are defined by these entities. Asseco assumes no responsibility for the conditions, contents and effects of the use of offers and services of these entities. The data and information contained in this presentation are for information purposes only. Presentation was prepared with the use of Inscale company products. The name and logo of Asseco are registered trademarks. Use of these marks requires prior express agreement of Asseco 2016 Asseco