Horyzonty Bankowości 2014: Czy banki są już gotowe?

Artur Józefiak
Manager, Accenture Polska

Rekomendacja D, której celem jest zapewnienie stabilnego zarządzania obszarami IT i bezpieczeństwa IT, została zaktualizowana przez KNF 8 stycznia 2013 r. Banki otrzymały na jej wdrożenie prawie 24 miesiące. Jednak zważywszy na stopień skomplikowania oraz na zakres i skalę wymaganych zmian, czasu nie pozostało zbyt wiele.

W nowej Rekomendacji D znajdziemy 22 zalecenia, które składają się na 195 wymagań szczegółowych, zawierających łącznie kilkaset drobiazgowych kryteriów zgodności. Pamiętajmy, że banki muszą wypełnić każde z tych zaleceń, albo przedstawić wiarygodne uzasadnienie, dlaczego dane kryterium szczegółowe ich nie dotyczy.

W ciągu półtorarocznych prac z tym dokumentem w Accenture, najpierw na etapie jego powstawania, podczas opiniowania wersji roboczej, a obecnie na etapie jego wdrażania, zebraliśmy wiele ciekawych obserwacji i doświadczeń. Przede wszystkim dostrzegamy zmianę nastawienia do obowiązku wdrożenia Rekomendacji D. Niektóre banki zaczynają postrzegać ją nie jako obciążenie, ale jako okazję do naprawy długo niezaadresowanych problemów, upowszechnienia dobrych praktyk w organizacji lub optymalizacji funkcjonujących mechanizmów. Słowem – okazję do transformacji.

Siły na zamiary

Kluczowe, szczególnie dla zarządów, jest zrozumienie skali wyzwania, jakim jest wdrożenie Rekomendacji D. Powinny zapewnić wystarczające zasoby ludzkie, finansowe oraz odpowiednio wcześnie rozpocząć wprowadzanie koniecznych zmian. Już samo rzetelne zweryfikowanie zgodności z wymienionymi wcześniej kilkuset kryteriami może pochłonąć nawet kilkadziesiąt osobodni pracy, szczególnie gdy dodamy do tego czas potrzebny na przygotowanie rzetelnej koncepcji zgodności, czyli wyjaśnienia, jak bank interpretuje i spełnia dane wymagania. Uwzględniając pracochłonność i koszty wdrożenia niezbędnych zmian w mechanizmach (procedurach, narzędziach, dokumentach, praktykach), okazuje się, że w dużej organizacji czas potrzebny do wdrożenia Rekomendacji D musi być liczony w tysiącach osobodni i w milionach złotych wydanych m.in. na zakupy licencji, usług wdrożeniowych czy doradczych. Dodatkowym istotnym elementem wdrożenia są potencjalne zmiany organizacyjne, które – jak wiadomo – mogą kosztować wiele wysiłku i pochłonąć dużo czasu

Silosowanie wdrożenia

Ponieważ rekomendacja jest podzielona na cztery główne obszary, naturalnym ruchem wydaje się przypisanie poszczególnych fragmentów czterem jednostkom banku: Zarządzanie IT (rekomendacje 1-5), Rozwój IT (rekomendacje 6-7), Utrzymanie IT (rekomendacje 8-18), Bezpieczeństwo/Zgodność (rekomendacje 19-22). Zjawisko to można nazwać „silosowaniem” wdrożenia, tzn. przypisywaniem odpowiedzialności za realizację fragmentów Rekomendacji D poszczególnym działom organizacji. Najczęściej dzieje się tak bez uwzględnienia silnych zależności pomiędzy poszczególnymi częściami oraz bez odniesienia do całej organizacji.

Takie podejście skutkuje tym, że poszczególne działy spełniają wyodrębniony zakres wymagań możliwie jak najlepiej, ale patrząc na niego tylko ...