联邦储备银行关于网络风险压力测试的研报总结
核心观点
- 随着网络事件频率、复杂性和潜在影响的增加，一些监管机构开始进行网络风险压力测试，以增强企业和行业对运营中断（如网络攻击造成）的抵御能力。
- 这些测试通过识别漏洞、加强响应和恢复机制，以及在某些情况下评估此类中断对金融稳定的潜在影响，使监管机构和企业双方受益。
网络压力测试的定义
- 监管机构可以通过两种方式将网络风险纳入压力测试：
- 将网络风险纳入现有的金融压力测试，重点关注网络攻击造成的金融损失。
- 将网络风险与其他因素分开处理，分析网络危机周期的早期阶段，评估企业在网络事件发生时的运营能力。
- 网络压力测试需要一个不同的框架，与偿付能力和流动性压力测试不同，后者已成为监管机构工具箱中一个成熟的部分。
- 网络压力测试通常不是通过合格/不合格的测试来进行的，即使是在相关监管机构的监督下进行的。
- 与偿付能力或流动性压力测试不同，系统层面的视角并非来自跨企业某些指标的聚合，而是来自对运营弹性的广泛冲击的研究。
网络压力测试的两种方法
- 监管机构在负责网络压力测试时做出的主要决定是定义练习是侧重于金融体系的运营弹性还是单个企业的运营弹性。
- 系统导向的练习：分析基于单个企业的贡献，旨在评估整个金融体系的弹性。
- 企业导向的练习：目标是评估单个企业的运营能力，可能的话，是整个金融体系。
- 两种方法都有其优点，监管机构应根据其管辖区的制度设置和压力测试的目标来选择。
- 区别于系统导向的练习，企业导向的练习更侧重于单个企业的准备情况，并允许监管机构进行跨企业基准测试。
网络压力测试的规划
- 在练习开始之前，监管机构需要确定以下要素：
- 范围：确定合适的银行样本，考虑国内金融体系的结构。监管机构可以选择仅包括（系统性）银行，或所有银行。
- 资源和制度安排：压力测试可能持续数月，需要监管机构和企业各部门的参与，包括信息技术、金融稳定、法律和市场基础设施。
- 场景设计：场景基于对中断的定性叙述，应具有现实性，并根据企业的具体情况进行调整。场景可以围绕一个行业范围的冲击或多个市场或司法管辖区的冲击构建。
网络压力测试的实施和结果
- 活动阶段从企业收到场景并启动对初始冲击的响应开始。
- 监管机构在练习期间可以与企业密切合作，确保他们正确理解场景和所需的反馈类型。
- 由于网络压力测试的定性性质，企业可以通过监管机构设计的问卷提供描述性反馈。
- 监管机构可以对定性答案的质量进行一些质量控制，通过同行基准测试或与企业的专门研讨会进行讨论。
- 监管机构可以研究银行之间结果的分布，以确定相关模式，例如最受影响的业务线。
网络压力测试的后续行动和披露
- 完成练习后，监管机构可以向参与企业提供关于他们在练习期间的表现和可能的改进领域的个别报告。
- 除了收到个别报告外，企业可能还被期望采取一些纠正措施，即使压力测试没有以合格或不合格的结果结束。
- 公开披露可能会非常有限，特别是在企业导向的练习中，这反映了收集的分析信息的结果的敏感性质。
- 监管机构可以发布来自压力测试的关键要点，以提醒企业和公众解决网络风险复杂性和重要性。
- 重复网络压力测试可以提高企业的响应能力和监管机构设计和执行这些测试的能力。
