Az IKT-kockázatok ma már nem csupán technológiai probléma: a digitális transzformáció és a szervezetek egyre összetettebb működési környezete miatt a vállalati stratégiai irányítás és a működési reziliencia alapvető elemei lettek. Ezt hangsúlyozta Zsakó Enikő, a Magyar Közgazdasági Társaság (MKT) Ellenőrzési Szakosztályának elnöke a szakosztály közelmúltbeli rendezvényén. A meghívott előadó Homolya Dániel, az OTP Bank Nyrt. integrált kockázatkezelési ügyvezető igazgatója volt.
Homolya kiemelte: „csak akkor tudunk gyorsan haladni, ha jó fékünk van” — szerinte egy szervezet akkor működik jól, ha az üzleti terület kockázattudatos, és a kockázatkezelés üzlettudatos.
Globális trendek: dezinformáció, mesterséges intelligencia és kiberbiztonság
A World Economic Forum Global Risks Reportjára hivatkozva Homolya bemutatta a globális kockázati trendeket. A téves információ és a szándékos félretájékoztatás ma már a négy legfontosabb globális kockázat között szerepel. A mesterséges intelligencia kedvezőtlen következményei egy év alatt a 13. helyről a 8. helyre ugrottak, és új kategóriaként megjelent a kiberbiztonság hiánya.
Rövid távon (kétéves horizonton) a geopolitikai és technológiai kockázatok dominálnak; hosszabb távon a környezeti kockázatok mellett a technológiai kockázatok számítanak a legjelentősebbnek. Az Allianz Kockázati Barométere is hasonló képet mutat: a kiberincidensek a legjelentősebb üzleti kockázatok közé tartoznak, és a mesterséges intelligenciához köthető kockázatok megítélése a vizsgált vállalatoknál egy év alatt 10-ről 32 százalékra nőtt.
Az uniós szabályozási háttér (2022–2024)
Homolya áttekintette az IKT-kockázatok kezelésére 2022 és 2024 között kialakult uniós jogszabályi keretet. Kiemelt szabályok és kezdeményezések:
- a NIS2 irányelv (a hálózati és információs rendszerek biztonságáról), amely az EU egyik átfogó kiberbiztonsági szabályozása és túlmutat a pénzügyi szektoron;
- a Digital Operational Resilience Act (DORA), amely a digitális infrastruktúrák és szolgáltatások ellenállóképességét célozza, elsősorban pénzügyi intézményekre vonatkozik, de a beszállítói ökoszisztémára is kiterjed;
- a kritikus entitások rezilienciájáról szóló CER-irányelv;
- az Operational Continuity In Resolution (OCIR) elemei a szanálási szabályozásban, amelyek a működés folytatását célozzák pénzügyi zavarak esetén;
- az uniós kiberrezilienciai jogszabály, amely a digitális elemeket tartalmazó termékekre is kiterjed.
Ezeken túl az MNB ajánlásai, az Európai Bankhatóság (EBA) iránymutatásai és az Európai Központi Bank elvárásai is fontos keretet adnak.
Homolya kiemelte a DORA öt pillérét:
- egységes, vezetői szinten felügyelt IKT-kockázat‑menedzsment keretrendszer;
- IKT‑incidensek gyors felismerése, kezelése és szabványos hatósági jelentése;
- rendszeres, kockázatalapú rezilienciatesztelés;
- a kritikus beszállítók szigorú felügyelete és szerződéses kontrollkövetelmények a harmadik felek kockázatainak kezelésére;
- biztonságos, strukturált információmegosztás az iparági szereplők között.
Az IKT-kockázatok öt fő kategóriája és a harmadik felek
Az Európai Bankhatóság nem kizárólagos felsorolásán alapulva Homolya az alábbi öt IKT-kockázati kategóriát emelte ki:
- rendelkezésre állási és folytonossági kockázatok (például nem megfelelő kapacitáskezelés, hiányzó üzletmenet-folytonossági tervek);
- biztonsági kockázatok (adathalászat, DDoS‑támadások, illetéktelen hozzáférés);
- változáskezelési kockázatok (gyakran fejlesztések vagy frissítések során jelentkeznek);
- adatminőségi és adatkezelési kockázatok;
- IKT‑kiszervezési kockázatok (külső szolgáltatóktól való függőség és kilépési tervek hiánya).
A harmadik felek kockázatainak kezelése kapcsán Homolya hangsúlyozta a partnerek működési, IKT‑ és reputációs kockázatainak folyamatos mérését, valamint a kitettségek koncentrációjának nyomon követését — hasonlóan a hitelportfóliók koncentrációs monitoringjához. Felhívta a figyelmet arra is, hogy már egyetlen, globálisan elterjedt operációs rendszer használata is koncentrációs kockázatot jelenthet.
Kapcsolódás belső folyamatokhoz és audithoz
Az IKT‑kockázat a működési kockázatkezelés szerves része: egy speciális, folyamatosan figyelendő alfaj. Homolya szerint a kockázat‑ és kontroll‑önértékelés (RCSA) gyakorlata és a belső ellenőrzés szoros kapcsolatban állnak az IKT‑kockázatkezeléssel. A belső ellenőrzés független biztosítékot nyújt a keretrendszer működéséről, miközben az IKT‑kockázati kontrollok fontos bemenetet adnak az audittervezéshez.
Kérdések, válaszok és gyakorlati tanulságok
Homolya válaszában emlékeztetett, hogy bár a NIS2, DORA, CER és más kapcsolódó uniós szabályok 2022 és 2024 között jelentek meg, az általuk lefedett alapelvek — például a kiberbiztonsági vagy változáskezelési kockázatok — korábban is ismertek voltak. A szabályozás szerinte elegendő általános keretet ad a moduláris továbbfejlesztéshez, a fontos kérdés inkább az, hogy a különböző szabályozási ágak mennyire konszolidálódnak és mennyire lesznek a felügyeleti hatóságok képesek rugalmasan reagálni a gyors technológiai változásokra.
Mely kockázatokra figyelmeztetne egy cégvezetőt? Homolya kiemelte a geopolitikai és technológiai kockázatokat, valamint az üzletmenet‑folytonosság alapos átgondolását. Saját tapasztalatából két gyakorlati tanulságot említett: a kockázatok gyakran kombinálódnak, és elengedhetetlen a nyitott kockázati kitettségek pontos ismerete.
A mesterséges intelligenciáról Homolya optimista: szerinte az AI elsősorban hatékonyságnövelő eszköz, amely megfelelő kontroll és validálás mellett használható — például több AI‑platform eredményeinek összevetésével. Ugyanakkor megjegyezte, hogy a pénzügyi szektor óvatosan kezeli az AI alkalmazását, részben az uniós AI‑rendelet hatása miatt, és a technológia változáskezelése hasonló kérdéseket vet fel, mint a hagyományos rendszerfejlesztés. Nem az AI veszi el a kockázatkezelők munkáját, hanem azok a szakemberek, akik képesek azt kezelni — ugyanakkor fel kell készülni az esetleges AI‑kiesésekre is az üzletmenet‑folytonosság szempontjából.
Egyedi rendszerszállítói kockázat esetén Homolya a kulcskockázati mutatók (early warning jelzések), a szerződéses és SLA‑feltételek megerősítését, valamint az insourcing–outsourcing döntések eseti mérlegelését javasolta. Beszámolt arról is, hogy saját gyakorlatukban előfordult, hogy egy felismert külső függőség miatt részben házon belülre hoztak korábban kiszervezett folyamatokat.
Zárszó: nem elvont, valós veszélyek
Zsakó Enikő zárszavában azt hangsúlyozta, hogy a globális kockázati trendek gyorsan változnak, és bár az előadásban hangsúlyosan megjelent az AI pozitív oldala, a technológia kockázatai a következő években valószínűleg egyre nagyobb figyelmet kapnak. Szerinte a kockázatok hatékony kezelése nemcsak a kockázatkezelési és belső ellenőrzési funkciókon múlik, hanem a felső vezetés támogatásával az egész szervezeti kultúra átalakulását igényli.
Homolya zárásként emlékeztetett arra, hogy a kiberincidensek és informatikai zavarok — legyen szó globális logisztikai cégeket érintő vírusfertőzésről vagy kórházakat sújtó incidensekről — nem elvont veszélyek, hanem a gazdasági szereplőket közvetlenül érintő, kezelendő fenyegetések.
Az összefoglaló a rendezvény hanganyaga alapján készült.
