Posnetek, klasifikacija in analiza kritične infrastrukture slovenskih bank : magistrsko delo

Teks penuh

(1)UNIVERZA V MARIBORU Fakulteta za varnostne vede. Magistrsko delo. POSNETEK, KLASIFIKACIJA IN ANALIZA KRITIČNE INFRASTRUKTURE SLOVENSKIH BANK. Študent: Matjan COJHTER November 2009. Mentor: doc. dr. Milan VRŠEC.

(2) V eliko ljudi proda svojo svobodo, da dobijo občutek varnosti. Če m islijo in delajo, kar m islijo in delajo drugi, se počutijo varne. N ekateri pa iščejo preko m eja. V iskanju odgovorov raziskujejo tam , kjer drugih ni. N a svoji poti gredo po sam otnih stezah. Išč Iš čejo odgovore na vprašanja, ki si jih drugi še zastavijo ne. D r. Peter Pavel G RŽAN. Stran 2/90.

(3) KAZALO KAZALO TABEL .......................................................................................................... 5 KAZALO SLIK .............................................................................................................. 5 KAZALO GRAFOV ...................................................................................................... 6 POVZETEK .................................................................................................................... 7 SUMMARY..................................................................................................................... 8 1 UVOD ........................................................................................................................... 9 2 METODOLOŠKI PRISTOP.................................................................................... 11 2.1 Oris problematike – PROBLEM .......................................................................... 11 2.2 Domneve............................................................................................................... 13 2.2.1 Prva domneva ................................................................................................ 13 2.2.2 Druga domneva ............................................................................................. 13 2.2.3 Tretja domneva .............................................................................................. 14 2.2.4 Omejitve ........................................................................................................ 14 2.3 Metode raziskovalnega dela ................................................................................. 14 3 OPREDELITEV KLJUČNIH POJMOV................................................................ 16 4 KRITIČNA INFRASTRUKTURA .......................................................................... 18 4.1 Predstavitev Evropskega programa zaščite kritične infrastrukture ...................... 19 4.2 Bančni sektor kot sestavni del kritične infrastrukture – evropski pogled............. 22 a) Francija ............................................................................................................... 22 b) Nemčija .............................................................................................................. 22 c) Nizozemska ........................................................................................................ 22 d) Švica ................................................................................................................... 23 e) Velika Britanija .................................................................................................. 23 f) Splošno v EU ...................................................................................................... 23 4.3 Bančni sektor kot gospodarski sektor, ki ni pojmovan kot sestavni del kritične infrastrukture – slovenski pogled ............................................................................... 24 5 POSNETEK KRITIČNE INFRASTRUKTURE SLOVENSKIH BANK............ 25 5.1 Kratka predstavitev bančnega sektorja ................................................................. 25 5.2 Lastniška struktura................................................................................................ 26 5.3 Organizacijska struktura ....................................................................................... 26 5.4 Zgradbe................................................................................................................. 30 5.5 Bančne poslovalnice ............................................................................................. 31 5.6 Hramba gotovine .................................................................................................. 31 5.7 Zakladništvo ......................................................................................................... 31 5.8 Bančni avtomati.................................................................................................... 33 5.9 Prevozi gotovine ................................................................................................... 33 5.10 Outsourcing – zunanje izvajanje dejavnosti ....................................................... 34 5.11 Rezervne lokacije poslovanja v kriznih razmerah .............................................. 37 6 VZPOSTAVITEV CELOSTNE VARNOSTNE POLITIKE IN PREPOZNAVNEGA VARNOSTNEGA MANAGEMENTA V SLOVENSKIH BANKAH....................................................................................................................... 39. Stran 3/90.

(4) 6.1 Varnostna politika kot krovni dokument sistema varovanja ................................ 39 6.2 Ocena ogroženosti in varnostnih tveganj kot temeljno izhodišče načrtovanja in izvajanja varnostnih ukrepov...................................................................................... 41 6.3 Načrtovanje varnostnega sistema z oceno ogroženosti ........................................ 43 6.4 Dvig statusa varnostnega managementa v slovenskih bankah ............................. 44 7 EMPIRIČNI DEL – RAZISKAVA.......................................................................... 46 7.1 Anketiranje ........................................................................................................... 46 7.2 Ureditev zbranih podatkov ter kvantitativna in kvalitativna analiza.................... 46 7.2.1 Dosedanje raziskovanje kritične infrastrukture ............................................. 46 7.2.2 Uredba o obveznem organiziranju službe varovanja..................................... 47 7.2.3 Kritična infrastruktura z vidika učinkovitega varovanja ............................... 48 7.2.4 Varnostni management in ustrezno upravljanje kritične infrastrukture ........ 49 7.2.5 Ranljivost kritične infrastrukture................................................................... 58 7.2.6 Elaborat o varovanju premoženja v skladu s Sklepom BS............................ 59 7.2.7 Načrt varovanja banke z vsemi potrebnimi prilogami .................................. 60 7.2.8 Ocena ogroženosti in varnostnih tveganj banke ............................................ 61 7.2.9 Zadovoljstvo s pogodbenim izvajalcem fizičnega varovanja........................ 62 7.2.10 Obvladovanje varnostnih tveganj ................................................................ 62 7.2.11 Dvig stopnje varnosti kritične infrastrukture in varnostne izboljšave......... 63 7.2.12 Umeščenost varnostnega managerja v banki............................................... 64 7.2.13 Interni nadzor nad kakovostjo varovanja banke .......................................... 65 7.2.14 Interni mehanizmi nadzora .......................................................................... 66 7.2.15 Zunanji nadzor varovanja ............................................................................ 67 7.2.15 Povezanost trditev vprašanja št. 4 ............................................................... 68 7.3 Testiranje (preveritev) domnev ............................................................................ 72 7.3.1 Preveritev prve domneve ............................................................................... 72 7.3.2 Preveritev druge domneve ............................................................................. 73 7.3.3 Preveritev tretje domneve.............................................................................. 73 8 SKLEPNE MISLI IN PRIPOROČILA................................................................... 74 9 ZAKLJUČEK ............................................................................................................ 76 10 LITERATURA IN VIRI ......................................................................................... 77 10.1 Literatura ............................................................................................................ 77 10.2 Viri...................................................................................................................... 79 11 PRILOGA – ANKETNI VPRAŠALNIK .............................................................. 82 DELOVNI ŽIVLJENJEPIS ........................................................................................ 89. Stran 4/90.

(5) KAZALO TABEL Tabela 1: Ali je že kdo raziskoval kritično infrastrukturo v vaši banki?........................ 46 Tabela 2: Kako ocenjujete dejstvo, da banke niso zavezanci obveznega organiziranja službe varovanja? ................................................................................................... 47 Tabela 3: Katere elemente bi označili kot kritično infrastrukturo z vidika varovanja vaše banke?..................................................................................................................... 48 Tabela 4: Varnostni management v naši banki je ustrezno strokovno podkovan?......... 49 Tabela 5: Varnostni management je v banki ustrezno umeščen..................................... 50 Tabela 6: Varnostni management se ustrezno izobražuje .............................................. 51 Tabela 7: Ustrezno plačilo za varnostni management v banki ....................................... 52 Tabela 8: Upoštevanje varnostnega managementa pri sprejemanju poslovnih odločitev ................................................................................................................................ 53 Tabela 9: Učinkovito upravljanje kritične infrastrukture ............................................... 54 Tabela 10: Upoštevanje kritične infrastrukture pri sprejemanju poslovnih odločitev.... 55 Tabela 11: Slovenska zakonodaj ustrezno ščiti bančno kritično infrastrukturo ............. 56 Tabela 12: Zaščita bančne kritične infrastrukture s strani banke ................................... 57 Tabela 13: Kako močno se strinjate z ranljivostjo KI? .................................................. 58 Tabela 14: Ali imate izdelan Elaborat o varovanju premoženja, skladno s sklepom BS? ................................................................................................................................ 59 Tabela 15: Ali imate izdelan načrt varovanja banke z vsemi potrebnimi prilogami? .... 60 Tabela 16: Ali imate izdelano celovito oceno ogroženosti in varnostnih tveganj banke? ................................................................................................................................ 61 Tabela 17: Ali ste zadovoljni z izvajalcem fizičnega varovanja? .................................. 62 Tabela 18: Kako obvladujete varnostna tveganja? ......................................................... 62 Tabela 19: Kako bi dvignili stopnjo varnostne kulture?................................................. 63 Tabela 20: Kje je umeščen varnostni manager v organizacijski strukturi banke?.......... 64 Tabela 21: Kdo izvaja interni nadzor nad kakovostjo varovanja banke? ....................... 65 Tabela 22: V kakšnem obsegu so v vaši banki vzpostavljeni interni mehanizmi nadzora? ................................................................................................................................ 66 Tabela 23: Kdo od zunanjih institucij nadzira kakovost varovanja?.............................. 67 Tabela 24: Spearmanov koeficient korelacije ................................................................ 69. KAZALO SLIK Slika 1: Poslovno enotna organizacijska struktura banke glede na vrsto bančnih storitev. (Johnson & Johnson, 1985) .................................................................................... 27 Slika 2: Organizacijska struktura sodobne banke........................................................... 30 Slika 3: Varnostni sistem banke ..................................................................................... 40 Slika 4: Strategije upravljanja s tveganji ........................................................................ 41. Stran 5/90.

(6) KAZALO GRAFOV Graf 1: Lastniška struktura bančnega sektorja na dan 31.12.2007................................. 26 Graf 2: Struktura odgovorov na vprašanje 1. ................................................................. 46 Graf 3: Struktura odgovorov na vprašanje 2. ................................................................. 47 Graf 4: Struktura odgovorov na vprašanje 3. ................................................................. 48 Graf 5: Struktura odgovorov na vprašanje 4.1. .............................................................. 49 Graf 6: Struktura odgovorov na vprašanje 4.2. .............................................................. 50 Graf 7: Struktura odgovorov na vprašanje 4.3. .............................................................. 51 Graf 8: Struktura odgovorov na vprašanje 4.4. .............................................................. 52 Graf 9: Struktura odgovorov na vprašanje 4.5. .............................................................. 53 Graf 10: Struktura odgovorov na vprašanje 4.6. ............................................................ 54 Graf 11: Struktura odgovorov na vprašanje 4.7. ............................................................ 55 Graf 12: Struktura odgovorov na vprašanje 4.8. ............................................................ 56 Graf 13: Struktura odgovorov na vprašanje 4.9. ............................................................ 57 Graf 14: Struktura odgovorov na vprašanje 5. ............................................................... 58 Graf 15: Struktura odgovorov na vprašanje 6. ............................................................... 59 Graf 16: Struktura odgovorov na vprašanje 7. ............................................................... 60 Graf 17: Struktura odgovorov na vprašanje 8. ............................................................... 61 Graf 18: Struktura odgovorov na vprašanje 9. ............................................................... 62 Graf 19. Struktura odgovorov na vprašanje 10............................................................... 63 Graf 20: Struktura odgovorov na vprašanje 11. ............................................................. 64 Graf 21: Struktura odgovorov na vprašanje 12. ............................................................. 65 Graf 22: Struktura odgovorov na vprašanje 13. ............................................................. 66 Graf 23: Struktura odgovorov na vprašanje 14. ............................................................. 66 Graf 24: Struktura odgovorov na vprašanje 15. ............................................................. 67. Stran 6/90.

(7) POVZETEK Številna evropska podjetja poslujejo prek državnih meja, zato zanje veljajo različne obveznosti ter različni standardi. V interesu držav članic EU je, da se vzpostavijo enotni standardi in ukrepi za zaščito kritične infrastrukture in da vsaka država članica EU zaščiti svojo nacionalno kritično infrastrukturo, vendar znotraj skupnega okvira, predvsem zaradi poenotenja in preglednosti ter s tem odprave velikega števila različnih metodologij in dodatnih stroškov, ki izhajajo prav iz nepreglednosti in nestandariziranih postopkov. Države članice EU so namreč na podlagi ustreznih kriterijev in metodologije dolžne določiti nacionalno kritično infrastrukturo in opredeliti, katera zaradi svoje dejavnosti lahko (in naj) sodi tudi v okvir evropske kritične infrastrukture. Poleg določitve kritične infrastrukture je dolžnost vsake države članice EU tudi razviti nacionalne programe za njeno zaščito. Vsaka lastniška/upravljavska struktura posamezne kritične infrastrukture mora imeti, poleg vodstvenih in poslovnih sposobnosti, tudi sposobnost upravljanja z varnostnimi tveganji, s katerimi lastnik/upravljavec obvladuje izredne dogodke, do katerih lahko pride na kritični infrastrukturi oziroma v njeni okolici. Rezultati raziskave kažejo na dejstvo, da varnostni management slovenskih bank neučinkovito upravlja kritično infrastrukturo, saj ima neustrezno mesto v organizacijski strukturi, ne glede na kompetentne organe nadzora. Vse to pa izhaja iz dejstva, da bančna infrastruktura nima prave teže na državnem nivoju, saj ni umeščena v nacionalno kritično infrastrukturo.. KLJUČNE BESEDE Kritična infrastruktura, varnostno tveganje, varnostni management, ocena ogroženosti, varnostna politika.. Stran 7/90.

(8) SUMMARY Many European companies are operating across national borders and are therefore subjects to different obligations and standards. It is in the interest of the EU Member States to establish uniform standards and measures for the protection of critical infrastructure and also that each Member State protects its national critical infrastructure. However, this should be done within a common framework, particularly because of the uniformity and transparency and furthermore the elimination of the large number of different methodologies and additional costs arising from the lack of transparent and standardized procedures. The EU Member States are obliged to define the national critical infrastructure on the basis of relevant criteria and methodologies and have to identify which activities may (and shall) fall into the framework of European critical infrastructure. In addition to the determination of critical infrastructure Member States are also obliged to develop national programmes for their protection. Each ownership/management structure of an individual critical infrastructure must have, in addition to managerial and business skills, the ability to manage the security risks, with which the owner/manager can take control over the abnormal events, which may occur on or around the critical infrastructure. The results of the research are suggesting the fact that the Slovene banks` security management does not manage the critical infrastructure efficiently, because it does not have an appropriate position within the organizational structure, regardless of the competent supervisory bodies. All this is a result of the fact that the bank infrastructure lacks significance on the national level, because it is not placed within the national critical infrastructure.. KEY WORDS Critical infrastructure, Security Risk, Security Management, Threat Assessment, Security policy.. Stran 8/90.

(9) 1 UVOD Za 21. stoletje so značilne nagle spremembe, ki prinašajo nova, kakor tudi raznovrstna varnostna tveganja, po drugi strani pa tudi nove priložnosti. Spremembe v mednarodnem političnem in varnostnem okolju, preoblikovanje bipolarne svetovne ureditve, pospešeno združevanje v evropskem prostoru in tranzicijski procesi v nekdanjih socialističnih državah, zmanjšanje verjetnosti oboroženega spopada svetovnih razsežnosti, pojav novih virov ogrožanja, posledice globalizacije gospodarstva, tehnološki napredek, okoljevarstveni problemi, revščina, ksenofobija, rasizem ipd. postajajo javni problemi, ki jih je možno reševati le na globalni ravni ter predstavljajo izzive za vsako državo, ki želi imeti aktivno vlogo v mednarodnem okolju. Vse te spremembe vplivajo tudi na porast težav, predvsem socialnih, ekonomskih, migracijskih, humanitarnih, ki že nekaj časa bolj ali manj presegajo meje nacionalnih držav in v določenih primerih tudi meje kontinentov (Scott, Jackson, 2004). S koncem obdobja hladne vojne in tradicionalne blokovske delitve sveta so dotedanje grožnje varnosti nadomestila nova varnostna tveganja in asimetrične varnostne grožnje, ki porajajo različne vidike občutljivosti in ranljivosti držav ter posledično zmanjšujejo njihovo varnost. Če je včasih vse temeljilo na vojaških virih ogrožanja, danes vse bolj vidno vlogo dobivajo nevojaški viri, ki pa lahko, prav tako kot vojna, močno ogrozijo države in družbe. Nevojaški viri ogrožanja so danes medsebojno mednarodno povezani, odvisni in delujejo na vseh ravneh družbenega življenja, torej na politični, ekonomski, vojaški, gospodarski ravni, ravni notranje varnosti ipd. Med nevojaške vire ogrožanja notranje varnosti, s katerimi se tudi Slovenija neposredno ali posredno sooča, danes uvrščamo organizirani kriminal, terorizem, asimetrične grožnje, ilegalne migracije, posedovanje, širjenje in trgovanje s sredstvi za množično uničenje, trgovino z ljudmi, orožjem in mamili, pranje denarja, ogrožanje kritične infrastrukture, naravne in druge nesreče. Ogrožanje notranje varnosti pa predstavljajo tudi splošne, gospodarske in posebne oblike kriminalitete. Skupni imenovalec omenjenih groženj je to, da jih povzročajo nedržavni, tako imenovani razpršeni dejavniki, katere podpirajo nekatere države, iz tako imenovane svetovne periferije, usmerjene pa so predvsem na državne institucije, komunikacije, infrastrukturo, ozemlje ter prebivalstvo posameznih držav. Značilnost sodobnih Stran 9/90.

(10) varnostnih groženj pa je tudi njihova nadnacionalna narava, zato je za odzivanje nanje zelo pomembno medsebojno sodelovanje med državami v okviru sistemov kolektivne varnosti in obrambe (Prezelj, 2005). Prav zaradi potencialnega ogrožanja je na območju EU v letu 2005 nastal program za zaščito kritične infrastrukture, ki temelji na pristopu upoštevanja vseh nevarnosti, s prednostno nalogo preprečevanja groženj terorizma. Vzporedno s tem je nujno potrebno upoštevati tudi ostale dejavnike ogrožanja kot so človeški, tehnološki in naravne nesreče. Vse to velja tudi za bančni in finančni sektor, ki sta po evropskih merilih sestavni del kritične infrastrukture.. Stran 10/90.

(11) 2 METODOLOŠKI PRISTOP. 2.1 Oris problematike – PROBLEM Različni izredni dogodki varnostne, poslovne, logistične ali politične narave lahko prizadenejo vsako podjetje, poslovni sistem, koncern, korporacijo ali državni organ. Za obvladovanje izrednih dogodkov morajo biti gospodarski in državni subjekti pripravljeni, da posledice tovrstnih dogodkov, ki lahko pustijo nedopustne prekinitve obratovanja in poslovanja zmanjšajo na poslovno sprejemljivo raven (Vršec, 2003). Poseben pomen v tem kontekstu pripada kritični infrastrukturi, ki jo predstavljajo tisti obrati, omrežja, storitve, premoženje, informacijska in telekomunikacijska tehnologija, katerih okvara, poškodovanje ali uničenje bi resno vplivalo na industrijsko, gospodarsko in poslovno varnost, zdravje in varnost državljanov ali na učinkovito delovanje državnih institucij. Kritične infrastrukture zajemajo številne sektorje gospodarstva, tudi bančništvo in finance, promet in dostavo, energetiko, komunalne storitve, zdravstvo, oskrbo s hrano in komunikacijami, kot tudi ključne državne službe. Nekateri kritični elementi v teh sektorjih strogo rečeno niso „infrastruktura“, temveč so dejansko omrežja ali dobavne verige, ki podpirajo oskrbo s ključnimi proizvodi ali storitvami. Na primer oskrba s hrano ali vodo v naših večjih mestnih središčih je odvisna od nekaj ključnih obratov, toda tudi od kompleksne mreže proizvajalcev, predelovalcev, izdelovalcev, distributerjev in trgovcev na drobno. Evropske kritične infrastrukture so izredno povezane in visoko soodvisne. K temu stanju so prispevali gospodarsko združevanje, industrijska racionalizacija, učinkovite poslovne prakse, kot je proizvodnja in distribucija ravno ob pravem času, ter koncentracija prebivalstva v urbanih območjih. Evropske kritične infrastrukture so postale bolj odvisne od skupnih informacijskih tehnologij, vključno z internetom, vesoljsko radijsko in satelitsko navigacijo in telekomunikacijami. Težave se lahko širijo skozi te soodvisne infrastrukture in pri tem povzročajo nepričakovane in vedno resnejše odpovedi delov gospodarskih sektorjev in temeljnih javnih služb. Zaradi medsebojne povezanosti in soodvisnosti so te infrastrukture bolj ranljive za motnje ali uničenje.. Stran 11/90.

(12) Potrebno je raziskovati merila za določanje faktorjev, zaradi katerih je določena infrastruktura ali element infrastrukture kritičen. Ta merila za izbor morajo temeljiti tudi na sektorskih in kolektivnih izkušnjah. Osrednje področje mojega raziskovanja je kritična infrastruktura slovenskih bank, kot izhodišče za uvajanje varnostnih izboljšav v poslovne procese bank. Magistrsko delo posega na gospodarsko področje bančništva (ožje), oziroma na področje finančnih institucij (širše). Namen magistrskega dela je predvsem, da na podlagi teoretičnih in empiričnih spoznanj, obogatenih s konkretnim pregledom v slovenskih bankah, ugotovim kritično infrastrukturo ter opozorim na nujnost izboljšav na področju varovanja bank. V tem kontekstu želim opozoriti tudi na pojmovanje nekaterih državnih institucij, da finančne ustanove niso del državne kritične infrastrukture kot tudi niso zavezanci glede obveznega organiziranja službe varovanja. Takšno pojmovanje ni v skladu z dejstvom, da je bančni sektor eden od kapitalno najmočnejših gospodarskih sektorjev, ki ga je zajela globalna finančna kriza in ki potrebuje učinkovite varnostne mehanizme. Cilj magistrskega dela je, da na podlagi posnetka in analize obstoječega stanja bančne infrastrukture in poslovnih procesov, podam uporaben model uvajanja varnostnih izboljšav v poslovne procese bank. Iz namena in cilja izhajajo naslednje teze: Bančni sektor mora postati del državne »kritične infrastrukture«, saj lahko prekinjen finančni tok pomeni resno grožnjo celotnemu slovenskemu gospodarstvu; Bančni sektor mora imeti kompetentne organe nadzora, saj bo le tako dvignil nivo varovanja in vzpostavil pogoje za obvladovanje poslovnih in varnostnih tveganj;. Stran 12/90.

(13) Varnostni management bančnih institucij mora biti umeščen na najvišji nivo upravljanja in odločanja, saj bo le tako lahko zagotovljen najvišji nivo varnosti.. 2.2 Domneve 2.2.1 Prva domneva. Na podlagi množice različnih metodologij upravljanja z varnostno problematiko in zelo razširjeno mrežo infrastrukture je v slovenskih bankah vzpostavljen projekt varnostnega managementa, ki pa v celoti ne vključuje varnostnega obvladovanja kritične infrastrukture. Iz tega izhaja trditev, da varnostni management v slovenskih bankah ni na zadovoljivem nivoju in kot tak ni zadostna podlaga učinkovitemu upravljanju varovanja kritične infrastrukture slovenskih bank. To pomeni, da med varnostnim managementom slovenskih bank in učinkovitim upravljanjem kritične infrastrukture slovenskih bank ne obstaja tesna temveč ohlapna povezanost.. 2.2.2 Druga domneva. Bančni sektor mora imeti kompetentne organe nadzora, saj bo le tako dvignil nivo varovanja in vzpostavil pogoje za obvladovanje poslovnih in varnostnih tveganj. Varnostni management v finančnih institucijah mora biti umeščen neposredno pod upravo (skladno z Minimalnimi priporočili za varnost bančnega poslovanja na področju varovanja oseb in premoženja). Iz opisane domneve lahko predpostavimo, da slovenski bančni sektor ima kompetentne organe nadzora, vendar varnostni management nima ustreznega mesta v organizacijski strukturi posamezne banke (razen redkih izjem).. Stran 13/90.

(14) 2.2.3 Tretja domneva. Slovenske banke in Banka Slovenije, kot eden od kreatorjev bančne poslovne in varnostne politike nimajo izdelane celovite ocene ranljivosti in ogroženosti, ne glede na izdelano varnostno politiko posameznih bank. Velika pomanjkljivost je tudi, da slovenski bančni sektor in finančne ustanove niso umeščene med »kritično infrastrukturo«. Opisano domnevno stanje daje podlago za trditev, da bančna infrastruktura v Sloveniji nima prave teže na državnem nivoju, kar otežuje uvajanje varnostnih izboljšav v poslovne procese bank.. 2.2.4 Omejitve. V obdelavi problema sem naletel na naslednje omejitve: v obdelavi problema je zajeta večina slovenskih bank, vendar pomeni varnostna situacija v posameznih bankah tveganje razkritja zaupnih informacij. Pri obdelavi problematike je bilo potrebno upoštevati zakonske določbe in notranje akte o varovanju osebnih in tajnih podatkov ter akte o varovanju poslovnih skrivnosti. Ena od težav je bil prav gotovo tudi omejen dostop do določenih občutljivih podatkov poslovne narave in nepripravljenost nekaterih odgovornih oseb slovenskih bank, s katerimi je bila opravljena anketa.. 2.3 Metode raziskovalnega dela Uporabljene metode raziskovanja: pregled in študij domače in tuje literature, ki se nanaša na varnostne sisteme, varnostni management, ocenjevanje ogroženosti in tveganj, krizni management, kritično infrastrukturo; obdelava problema po metodi od splošnega h konkretnemu; Stran 14/90.

(15) intervju in anketa z odgovornimi osebami za varnost slovenskih bank; kvantitativna analiza (uporaba multivariatnih statističnih metod – korelacijska analiza in druge); kvalitativna analiza zbranih podatkov; sinteza ugotovitev, spoznanj in dognanj; pretehtana priprava predlogov izboljšav.. Stran 15/90.

(16) 3 OPREDELITEV KLJUČNIH POJMOV Kritično infrastrukturo si lahko predstavljamo kot mrežo neodvisnih, večinoma zasebnih, antropogenih sistemov in procesov, ki delujejo skupaj in s sinergijskimi učinki z namenom ustvarjanja in usmerjanja stalnega toka pomembnih dobrin in storitev. Torej gre za sisteme in sredstva, fizična ali navidezna, katerih onesposobitev ali uničenje bi imela določen učinek na nacionalno varnost v vseh njenih prvinah. Izhajajoč iz tega gre, poleg same infrastrukture oziroma objekta, tudi za storitve, ki jih infrastruktura nudi oziroma zagotavlja (Dunn,Wigert, 2004). Izhajajoč iz temeljnega pojma je EU v predlogu Direktive Sveta o ugotavljanju in določanju evropske kritične infrastrukture ter o oceni potrebe za izboljšanje njenega varovanja (v nadaljevanju Direktiva) opredelil tudi termin evropska kritična infrastruktura, ki obsega elemente, katerih okvara ali uničenje bi resno vplivala na dve ali več držav članic EU oziroma na eno članico, če je kritična infrastruktura v drugi državi članici. Pomembnost vpliva se oceni skladno z medresorskimi merili. To vključuje tudi vplive, ki izhajajo iz medresorskih odvisnosti od drugih vrst infrastrukture (Direktiva, 2008). V tem kontekstu so v Direktivi pomembne še naslednje opredelitve: o Analiza tveganja pomeni obravnavo ustreznih scenarijev nevarnosti z namenom ocenitve šibkih točk in morebitne posledice okvare ali uničenja kritične infrastrukture. o Občutljive informacije, povezane z varovanjem kritične infrastrukture, pomenijo dejstva o kritični infrastrukturi, katerih razkritje bi se lahko uporabilo za načrtovanje povzročitve okvare ali uničenja objektov kritične infrastrukture in delovanje s tem namenom. o Varovanje pomeni vse dejavnosti, katerih namen je zagotavljati funkcionalnost, kontinuiteto in integriteto kritične infrastrukture z namenom preprečitve, ublažitve in nevtraliziranja nevarnosti, tveganja in šibkih točk.. Stran 16/90.

(17) Kriza je stanje, dogodek ali proces v državi ali zunaj nje, ki predstavlja resno grožnjo temeljnim nacionalnim interesom, družbenim vrednotam in normam in ki ga ni mogoče obvladovati z običajnimi sredstvi in dejavnostmi nacionalne varnosti in njenih podsistemov, temveč zahteva angažiranje kriznega upravljanja. Značilnosti krize sta negotovost razmer in relativno kratek čas za ukrepanje, zato so preprečevanje kriz, priprave na delovanje v krizi, soočanje s posledicami krize in sanacija nastalih razmer skupni vsem področjem zagotavljanja nacionalne in mednarodne varnosti. Krizno upravljanje predstavlja proces, s katerim se vzpostavljajo enotna načela, mehanizmi in ukrepi za enotno in učinkovito odzivanje na krize (Furlan in sodelavci, 2006).. Stran 17/90.

(18) 4 KRITIČNA INFRASTRUKTURA Kritično infrastrukturo predstavljajo tisti obrati, omrežja, storitve in premoženja fizične in informacijske tehnologije, katerih okvara ali uničenje bi resno vplivalo na zdravje, varnost ali gospodarsko blaginjo državljanov ali na učinkovito delovanje vlad držav članic. Kritične infrastrukture zajemajo številne sektorje gospodarstva, tudi bančništvo in finance, promet in dostavo, energetiko, komunalne storitve, zdravstvo, oskrbo s hrano in komunikacijami, kot tudi ključne državne službe. Nekateri kritični elementi v teh sektorjih strogo rečeno niso „infrastruktura“, temveč so dejansko omrežja ali dobavne verige, ki podpirajo oskrbo s ključnimi proizvodi ali storitvami. Na primer oskrba s hrano ali vodo v naših večjih mestnih središčih je odvisna od nekaj ključnih obratov, toda. tudi. od. kompleksne. mreže. proizvajalcev,. predelovalcev,. izdelovalcev,. distributerjev in trgovcev na drobno. Kritična infrastruktura vključuje: energetske naprave in omrežja (npr. proizvodnja električne energije, nafte in plina, skladišča in rafinerije ter prenosni in distribucijski sistem); komunikacijska. in. informacijska. tehnologija. (npr.. telekomunikacije,. radiodifuzijski sistemi, programska oprema, strojna oprema in omrežja, vključno z internetom); finance (npr. bančništvo, vrednostni papirji in naložbe); zdravstvo (npr. bolnice, zdravstvene ustanove, ustanove za oskrbo s krvjo, laboratoriji in lekarne, službe za iskanje in reševanje, službe za ukrepanje ob izrednih dogodkih); hrana (npr. varnost, proizvodna sredstva, prodaja na debelo in prehrambena industrija); voda (npr. jezovi, skladiščenje, čiščenje in omrežja); prevoz (npr. letališča, pristanišča, intermodalni objekti, železnice, omrežja javnega prevoza, sistemi kontrole prometa); proizvodnja, skladiščenje in prevoz nevarnih snovi (npr. kemične, biološke, radiološke in jedrske snovi); vlada (npr. kritične službe, ustanove, informacijska omrežja, premoženja in ključna nacionalna mesta in spomeniki). Stran 18/90.

(19) Potrebno je raziskovati merila za določanje faktorjev, zaradi katerih je določena infrastruktura ali element infrastrukture kritičen. Ta merila za izbor morajo temeljiti tudi na sektorskih in kolektivnih izkušnjah. Za ugotavljanje potencialno kritične infrastrukture so primerni trije dejavniki: domet – izguba elementa kritične infrastrukture se oceni glede na geografski obseg območja, ki bi bilo prizadeto ob izgubi ali nedostopnosti – mednarodni, državni, pokrajinski/teritorialni ali lokalni. obseg – stopnja vpliva ali izgube se lahko oceni kot nična, minimalna, zmerna ali velika. Vplivni dejavniki, ki bi se lahko uporabili za oceno potencialnega obsega, so: o posledice za prebivalstvo (število prizadetega prebivalstva, izguba življenja, bolezni, resne poškodbe, evakuacija); o gospodarstvo (vpliv na BDP, velikost gospodarske izgube in/ali poslabšanja proizvodov ali storitev); o okolje (vpliv na javnost in okoliško območje); o soodvisnost (med elementi kritične infrastrukture); o politične posledice (zaupanje v sposobnost oblasti - vlade); časovni učinek – to merilo ugotavlja, na kateri točki bi izguba elementa imela resne posledice (t.j. takoj, v 24-48 urah, po enem tednu, drugo) (Green paper on a European programm for critical infrastructure protection, 2005).. 4.1 Predstavitev Evropskega programa zaščite kritične infrastrukture Glede na veliko število potencialno kritične infrastrukture in njihovih posebnih značilnosti je nemogoče vse varovati z ukrepi na evropski ravni. Z uporabo načela subsidiarnosti mora Evropa osredotočiti svoja prizadevanja na varovanje infrastrukture s čezmejnim učinkom in prepustiti ostale v pristojnost držav članic, toda v skupnem okviru.. Stran 19/90.

(20) Obstajajo že številne direktive in uredbe, ki določajo načine za zaznavanje nesreč, vzpostavljanje intervencijskih načrtov in sodelovanje s civilno zaščito, redne vaje in jasne povezave med različnimi intervencijskimi ravnmi, javnimi službami, centralnimi organizacijami in službami za ukrepanje ob izrednih dogodkih. Po drugi strani je potrebno še veliko storiti na področju varovanja energetskih naprav, ki niso jedrske. Evropske institucije želijo s programi in uredbami ter drugimi instrumenti usmerjati razvoj varnostnih mehanizmov v industriji in gospodarstvu ter vladam držav članic na vseh ravneh EU pomagati pri izvajanju njihovih individualnih nalog, pooblastil in odgovornosti. EPCIP 1 spodbuja stalen forum, kjer se lahko omejitve konkurence, odgovornosti in občutljivosti podatkov uravnotežijo s prednostmi bolj varne kritične infrastrukture. V tem postopku se naj redno posvetuje z industrijo. Partnerjem se omogoča razpolaganje z večjo količino podatkov o posameznih grožnjah, kar jim omogoča ukrepati in obravnavati možne posledice. Obveznost in odgovornost lastnikov in upravljavcev za sprejemanje lastnih odločitev in načrtov za varovanje svojega premoženja morata ostati nespremenjeni. Ob omembi groženj nacionalni varnosti kritični infrastrukturi, vključno s terorizmom, je potrebna previdnost, da se prepreči neupravičen strah znotraj EU, kot tudi med potencialnimi turisti in vlagatelji. Terorizem predstavlja stalno grožnjo, toda naloga oblikovalcev politike je bila spodbujanje vseh, da, kar se da nemoteno nadaljujejo s svojimi življenji. Potrebno je bilo zagotoviti tudi spoštovanje pravic do zasebnosti, znotraj in zunaj Unije. Potrošniki in izvajalci morajo imeti zaupanje v to, da bodo podatki obravnavani pravilno, zaupno, zanesljivo in v mejah dogovorjenih meril. Nujno je potreben ustrezen sistem upravljanja s podatki, da se z zaupnimi podatki ravna pravilno in da so varni pred nedovoljeno uporabo ali razkritjem. Veliko kritične infrastrukture EU in držav članic presega meje EU. Naftovodi, plinovodi in prenosno elektroenergetsko omrežje potujejo čez cele kontinente; kabli, ključni za storitve informacijsko-telekomunikacijske tehnologije, so zakopani globoko na dnu 1. EPCIP – European programme for Critical Infrastructure Protection (evropski program zaščite kritične infrastrukture). Stran 20/90.

(21) oceanov itd. To pomeni, da je mednarodno sodelovanje nujen sestavni del vzpostavljanja trajnih, dinamičnih nacionalnih in mednarodnih partnerstev med lastniki/upravljavci kritične infrastrukture in vladami tretjih držav, zlasti neposrednimi dobavitelji energentov v Unijo. Varovanje kritične infrastrukture zahteva aktivno sodelovanje lastnikov in upravljavcev infrastrukture, zakonodajalcev, strokovnih teles, gospodarskih združenj, držav članic in Komisije. Na podlagi podatkov vmesnikov držav članic in mreže, so cilji EPCIP nadaljevanje z ugotavljanjem kritične infrastrukture, analiza ranljivosti in soodvisnosti ter predlaganje rešitev za varovanje pred vsemi nevarnostmi in pripravljenost nanje. To vključuje pomoč industriji pri razumevanju spremenljivk groženj in posledic v svojih ocenah tveganja. Organi kazenskega pregona držav članic in mehanizmi civilne zaščite morajo zagotoviti, da je EPCIP sestavni del njihovega načrtovanja in dvigovanja zavesti. Lastniki in upravljavci kritične infrastrukture zagotavljajo ustrezno varnost svojega premoženja z aktivnim izvajanjem svojih varnostnih načrtov in izvajanjem rednih inšpekcijskih pregledov, vaj, ocen in načrtov. Cilj EPCIP je v celotni Uniji zagotoviti ustrezne in enake stopnje varnosti in zaščite varnostno vitalnih točk na kritični infrastrukturi, obvladovanje varnostnih tveganj, odpravljanje šibkih členov v verigi varnostnih mehanizmov ter hitro, strokovno in preverjeno ukrepanje v procesu odpravljanja posledic izrednih dogodkov. Aktivnosti EPCIP v sistemu stalnega izboljševanja varnostnih mehanizmov v kritični infrastrukturi predstavljajo kontinuiran proces. V tem kontekstu so potrebne redne revizije na ravni EU kot tudi na ravni posameznih članic, da bodo evropske institucije na tekočem s stanjem varnosti v celotni strukturi evropske kritične infrastrukture. Uspešnost implementacije EPCIP se bo merila z: ugotavljanjem (evidentiranjem) kritičnih infrastruktur in uvedbo seznamov s strani držav članic znotraj njihovih pristojnosti in v skladu s prednostmi, ki jih bo določil EPCIP;. Stran 21/90.

(22) sodelovanjem podjetij znotraj sektorjev in z državami z namenom skupne uporabe podatkov in zmanjševanja verjetnosti incidentov, ki bi povzročili široko in dolgo motnjo kritičnih infrastruktur; zavezanostjo Evropske skupnosti, da bo vzpostavila skupen pristop k obravnavanju varnosti kritične infrastrukture s sodelovanjem vseh javnih in zasebnih subjektov.. 4.2 Bančni sektor kot sestavni del kritične infrastrukture – evropski pogled Podrobneje sem pregledal kritično infrastrukturo petih evropski držav in sicer: Francije, Nemčije, Velike Britanije, Švice in Nizozemske. a) Francija. Francija ima skupaj 9 kritičnih sektorjev, ti so: bančništvo in finance, kemična in biotehnološka industrija, energija in elektrika, nuklearne postaje, javno zdravstvo, javna varnost in red, telekomunikacije, transport in zaloge vode (Abbele-Wigert in Dunn, 2006).. b) Nemčija. Nemčija ima 8 ključnih kritičnih sektorjev in 32 podsektorjev. Med ključne sektorje uvršča: transport in promet, energijo, pomembne materiale, telekomunikacije in informacijsko tehnologijo, finance in zavarovanje, različne službe, javno administracijo in pravni sistem ter nazadnje še kritični sektor ostalo (mediji, …) (Office for Security in the Information Tehnology, 2007).. c) Nizozemska. Nizozemska opredeljuje 12 ključnih sektorjev ter 33 podsektorjev. Ključni sektorji so naslednji: zaloge pitne vode, energija, finance, hrana, zdravje, zakonski red, javni red in. Stran 22/90.

(23) varnost, zadrževanje in vodenje nadgladinskih voda, telekomunikacije, javna administracija, transport ter kemična in nuklearna medicina (Ministry of interior and kingdom relations, 2003).. d) Švica. Švica je natančno opredelila 10 kritičnih sektorjev in 31 podsektorjev. Njeni ključni sektorji so: javna administracija, splošna varnost, reševanje in prva pomoč, informacijska in telekomunikacijska tehnologija, energija, finančna služba, kemijska industrija, odlaganje odpadkov, splošno zdravstvo, transport ter hrana in voda (The Swiss Programme on Critical Infrastructure Protection, 2008).. e) Velika Britanija. Velika Britanija podobno kot Švica opredeljuje 10 kritičnih sektorjev in 39 podsektorjev. Njeni kritični sektorji so naslednji: komunikacije, prva pomoč, energija, finance, hrana, vlada in javne službe, varnost javnosti, zdravje, transport in voda (Home Office Security, 2005).. f) Splošno v EU. Z namenom, da bi zaščitili kritično infrastrukturo v Evropski uniji, je Evropski svet leta 2004 podal predlog za razvoj Evropskega programa za zaščito kritične infrastrukture, ki poudarja, da imajo različni sektorji različne izkušnje, strokovne podlage in zahteve glede zaščite kritične infrastrukture, in se bo razvijal na osnovi identifikacije posameznih kritičnih sektorjev. Tako bo implementiral dogovorjen seznam sistema zaščite kritičnih sektorjev. S tega vidika ima EU 11 kritičnih sektorjev (EPCIP 2006). Že leta 2005 so v EU z izdajo Zelenega lista na CIP 2 razčlenili seznam ključnih sektorjev v podsektorje. Unija tako predlaga naslednje kritične sektorje: energijo, informacijsko in komunikacijsko tehnologijo, vodo, hrano, zdravje, finance, javnost in. 2. »Zeleni list« služi kot možnost reakcije Komisije na pobudo Evropskega sveta za ustanovitev EPCIP (Green paper, 2005).. Stran 23/90.

(24) legalni red ter varnost, civilno administracijo, transport, kemično in nuklearno industrijo ter vesolje in raziskave (Green paper on CIP, 2005).. 4.3 Bančni sektor kot gospodarski sektor, ki ni pojmovan kot sestavni del kritične infrastrukture – slovenski pogled Bančni sektor v Sloveniji ni pojmovan kot sestavni del kritične infrastrukture. Zaradi takšne umestitve v Sloveniji prihaja do situacij, ko se organi nadzora izključujejo iz aktivnega varovanja finančnih institucij (ukinjen direkten priklop finančnih ustanov na OKC Policije) in tako prehajajo na nivo pasivnega varovanja. Varovanje finančnih ustanov je s tem preneseno na lastno varovanje in na zasebnovarnostna podjetja z zelo omejenimi pooblastili in pravicami. Posredno je Policija z Uredbo o obveznem organiziranju službe varovanja (Uradni list RS, št. 43/2008) izgubila zakonsko podlago za aktivno vlogo v varovanju in se sedaj samo posredno vključuje v organizirano varovanje finančnih institucij, neposredno pa, ko gre za izredne dogodke. Predstavljamo si lahko, kaj bi izpad finančnega sektorja pomenil za gospodarstvo in druge sektorje ter za prebivalstvo Slovenije. Zato je nerazumljivo, da kompetentne institucije bančnega oziroma finančnega sektorja niso uvrstile v seznam družb, ki so obvezne organizirati službo varovanja. S tem je posredno povedano, da bančni (ožje) in finančni (širše) sektor ne sodi v kritično infrastrukturo.. Stran 24/90.

(25) 5 POSNETEK KRITIČNE INFRASTRUKTURE SLOVENSKIH BANK. 5.1 Kratka predstavitev bančnega sektorja Opredelitve bank se razlikujejo glede na kriterij, po katerem jih definiramo (finančni, pravni kriterij). Finančne opredelitve avtorjev poudarjajo vlogo bank pri finančnem posredništvu, razlikujejo pa se glede podrobnosti opredelitev. Ribnikar in Mramor banke opredelita kot denarne finančne posrednike, ki posredujejo med ekonomskimi celicami s finančnimi presežki in finančnimi primanjkljaji ter s tem sodelujejo v procesu multiplikacije denarja (Ribnikar, 1996 in Mramor, 1993). Ribnikar podrobneje označi banko z njeno osnovno funkcijo sprejemanja vlog, ki jih štejemo k denarju in dajanja posojil. Vendar pa so banke denarni finančni posredniki le v manjšem obsegu, saj vedno bolj opravljajo tudi izvedene (nedenarne) bančne posle (Ribnikar, 1996). Johnson in Johnson prav tako poudarita razširitev ponudbe bančnih storitev izven klasičnih okvirov kreditno-depozitnega posredništva. Banke opredelita kot tradicionalno depozitne institucije, ki odobravajo posojila. Vendar pa hkrati poudarita vedno večje prepletanje dejavnosti bančnih in nebančnih finančnih institucij. Zato banko širše definirata kot finančnega posrednika, ki zagotavlja proizvode s področja finančnih storitev (Johnson & Johnson, 1985). Pravna opredelitev banke pa se osredotoči na pomen nadzora poslovanja bank in pogoje, ki jih mora banka izpolnjevati za poslovanje. Slovenski Zakon o bančništvu v 13. členu tako banko opredeli kot pravno osebo, ki opravlja bančne storitve na podlagi dovoljenja pristojnega nadzornega organa za opravljanje teh storitev. (Zakon o bančništvu, 2006). V magistrskem delu uporabljam izraz poslovna banka kot nasprotje centralne banke, v smislu univerzalne banke, ki opravlja posle komercialnega in investicijskega bančništva, za razliko od različnih oblik specializiranih bank, ki so prisotne v tujini (hipotekarne banke, investicijske banke, itd.), saj bodo v nadaljevanju dela obravnavane slovenske banke, za katere je značilno, da izvajajo univerzalne bančne storitve. Stran 25/90.

(26) 5.2 Lastniška struktura. Graf 1: Lastniška struktura bančnega sektorja na dan 31.12.2007 Vir:Združenje bank Slovenije http://zbsw.gooya.si/zdruzenje-bank.asp?StructureId=478. 5.3 Organizacijska struktura Gray in Harvey ugotavljata, da so banke pri načinu svojega organiziranja prevzele »vojaški« hierarhični model organizacijske strukture, ki je uspešno deloval stoletja. Tipična banka se organizira tako, da je na vrhu strukture glavni ravnatelj, spodaj pa delavci (blagajniki, referenti). Nad njimi se razvije ravnalna struktura (ravnalci, specialisti), ki zaposluje novo osebje in utrjuje svoj položaj. Če je banka uspešna, se odpirajo vedno nove podružnice z novimi ravnatelji. Dodajajo se novi specialisti, nove podružnice, novo osebje. Kadar glavni ravnatelj vsega sam ne zmore več nadzirati, doda nov ravnalni sloj in na tak način se izoblikuje razvejana organizacijska struktura (Gray, Harvey, 1992). Organizacijska struktura banke je predvsem odvisna od velikosti, vrste ponujenih storitev ter pravnih omejitev v posamezni državi. Večje banke z velikimi komitenti, ki ponujajo široko paleto bančnih storitev, to raznovrstnost odsevajo tudi v svoji organizacijski strukturi. Pri manjših bankah pa je zoženemu obsegu storitev prilagojena tudi organizacijska struktura. Univerzalna struktura bank, ki bi ustrezala vsem poslovnim situacijam, ne obstaja. Banke organizirajo svoje funkcije tako, da zadovoljijo potrebe komitentov oziroma da Stran 26/90.

(27) izkoriščajo znanje in sposobnosti zaposlenih. Vsaka organizacijska struktura odseva pogled, ki ga ima ravnateljstvo na učinkovito ravnanje banke, pretežno pa izhajajo iz poslovno. enotne. organizacijske. strukture,. ki. jo. nadgrajujejo. s. prvinami. projektnomatrične, vodoravne in tudi mrežne organizacijske strukture (Johnson & Johnson, 1985). Posamične vrste tradicionalnih bančnih organizacijskih struktur navedena avtorja sistemizirata po kriteriju poslovnih enot in centralizacije. Najstarejša in najpogostejša organizacijska struktura je nastala z oblikovanjem oddelkov glede na storitve, ki jih banka izvaja. Sprva je imela banka po mnenju avtorjev tri glavne naloge: odobravanje posojil, investiranje v vrednostne papirje ter podporo poslovanja (zbiranje sredstev, spremljanje poslov). Ko se je banka širila, je ločevala izvajanje glavnih nalog po enotah, ki so se specializirale za posamezno dejavnost. Oblikovala se je poslovno enotna organizacijska struktura, kjer se je izvajanje posameznih bančnih storitev ločilo po poslovnih enotah (sektorji, oddelki, službe, itd.), z namenom, da bi dobili celovitejšo sliko prispevka določenega področja poslovanja k uspehu banke (Johnson & Johnson, 1985). Na Sliki 1 je predstavljena poslovno enotna organizacijska struktura banke glede na vrsto bančnih storitev, kjer vsaka enota samostojno izvaja svojo specializirano dejavnost ter spremljevalne podporne dejavnosti za različne skupine komitentov. Delno je zaradi prisotnosti štabne službe, ki izvaja splošno administracijo na nivoju celotne banke, organizacijska struktura mešana. Glavni ravnatelj. Splošna administracija. Mednarodno poslovanje. Posojila. Depoziti. Investicijsko bančništvo. Finance in kontroling. Podpora poslovanja. Slika 1: Poslovno enotna organizacijska struktura banke glede na vrsto bančnih storitev. (Johnson & Johnson, 1985). Stran 27/90.

(28) Na podlagi mednarodne širitve poslovanja so se banke tudi geografsko diverzificirale. V organizacijsko strukturo so poleg poslovnih enot, glede na kriterij bančnih storitev ali komitentov, ki so delovale lokalno, vključile tudi geografske izpostave in podružnice, ki so samostojno delovale na določenem področju. Kot drugi glavni vidik oblikovanja organizacijske strukture banke pa Johnson in Johnson opredelita centralizacijo in decentralizacijo odločanja, kar ravnateljem omogoča različno stopnjo samostojnosti (Johnson & Johnson, 1985). Vsaka banka se o stopnji centralizacije oziroma decentralizacije odloča na podlagi njunega vpliva na doseganje ciljev. Z vidika centralizacije oziroma decentralizacije je možnih več različic bančne organizacije. Kadar večina avtoritete in odločanja ostane na nivoju centrale, podružnice pa le izvajajo njene usmeritve, takšna ureditev vodi do koncentracije strokovnjakov (ceneje je imeti nekaj strokovnjakov v centrali kot v vsaki podružnici), zmanjševanja potrebe po usposabljanju (ob manjši potrebi po strokovnem znanju je v podružnicah potrebnega manj usposabljanja), povečevanja nadzora (vse odločitve so centralizirane, kar olajšuje nadzor odločevalcev), zmanjšanja potrebe po posredovanju podatkov (zaradi centralizacije so vsi podatki zbrani na enem mestu). Vendar pa takšna organizacija zmanjšuje raznolikost storitev v podružnici saj primanjkuje ustreznega znanja, podaljšuje se čas izvajanja storitev (zaradi vsakokratnega posvetovanja s centralo), povečuje se nezadovoljstvo strank (ne morejo se pogovoriti s tistim, ki odloča), centrala ima manj zanimanja za lokalno skupnost (ovira delo podružnice, ker ne živi s krajem) in hkrati nastajajo komunikacijske težave ter podvajanje nadzora. V nasprotnem primeru, kadar večina avtoritete in odločanja ostane na nivoju podružnic, centrala pa le izvaja svetovanje, nadzor in poročanje, ohranitev samostojnosti podružnici omogoča širok izbor storitev, njihovo hitro izvedbo storitev, osebni pristop k izvedbi storitev zaradi poznavanja lokalnih navad, kar vodi do povečanega zaupanja v banko zaradi poznavanja lokalnih razmer in vključevanja vanje. Povečuje se tudi. Stran 28/90.

(29) zadovoljstvo podružničnih ravnateljev z delom, prisotna je izrazita motivacija za lasten razvoj podružnice. Ima pa takšna ureditev tudi slabosti, saj vodi do nastanka težav pri poenotenju poslovanja (zaradi decentraliziranih odločitev lahko le-te odstopajo od bančne politike), do težav z nadzorom (potreben je večji nadzor zaradi možnosti napačnega razumevanja ali neupoštevanja politike banke) ter do težav z enotnim usposabljanjem in razvojem (zaradi različnih potreb podružnic) (Johnson & Johnson, 1985). Za dosedanjo organizacijsko strukturo bank lahko v splošnem ugotovimo, da ne glede na kriterij, po katerem banke oblikujejo svojo organizacijsko strukturo, banke želijo ustvariti podobo trdnosti in organiziranosti poslovanja, kar naj bi vzbujalo zaupanje strank, da bi vanje vlagale svoje presežke denarnih sredstev. Podobno kot mogočne marmorne zgradbe navzven, naj bi tudi strogo hierarhična organizacijska struktura z natančno specificiranimi delovnimi mesti kazala na varnost in strokovnost banke. Tako je bila za banke tradicionalno »obvezna« nefleksibilna, zelo decentralizirana organizacijska struktura, ki so jo sestavljali »štabi«, »divizije«, »sektorji«, »oddelki«, »službe«, specializirani za določen bančni posel (zaradi množičnosti poslov je to sicer omogočalo racionalizacijo delovnih postopkov, hkrati pa je vodilo do enostranskega obvladovanja bančnih poslov (Bobek, 1995)) ter izolirani od drugih bančnih področij, dokler jih niso spremenjene tržne razmere prisilile v odstopanje od ustaljene organizacije na podlagi kombiniranja obstoječe organizacije s projektno, kjer se nefleksibilnost obstoječe strukture preseže z vključevanjem zaposlenih iz različnih oddelkov v teame, ki delujejo izven meja oddelkov. Vendar pa je danes sodobna banka organizacijsko sodobna in fleksibilna, saj lahko le tako uspešno servisira tako gospodarstvo na eni strani kot prebivalstvo na drugi strani. Na vrhu organizacijske strukture sodobne banke je danes uprava (dvo ali več-članska), ki ji sledi drugi nivo managementa. Tega sestavljajo izvrš(il)ni direktorji in vodje štabnih služb, ki so podrejene neposredno upravi. Organizacijska struktura se nadaljuje s sektorji in zaključi na nižjih nivojih (oddelki, odseki, …). Za nemoteno in kompetentno opravljanje svojega dele so v organizacijski strukturi tudi svetovalci ali pooblaščenci uprav, ki opravljajo specifične naloge (pooblaščenec za preprečevanje Stran 29/90.

(30) pranja denarja, vodje posebnih projektov, …). Na Sliki 2 je organizacijska struktura sodobne banke v Sloveniji.. Slika 2: Organizacijska struktura sodobne banke. Bančne in druge finančne institucije so varnostno zahtevni gospodarski subjekti, zato je na to mesto umestiti tudi varnostnega managerja, ki odgovarja za svoje delo neposredno upravi (npr. na nivo štabnih služb).. 5.4 Zgradbe Banka je odgovorna za varovanje svojega premoženja. Ta odgovornost vključuje tudi izvajanje in vključevanje ukrepov gradbeno-tehnične narave za osnovno zaščito zgradb (npr. zunanja vrata, okna in razsvetljava), sistemov za funkcioniranje zgradb (npr. dvigala, mehanski in električni sistemi) in zaščito življenj (npr. izhodna stopnišča, protipožarna zaščita).. Načrtovanje varovanja pri gradnji objekta banke mora potekati usklajeno z mnogimi različnimi omejitvami, kot so poslovni procesi, dostopnost, začetni in nadaljnji. Stran 30/90.

(31) obratovalni stroški, zmanjšanje tveganja nenormalnih situacij, protipožarna zaščita, učinkovita poraba energije in estetske omejitve. Kljub majhnim možnostim za nenormalne situacije mora projektna naloga stremeti k taki projektni zasnovi poslovnega objekta banke in zagotavljanju varnostnih rešitev, da bi bile uspešno izpolnjene vse zahteve varnostne politike banke, hkrati pa bi čim manj vplivale na opravljanje vsakdanjega poslovanja banke.. 5.5 Bančne poslovalnice Banka opravlja svojo osnovno dejavnost bančnega poslovanja v posameznih bančnih poslovalnicah, ki so ponavadi regijsko združene v smiselne organizacijske enote. Bančne poslovalnice izpolnjujejo najvišje kriterije glede varnosti bančnega poslovanja, ne glede na raznovrstnost in številčnost bančnih poslovalnic posamezne banke. Posamezne banke so specializirane na točno določene trge in temu primerna je mreža njihovih poslovalnic – od večjega števila manjših poslovalnic neke banke do manjšega števila večjih poslovalnic druge banke.. 5.6 Hramba gotovine Finančne institucije hranijo gotovino v svojem imenu in v imenu Banke Slovenije. Pri hrambi gotovine je Banka Slovenije vzpostavila visoke standarde varovanja infrastrukture. Edina prava pravna podlaga varovanja hranišč za hrambo gotovine so v internih aktih Banke Slovenije in Minimalna priporočila za varnost bančnega poslovanja na področju varovanja oseb in premoženja Združenja bank Slovenije.. 5.7 Zakladništvo Funkcije zakladništva so včasih opravljali oddelki finančnega managementa, računovodstva in knjigovodstva: S širitvijo delovanja in obsega poslovanja ter pomena dejavnosti, ki jih ta funkcija opravlja, pa se je razvilo v samostojno področje (Žgajnar, 1999). Stran 31/90.

(32) Funkcija zakladništva in njene pristojnosti v banki se razlikujejo od banke do banke. Odvisne so od velikosti, področja delovanja, organiziranosti, poslovodstva in drugih značilnosti podjetja. Ključno vlogo pri določanju funkcij v določenem podjetju ima seveda poslovodstvo, ki pa se odloča v skladu s svojim pogledom na zakladništvo (stroškovni ali dobičkovni), strokovnim kadrom, ki ga ima na voljo in velikostjo podjetja (Žgajnar, 1999). V mnogih državah je zakladništvo pogosto narobe interpretirano. Ponavadi kar enačijo zakladništvo s proračunsko in računsko kontrolo, s proračunskim planiranjem in z izvrševanjem ali dolžniškim managementom. Ampak zakladništvo se ukvarja predvsem s kratkoročnimi denarnimi tokovi. Učinkovito zakladništvo mora slediti naslednjim ciljem (Mu, 2006): zagotavljanje sredstev v pravem času za potrebna plačila in poplačevanje dolga, ko je to potrebno; doseganje boljših celotnih vračil denarja z investiranjem; zmanjševanje in kontroliranje različnih tveganj, kot so refinanciranje, krediti in tržna tveganja. Ključna razlika med zakladništvom, proračunskim planiranjem in izvrševanjem je v tem, da planiranje zadeva umišljen proračun in njegovo prisvojitev, medtem ko zakladništvo skrbi za fizično premikanje in določanje denarja (Mu, 2006). Poslanstvo zakladništva je predvsem (Triller, 1999): zagotavljanje zadostne likvidnosti; povečanje sposobnosti za uravnavanje s presežki ali primanjkljaji denarnih sredstev; maksimiranje uspešnosti poslovanja z dobičkonosnim investiranjem presežnih sredstev v okviru vnaprej določenih meja še sprejemljivega tveganja; vodenje politike obrestnih mer; skrb za razvoj novih finančnih instrumentov; upravljanje s portfeljem naložb; Stran 32/90.

(33) upravljanje z izpostavljenostjo finančnim tveganjem; opravljati vse aktivnosti v skladu s predpisi in najboljšo prakso; vzdrževati odnose z drugimi finančnimi institucijami; delovati kot center, povezan s cilji in zahtevami kot celota prispevati k povečanju dobičkonosnosti ipd. Celoten cilj učinkovitega zakladništva je torej v tem, da imamo ravno prav denarja, na pravem mestu, v pravem času, da lahko z njim poplačamo obveznosti s stroškovno učinkovitim načinom in z obvladovanjem tveganj. Pri zakladništvu gre torej predvsem za to, da upravljamo svoj denar z najbolj učinkovito stroškovno metodo, ki hkrati tudi minimizira tveganja.. 5.8 Bančni avtomati Bančni avtomati so samopostrežni terminali, povezani s centralnim računalnikom, zato takšno obliko elektronskega bančništva pogosto imenujemo tudi samopostrežno bančništvo. Z njihovo pomočjo lahko komitenti banke opravijo enostavna bančna opravila brez prisotnosti bančnega delavca: Prvotno so bili namenjeni le izdaji gotovine, sčasoma so prerasli v avtomate za poslovanje s plačilno-kreditnimi karticami, plačevanje računov in pologov na bančne račune, v zadnjem času pa lahko z njimi uporabniki kupujejo tudi vrednostne kartice predplačniških paketov mobilne telefonije.. 5.9 Prevozi gotovine Prevoz gotovine in drugih vrednostnih pošiljk v slovenskem bančnem sektorju večinoma opravljajo zasebno varnostna podjetja z ustrezno licenco (izjema je ena banka, ki ima svojo licenco za opravljanje prevozov gotovine). Prevoz gotovine je zakonsko opredeljen v Pravilniku o načinu prevoza in varovanja denarja ter drugih vrednostnih pošiljk (Uradni list RS, št. 96/2005), nadzor nad opravljanjem prevoza denarja pa spada pod jurisdikcijo ministrstva za notranje zadeve.. Stran 33/90.

(34) 5.10 Outsourcing – zunanje izvajanje dejavnosti Danes so banke postavljene pred velik izziv, kako kljub hitro se spreminjajočemu trgu, tehnologiji ter drugim spremembam v poslovnem okolju ustvarjati in dolgoročno ohranjati konkurenčnost izvajanja dejavnosti, ki je ključnega pomena za uspešno poslovanje in trajnostni razvoj. V preteklosti so se banke raje odločale za notranje izvajanje vseh dejavnosti, saj so bili stroški usklajevanja previsoki za širšo mrežo zunanjih izvajalcev. Poglavitne vsebinske spremembe v poslovanju podjetij so povzročili naslednji dejavniki (Šink, 2002): internacionalizacija proizvodnje in trgovine; globalizacija in koncentracija gospodarskih aktivnosti; razvoj in politika skupnega evropskega trga; stalen razvoj novih tehnologij; delovanje načela ekonomije obsega; specializacija za temeljne aktivnosti; razvoj informacijsko-komunikacijskih sistemov. Vsi ti dejavniki so povzročili lažje in cenejše povezovanje podjetij, posledica tega pa je porast zunanjega izvajanja dejavnosti v zadnjih letih. Izkazalo se je, da podjetja, ki opravljajo preveč dejavnosti, preprosto ne morejo biti najboljša na vseh področjih svojega delovanja, saj ne dosegajo kakovosti in učinkovitosti izvedbe zunanjih izvajalcev, ki so specializirani za opravljanje določenih dejavnosti (Šink, 2002). Posamezni avtorji zunanje izvajanje dejavnosti 3 pojmujejo različno. Gilley (2000) zunanje izvajanje dejavnosti pojmuje kot zanašanje na vire izven podjetja, ki izvajajo ne le proizvodne, ampak tudi ostale dejavnosti, ki vplivajo na povečanje dodane vrednosti podjetja.. 3. Izraz »zunanje izvajanje dejavnosti« je slovenski prevod angleškega izraza outsourcing. Stran 34/90.

(35) V bankah je prišlo do spoznanj, da se morajo osredotočiti na izvajanje dejavnosti, ki jo banke dobro poznajo, dejavnosti, za katero so najbolje usposobljeni in za katere imajo ključne zmožnosti. Vse ostale dejavnosti lahko zanje bolj uspešno izvajajo zunanji izvajalci. Vpliv zunanjega izvajanja na poslovanje je v veliki meri odvisen od tega, kakšni so razlogi, zaradi katerih se v podjetju odločijo za ta korak. Greaver (1994) deli razloge za zunanje izvajanje dejavnosti v naslednje skupine: organizacijski razlogi – osredotočenje na strateške dejavnosti podjetja, povečanje fleksibilnosti na spreminjajoče se pogoje poslovanja; povečanje zadovoljstva kupcev; razvojni razlogi – izboljšanje poslovanja in poslovne uspešnosti, pridobitev specialistov na določenih poslovnih področjih, boljši nadzor, pridobitev novih idej; finančni razlogi – zmanjšanje investicij v sredstva podjetja in s tem sproščanje virov za druge namene; ustvarjanje denarja s prenosom sredstev na zunanjega izvajalca; razlogi glede povečanja prihodkov – dostop do novih trgov in novih poslovnih priložnosti preko zunanjega izvajalca; pospešen razvoj z izkoriščanjem razvojnih možnosti in zmogljivostjo zunanjega izvajalca; povečana proizvodnja in prodaja v tistih obdobjih, ki drugače ne bi mogla biti financirana; stroškovni razlogi – zmanjšanje stroškov zaradi boljše izvedbe storitev zunanjega izvajalca; sprememba fiksnih stroškov v variabilne. S pomočjo zunanjega izvajanja dejavnosti si lahko v banki oblikujejo tako organiziranost, ki omogoča bolj učinkovito osredotočenje na zadovoljevanje potreb komitentov. S tem lahko banka pospeši svojo rast in uspeh zaradi razširjenih investicij na področjih, ki ponujajo največjo konkurenčno prednost. Zunanji izvajalci so svoje sposobnosti pridobili s pomočjo dolgotrajnega investiranja v tehnologijo in znanje. Investicije banke so povezane z velikim tveganjem. Z odločitvijo o zunanjem izvajanju dejavnosti pa banka postane bolj fleksibilna, dinamična. Sposobna se je hitro odzvati na spremembe v poslovnem okolju, na potrebe komitentov, nove tehnologije, konkurenco, predpise, finančne razmere itd. Tveganje se porazdeli med več podjetij, kajti zunanji izvajalci ne investirajo samo v imenu ene banke (oz. podjetja), temveč v imenu številnih Stran 35/90.

(36) strank. Zato se tveganje enega samega podjetja v teh številnih investicijah občutno zmanjša. So pa tudi negativne posledice takšnega sodelovanja. Največjo nevarnost zunanjega izvajanja predstavlja napačna izbira zunanjega izvajalca. Banka lahko z dobro izbiro zunanjih partnerjev veliko pridobi, izpostavljena pa je tudi številnim tveganjem. Negativni učinki zunanjega izvajanja segajo tako na finančno kot na druga področja. Prihranki, ki jih je podjetje pričakovalo po uvedbi zunanjega izvajanja, niso tako visoki, kot je bilo prvotno načrtovano. Do tega pride zlasti, če podjetje preceni lastne proizvodne stroške in fiksne stroške, ki jih je dejansko mogoče zmanjšati, po drugi strani pa podceni stroške uvedbe, komuniciranja in nadzora (Uršič, 2002). Sodobne banke danes prepuščajo zunanjim izvajalcem marsikatero poslovno funkcijo, predvsem podporo informacijskemu sistemu, čiščenje, prevoze gotovine in ostalih vrednostnih pošiljk, vse oblike varovanja, vzdrževanja različnih sistemov (elektrika, vodovod, klima, dvigala, avtomatska vrata). Zunanji izvajalec lahko podjetju škoduje tudi z neustreznim izvajanjem dejavnosti. Lahko se pojavijo težave s kakovostjo, z neustreznimi roki. Poleg tega zunanji izvajalec pridobi mnogo znanja o izdelku oziroma storitvi in to znanje izkoristi za lastno korist. Že s procesom odločanja o zunanjem izvajanju se pojavi med zaposlenimi strah pred spremembami, občutkom izgube moči, zaposleni se počutijo ogrožene. Vse to lahko negativno vpliva na delovno vnemo zaposlenih. Negativen učinek zunanjega izvajanja lahko ugotavljamo tudi z vidika informacij. Zunanji izvajalec lahko prikriva informacije, ki nastanejo pri njegovem delu oziroma jih on pridobiva iz poslovnega okolja in so bistvenega pomena za nemoteno poslovanje. Tako lahko zunanji izvajalci pričakujejo težave z delovno silo, z dobavo materialov itd., vendar podjetju naročniku tega ne povedo. Kasneje, ko težave že nastopijo, je prepozno, da bi podjetje poiskalo drugega zunanjega izvajalca (Uršič, 2002).. Stran 36/90.

(37) Banke, ki se odločijo za zunanje izvajanje, pogosto mislijo, da so s tem, ko so našli zunanje izvajalce, opravili svoj del naloge in da se jim s tem ni več potrebno ukvarjati. Vendar pa pozabljajo, da noben zunanji izvajalec ne bo poznal poslovanja banke tako dobro, kot ga poznajo zaposleni v banki sami. Banka mora zagotoviti sodelovanje takšnih sodelavcev, ki znajo pravočasno in pravilno svetovati. Uvajanje zunanje oskrbe pri reševanju neučinkovitosti poslovnih funkcij ne pomeni, da se managerji rešijo odgovornosti. Je samo ena od možnih rešitev za banko. Banke morajo vedno raziskati vzroke za nastale probleme, saj zunanja oskrba morebiti ne bo uspešna, če ne ugotovimo pravega vzroka za težave.. 5.11 Rezervne lokacije poslovanja v kriznih razmerah Rezervna lokacija je lokacija, ki ni primarna in se jo lahko uporabi za nadaljnje izvajanja poslovnih operacij in drugih funkcij v primeru katastrof, motenj v delovanju glavnih sistemov ali infrastrukture, ali v primeru nezmožnosti dostopa do primarne lokacije. Rezervna lokacija je lahko uporabljena: ‐ v ožjem smislu: za kopiranje programov in podatkov za zaščito integritete (neokrnjenosti) podatkov. Kopirani podatki, shranjeni na rezervni lokaciji, so od primarne lokacije izločeni, s čimer je jamčena obnovitev poslovnih operacij po uničenju ali izgubi podatkov na primarni lokaciji. ‐ v širšem smislu: za zagotavljanje celovitega alternativnega sistema (strojna, programska oprema in podatki) v primeru nedosegljivosti produkcijskega sistema (rezervni sistem). Če je rezervni sistem lociran v bližini produkcijskega sistema, tretji sistem pa na drugi/oddaljeni lokaciji, se tak sistemu porablja kot sistem obvladovanja katastrofalnih dogodkov. Rezervna lokacija je lahko:. Stran 37/90.

(38) ‐ delno usposobljena lokacija (hladna lokacija): nadomestna lokacija, ki vsebuje le osnovno infrastrukturo, zahtevano za zagotavljanje kritičnih poslovnih funkcij ali informacijskih sistemov, ne vsebuje pa prednastavljene računalniške strojne in telekomunikacijske opreme. V primeru uporabe take lokacije je potrebno manjkajočo računalniško in telekomunikacijsko opremo namestiti sproti. ‐ polno usposobljena lokacija (vroča lokacija): nadomestna lokacija, ki vsebuje celotno podporno (sistemsko, delovno in komunikacijsko) infrastrukturo, kar v primeru katastrofe omogoča nadaljevanje izvajanja poslovnih funkcij s take lokacije z minimalno zamudo (www.bsi.si).. Stran 38/90.

(39) 6. VZPOSTAVITEV. CELOSTNE. VARNOSTNE. POLITIKE. IN. PREPOZNAVNEGA VARNOSTNEGA MANAGEMENTA V SLOVENSKIH BANKAH. 6.1 Varnostna politika kot krovni dokument sistema varovanja Krovna varnostna politika predstavlja temeljni dokument varovanja v banki. Varnost v banki je enakovredno pomemben proces kot preostali poslovni procesi banke. Krovna varnostna politika definira globalne usmeritve za izvajanje varnostne funkcije v banki, na njeni podlagi izdelajo organizacijske enote banke izvedbene dokumente. Osnovni namen dokumenta je definiranje celovitega sistema varovanja, ki vsebuje naslednje elemente, in sicer:. •. zavezanost vodstva banke, da bo prepoznalo področje varovanja kot enega ključnih poslovnih področij, da bo podpiralo nadgradnjo obstoječega varnostnega sistema, določilo prednostne naloge in definiralo obsega dela z opisom področij in poslovnih procesov v posameznih organizacijskih enotah, ki opravljajo kritične poslovne procese ter povezalo pomen varnosti v banki s poslovnimi cilji in strateškimi usmeritvami banke,. •. definiranje procesa upravljanja s tveganji za izvedbo postopka izdelave ocene in nadaljnjega upravljanja s tveganji, vključno z zmanjševanjem tveganj na sprejemljivo raven,. •. definiranje sistema obvladovanja dokumentov, ki pokrivajo kritične točke poslovnih procesov, seznanjanje zaposlenih z varnostno politiko in pristop k nadgradnji obstoječe varnostne politike v prihodnosti,. •. definiranje varnostnih politik znotraj posameznih večjih (kritičnih) poslovnih procesov.. Uvedba in kasnejše dopolnitve varnostne politike v banki pomeni celovit pristop k varovanju ter predpisuje organizacijo, ukrepe in postopke ter varnostna pravila, ki so obvezujoča za vse zaposlene.. Stran 39/90.

(40) Krovna varnostna politika predstavlja zasnovo varnosti v banki in izhodišča za izdelavo varnostnih standardov, ukrepov in postopkov. Predstavlja temelj za organizacijo varnosti v banki, delovanje varnostne službe, varnostnih sistemov v bolj tveganih poslovnih procesih, operativne postopke in dokumentacijo na strateški ravni. Varnostni standardi so podrejeni krovni varnostni politiki in predstavljajo načrte znotraj poslovnih procesov za zagotavljanje varnosti. Varnostni standardi definirajo operativno varnostno politiko in predstavljajo organizacijske, kadrovske in tehnične ukrepe ter postopke za implementacijo varnostne politike. Postopki so navodila, priporočila in/ali dobra bančna praksa za izvajanje operativnih postopkov. Postopki določajo vsa navodila za izvajanje varnostne politike na ravni organizacijskih enot banke. Na spodnji sliki je prikazana umestitev krovne varnostne politike v celoten varnostni sistem banke.. Slika 3: Varnostni sistem banke Vir: Security Procedures, Central Bank Head of Security Working Group Report, Dublin, 2007. Stran 40/90.

(41) 6.2 Ocena ogroženosti in varnostnih tveganj kot temeljno izhodišče načrtovanja in izvajanja varnostnih ukrepov Katastrofalni teroristični napadi v ZDA in drugod po svetu so koncem leta 2001 močno povečali zanimanje za izboljšanje varnostnih mehanizmov v politiki, obveščevalnih službah, varnostnih organizacijah in gospodarstvu. Eno od prvih spoznanj je bilo tudi to, da so bile ocene ogroženosti in varnostnih tveganj preveč splošne in da niso predvidevale novih varnostnih izzivov. Gre za spoznanja, da je treba v okviru nacionalnega varnostnega interesa, nacionalne varnostne politike in sistema nacionalne varnosti tudi v posameznih državnih institucijah, gospodarskih družbah, javnih podjetjih, poslovnih sistemih, koncernih, korporacijah in drugih organizacijah profesionalno in nepretrgoma obvladovati preteče nevarnosti, ogroženosti ter poslovna in varnostna tveganja teroristične, vohunske, kriminalne, poslovne in ekonomske narave (Vršec, 2003).. Z notranjimi postopki banke se določi spremljanje izvajanja obramb pred tveganji. Pri tem gre za medsebojno sodelovanje organiziranega fizičnega in tehničnega varovanja oseb in premoženja ter za ekonomsko, poslovno in managersko naravnana področja.. STRATEGIJE UPRAVLJANJA S TVEGANJI. Slika 4: Strategije upravljanja s tveganji Vir: Interno gradivo Banke Slovenije, 2007. Stran 41/90.