自1996年世界上第一家網(wǎng)上銀行棗美國安全第一網(wǎng)絡(luò)銀行誕生以來，網(wǎng)上銀行在世界范圍內(nèi)迅速發(fā)展。近年來，國內(nèi)多家商業(yè)銀行，如招商銀行、中國銀行、中國工商銀行、交通銀行等也紛紛推出網(wǎng)上銀行服務(wù)。發(fā)展網(wǎng)上銀行業(yè)務(wù)已成為當(dāng)前商業(yè)銀行競爭的新熱點(diǎn)。

　　但是，網(wǎng)上銀行業(yè)務(wù)屬于新生事物，商業(yè)銀行在網(wǎng)上銀行風(fēng)險管理方面尚缺乏必要的經(jīng)驗(yàn)，在運(yùn)作過程中面臨著多種風(fēng)險：一是法律規(guī)范問題；二是交易的安全問題；三是資金的安全問題。因此，建立、改進(jìn)和完善網(wǎng)上銀行業(yè)務(wù)的內(nèi)部控制管理體系、防范網(wǎng)上銀行潛在風(fēng)險是商業(yè)銀行的一個重要課題。

　　2001年中國人民銀行下發(fā)了《網(wǎng)上銀行業(yè)務(wù)管理暫行辦法》，對規(guī)范我國網(wǎng)上銀行業(yè)務(wù)發(fā)展起到了指導(dǎo)作用。據(jù)此，國內(nèi)各商業(yè)銀行必須對網(wǎng)上銀行業(yè)務(wù)采取一系列內(nèi)控管理措施，以防范網(wǎng)上銀行業(yè)務(wù)經(jīng)營風(fēng)險。根據(jù)內(nèi)控管理有關(guān)全面性、謹(jǐn)慎性、有效性、獨(dú)立性等原則，商業(yè)銀行對網(wǎng)上銀行業(yè)務(wù)的管理應(yīng)貫穿其業(yè)務(wù)全過程和各個操作環(huán)節(jié)，覆蓋所有使用網(wǎng)上銀行的銀行內(nèi)、外部機(jī)構(gòu)(單位)和個人。因此，網(wǎng)上銀行的內(nèi)部管理可分為三個層次：第一層次是銀行內(nèi)部使用網(wǎng)上銀行的管理; 第二層次是銀行對網(wǎng)上銀行客戶的管理; 第三層次是客戶內(nèi)部使用網(wǎng)上銀行的管理。

　　一、銀行內(nèi)部使用網(wǎng)上銀行的管理

　　銀行內(nèi)部使用網(wǎng)上銀行的管理是指對銀行內(nèi)部操作網(wǎng)上銀行系統(tǒng)、辦理網(wǎng)上銀行業(yè)務(wù)的機(jī)構(gòu)和人員建立逐級管理和分級授權(quán)的制度。主要有以下方面：

　　(一)建立開辦網(wǎng)上銀行業(yè)務(wù)的準(zhǔn)入機(jī)制

　　如同中央銀行對商業(yè)銀行開辦網(wǎng)上銀行業(yè)務(wù)必須進(jìn)行審核一樣，商業(yè)銀行總行或管轄分行對下屬開辦網(wǎng)上銀行業(yè)務(wù)的營業(yè)機(jī)構(gòu)也需具有相應(yīng)的報批和驗(yàn)收手續(xù)，進(jìn)行業(yè)務(wù)、技術(shù)方面的可行性分析和安全評估。只有滿足規(guī)定技術(shù)條件和具有良好風(fēng)險防范措施的營業(yè)機(jī)構(gòu)，才能取得受理客戶使用網(wǎng)上銀行申請、處理客戶通過網(wǎng)上銀行發(fā)起的各種交易的資格。開辦網(wǎng)上銀行業(yè)務(wù)的營業(yè)機(jī)構(gòu)一般應(yīng)具有運(yùn)行良好的計(jì)算機(jī)網(wǎng)絡(luò)和電子化基礎(chǔ)設(shè)施，使用防火墻、電子認(rèn)證等安全技術(shù)手段，訂立嚴(yán)密的規(guī)章制度，配備合格的管理、技術(shù)和操作人員，遵守支付結(jié)算和資金匯劃紀(jì)律，備有切實(shí)有效的應(yīng)急措施。

　　(二)對管理網(wǎng)上銀行客戶的內(nèi)部人員的管理

　　在網(wǎng)上銀行管理體系中，網(wǎng)上銀行客戶信息和權(quán)限的維護(hù)、客戶用于身份認(rèn)證的數(shù)字證書的發(fā)放等一般由指定的銀行內(nèi)部操作人員進(jìn)行操作。因此，對操作網(wǎng)上銀行客戶管理系統(tǒng)的內(nèi)部人員也需建立橫向制約和相互監(jiān)督的管理機(jī)制。比如，客戶信息管理人員與系統(tǒng)開發(fā)人員、后臺業(yè)務(wù)人員不能相互兼任; 建立多級的柜員管理體系，總行實(shí)施對分行的監(jiān)督，分行實(shí)施對網(wǎng)點(diǎn)的監(jiān)督；對于增加、修改、凍結(jié)、解凍網(wǎng)上銀行客戶，以及重置密碼等重要操作必須堅(jiān)持換人授權(quán)制度；發(fā)放客戶數(shù)字證書下載密碼的人員必須與管理空白證書IC卡的人員實(shí)行分離；柜員的操作應(yīng)由網(wǎng)上銀行總中心進(jìn)行監(jiān)控并寫入操作日志中，進(jìn)行事后檢查。

　　(三)對處理網(wǎng)上銀行業(yè)務(wù)的內(nèi)部人員的管理

　　雖然網(wǎng)上銀行的各種交易由客戶通過網(wǎng)絡(luò)發(fā)起，但進(jìn)入銀行內(nèi)部網(wǎng)和業(yè)務(wù)主機(jī)系統(tǒng)后，一般仍需由銀行內(nèi)部業(yè)務(wù)人員進(jìn)行相關(guān)的后續(xù)處理，如打印網(wǎng)上銀行的交易憑證，然后通過同城交換或電子聯(lián)行等資金匯劃渠道將付款人的指令發(fā)送收款人。對于網(wǎng)上銀行業(yè)務(wù)，銀行內(nèi)部人員應(yīng)做到及時、準(zhǔn)確處理客戶提交的交易，嚴(yán)禁對網(wǎng)上交易指令進(jìn)行抹賬或篡改；定期與客戶核對交易信息，避免網(wǎng)上交易重復(fù)入賬等問題。

　　二、銀行對網(wǎng)上銀行客戶的管理

　　銀行對網(wǎng)上銀行客戶的管理是指銀行對哪些客戶可以使用網(wǎng)上銀行，客戶可以使用哪些網(wǎng)上銀行服務(wù)，以及客戶操作網(wǎng)上銀行的過程和結(jié)果進(jìn)行管理。對客戶的管理是網(wǎng)上銀行管理最為重要的環(huán)節(jié)，主要包括以下方面：

　　(一)對申請使用網(wǎng)上銀行的客戶資格條件的審查

　　鑒于網(wǎng)上銀行業(yè)務(wù)的風(fēng)險性，商業(yè)銀行應(yīng)對申請使用網(wǎng)上銀行的客戶規(guī)定嚴(yán)格的申請和審批手續(xù)。申請網(wǎng)上銀行的客戶分為單位和個人兩大類。單位客戶又可分為一般客戶和集團(tuán)客戶(如總公司或母公司)。一般客戶只能查詢、劃轉(zhuǎn)本單位賬戶的信息或資金。集團(tuán)客戶根據(jù)協(xié)議，有權(quán)通過網(wǎng)上銀行，管理集團(tuán)內(nèi)部各單位的賬戶資金。由于賬戶管理和結(jié)算制度方面的要求不同，銀行一般對單位的資格審查嚴(yán)于個人，對集團(tuán)客戶嚴(yán)于一般客戶。

　　銀行對申請網(wǎng)上銀行客戶的審查內(nèi)容包括客戶是否在本銀行開立結(jié)算賬戶或信用卡賬戶，是否一貫遵守支付結(jié)算紀(jì)律，是否發(fā)生過惡意透支等不良信用記錄等，對于集團(tuán)客戶還需審查集團(tuán)客戶內(nèi)部各單位之間是否訂立授權(quán)書。只有符合條件、信譽(yù)良好的客戶，銀行才為其提供網(wǎng)上銀行服務(wù)。另外，銀行還需依據(jù)《合同法》等法規(guī)，制定規(guī)范、嚴(yán)密的網(wǎng)上銀行業(yè)務(wù)服務(wù)協(xié)議文本，根據(jù)平等、自愿、公平的原則，明確銀行與客戶在網(wǎng)上銀行交易中的權(quán)利、義務(wù)和法律責(zé)任。

　　(二)對網(wǎng)上銀行客戶身份驗(yàn)證的管理

　　辦理網(wǎng)上銀行業(yè)務(wù)，客戶與銀行并非直接面對面進(jìn)行交易，因此銀行如何鑒別客戶的身份，以及保證客戶交易信息的可靠性、完整性、保密性，是網(wǎng)上銀行安全管理的重要環(huán)節(jié)。目前，商業(yè)銀行一般采用以數(shù)字證書為基礎(chǔ)的安全認(rèn)證體系。

　　數(shù)字證書是一個記錄用戶身份和公開密鑰的文件，在網(wǎng)上銀行業(yè)務(wù)中用于證實(shí)客戶的身份和對網(wǎng)絡(luò)資源訪問的權(quán)限，是網(wǎng)上銀行身份認(rèn)證、數(shù)據(jù)加密、數(shù)字簽名的基礎(chǔ)。客戶必須使用客戶證書才能登錄網(wǎng)上銀行交易系統(tǒng)。凡使用客戶證書進(jìn)行的操作，均視做持有證書的客戶所為。為保證證書的可靠性、權(quán)威性、通用性，國內(nèi)商業(yè)銀行一般采用中國金融認(rèn)證中心簽發(fā)的數(shù)字證書。

　　銀行對客戶數(shù)字證書的管理包括給客戶發(fā)放唯一的證書文件，提供統(tǒng)一的證書載體如IC卡，受理客戶證書凍結(jié)、掛失、注銷申請等。銀行應(yīng)告知客戶妥善保管數(shù)字證書，以免被他人盜用。

　　(三)對網(wǎng)上銀行客戶業(yè)務(wù)操作權(quán)限的管理

　　不同客戶對網(wǎng)上銀行服務(wù)有不同要求，如有的客戶只需進(jìn)行信息查詢，有的客戶需要進(jìn)行集團(tuán)資金管理，也有的客戶需要網(wǎng)上買賣外匯等。同樣，銀行對不同客戶也需要區(qū)別對待，提供個性化、差別化的服務(wù)。因此，銀行需根據(jù)客戶的需求，結(jié)合內(nèi)部管理的需要，對網(wǎng)上銀行客戶業(yè)務(wù)操作權(quán)限進(jìn)行管理。

　　銀行對客戶業(yè)務(wù)操作權(quán)限的管理大致可分為業(yè)務(wù)功能權(quán)限管理、賬戶操作權(quán)限管理和提交金額上限管理。業(yè)務(wù)功能權(quán)限管理是指客戶可以使用網(wǎng)上銀行哪些服務(wù)，如查詢、支付、集團(tuán)資金管理、代發(fā)工資、外匯買賣、銀證轉(zhuǎn)賬、購買債券等。賬戶操作權(quán)限管理是指客戶在網(wǎng)上銀行可以使用哪些賬戶，以及對每個賬戶的操作權(quán)限是什么，如結(jié)算存款賬戶可以轉(zhuǎn)賬支付，但定期存款、貸款賬戶只能查詢。提交金額上限管理是指客戶通過網(wǎng)上銀行提交的交易，每次或每日累計(jì)的金額最高額度是多少。另外，銀行還需對單位客戶分配具體使用網(wǎng)上銀行的用戶數(shù)量和用戶級別。

　　(四)對網(wǎng)上銀行客戶交易過程的監(jiān)督

　　為了確保網(wǎng)上銀行系統(tǒng)正常運(yùn)行，準(zhǔn)確、及時接收和處理網(wǎng)上銀行業(yè)務(wù)，防范網(wǎng)上銀行異常交易的發(fā)生，銀行應(yīng)對客戶在網(wǎng)上銀行發(fā)起的各類交易進(jìn)行實(shí)時、全過程的監(jiān)控和管理。多數(shù)商業(yè)銀行的網(wǎng)上銀行系統(tǒng)采用總行統(tǒng)一接入，然后分發(fā)各分支行處理的模式。客戶從網(wǎng)上發(fā)出交易指令起，一直到銀行后臺業(yè)務(wù)系統(tǒng)主機(jī)進(jìn)行賬務(wù)信息處理，需經(jīng)過外部網(wǎng)、內(nèi)部網(wǎng)以及多個應(yīng)用系統(tǒng)和網(wǎng)關(guān)。因此，銀行需對總行網(wǎng)關(guān)、分(支)行網(wǎng)關(guān)、后臺業(yè)務(wù)系統(tǒng)等多個環(huán)節(jié)進(jìn)行監(jiān)控。

　　銀行對客戶網(wǎng)上銀行交易監(jiān)督的重點(diǎn)，一是對原始交易信息完整性、真實(shí)性的登記，銀行系統(tǒng)應(yīng)詳細(xì)記錄網(wǎng)上銀行交易明細(xì)及日志，包括交易數(shù)據(jù)、交易發(fā)起人、交易要素、交易結(jié)果、數(shù)字簽名等，以備核查；二是監(jiān)控客戶交易資金的流向，以便及時調(diào)撥銀行資金頭寸，以及發(fā)現(xiàn)和追蹤網(wǎng)上異常的資金劃轉(zhuǎn); 三是發(fā)現(xiàn)和應(yīng)對由于網(wǎng)絡(luò)、系統(tǒng)引起的交易滯緩，以及非法用戶入侵等異常情況，必要時啟用應(yīng)急措施；四是每日核對總行網(wǎng)關(guān)、分(支)行網(wǎng)關(guān)與后臺業(yè)務(wù)系統(tǒng)網(wǎng)上銀行交易數(shù)據(jù)，避免發(fā)生信息丟失或不一致的問題。

　　三、客戶內(nèi)部使用網(wǎng)上銀行的管理

　　客戶內(nèi)部使用網(wǎng)上銀行的管理是指客戶根據(jù)自身特點(diǎn)和要求，通過建立特定的網(wǎng)上銀行業(yè)務(wù)授權(quán)模式、分配用戶操作級別和業(yè)務(wù)權(quán)限等方式，使客戶在網(wǎng)上銀行的操作過程處于一個安全體系控制之下。網(wǎng)上銀行作為一種電子銀行接入渠道，為客戶提供了自助服務(wù)的平臺，客戶可以隨時隨地使用各種網(wǎng)上金融產(chǎn)品。同時，因?yàn)槭褂镁W(wǎng)上銀行的是分散的每個操作人員，網(wǎng)上銀行也加大了客戶特別是單位客戶的操作風(fēng)險。傳統(tǒng)手工條件下，單位一般制定有憑證和印章分管、主管逐級審批等內(nèi)控會計(jì)規(guī)范，但在網(wǎng)上銀行業(yè)務(wù)中就無法簡單套用。如果對客戶端網(wǎng)上銀行用戶不作限制和分工，就可能引起操作混亂，造成資金損失或違反結(jié)算紀(jì)律等問題。因此，銀行必須提供并幫助客戶建立客戶端相應(yīng)的網(wǎng)上銀行內(nèi)控機(jī)制。單位客戶內(nèi)部使用網(wǎng)上銀行的管理可采用用戶權(quán)限管理和業(yè)務(wù)授權(quán)模式管理相結(jié)合的方式。

　　(一)網(wǎng)上銀行客戶端用戶權(quán)限的管理

　　網(wǎng)上銀行客戶端用戶權(quán)限管理包括對用戶操作級別和業(yè)務(wù)權(quán)限的管理。根據(jù)授權(quán)分責(zé)的內(nèi)部控制原則，網(wǎng)上銀行客戶端的用戶可分為特權(quán)用戶、業(yè)務(wù)錄入員、一級授權(quán)員、二級授權(quán)員、三級授權(quán)員等不同用戶操作級別。特權(quán)用戶由銀行管理，其他用戶由特權(quán)用戶管理。特權(quán)用戶負(fù)責(zé)維護(hù)該單位網(wǎng)上銀行業(yè)務(wù)授權(quán)模式和一般用戶的操作級別和業(yè)務(wù)權(quán)限、監(jiān)督和核對所有用戶的操作日志，但不能直接處理網(wǎng)上銀行業(yè)務(wù)。業(yè)務(wù)錄入員負(fù)責(zé)錄入網(wǎng)上銀行交易數(shù)據(jù)，然后由授權(quán)員根據(jù)相應(yīng)的業(yè)務(wù)權(quán)限和授權(quán)模式負(fù)責(zé)復(fù)核確認(rèn)并正式提交銀行進(jìn)行處理。用戶的業(yè)務(wù)權(quán)限的管理是指單位特權(quán)用戶，為每個一般用戶分配可操作的業(yè)務(wù)可能、可操作的賬戶，以及對賬戶提交金額上限等。

　　網(wǎng)上用戶的操作級別和業(yè)務(wù)權(quán)限管理可與單位實(shí)際的崗位、職務(wù)設(shè)置相結(jié)合，如客戶的會計(jì)記賬員為網(wǎng)上銀行錄入員，會計(jì)復(fù)核員為一級授權(quán)員，會計(jì)主管為二級授權(quán)員，總會計(jì)為三級授權(quán)員。單位客戶可以根據(jù)實(shí)際需要，隨時設(shè)置或調(diào)整每個用戶在網(wǎng)上銀行的操作權(quán)限。

　　(二)網(wǎng)上銀行客戶端業(yè)務(wù)授權(quán)模式的管理

　　網(wǎng)上銀行業(yè)務(wù)授權(quán)模式管理，是指對客戶處理網(wǎng)上銀行轉(zhuǎn)賬支付、集團(tuán)資金管理等各類重要業(yè)務(wù)時，在不同金額范圍內(nèi)設(shè)定不同的授權(quán)組合。授權(quán)組合包括授權(quán)人數(shù)和授權(quán)級別。設(shè)置業(yè)務(wù)授權(quán)模式的目的，是防止單個個人操作業(yè)務(wù)全過程，以及對重要業(yè)務(wù)和一般業(yè)務(wù)、大額交易和小額交易區(qū)別管理，實(shí)行不同級別的授權(quán)控制方式。比如，某一客戶通過網(wǎng)上銀行進(jìn)行對外支付時，1萬元以下的交易只需一個一級授權(quán)員確認(rèn)即可：1萬至5萬元，必須由一個一級授權(quán)員和一個二級授權(quán)員確認(rèn)；5萬元以上，還需三級授權(quán)員確認(rèn)。

　　業(yè)務(wù)授權(quán)模式一般由單位特權(quán)用戶根據(jù)日常的內(nèi)部會計(jì)控制規(guī)范和資金管理模式設(shè)置，可以因事因人而異。業(yè)務(wù)授權(quán)模式與用戶權(quán)限管理相結(jié)合，為網(wǎng)上銀行客戶提供了嚴(yán)密、有效、靈活的管理機(jī)制，確保客戶網(wǎng)上銀行交易的安全性。