А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

Итак, краткие предварительные выводы:

1) расчетный цикл инициирует эквайрер, направляя в МПС свои финансовые требования в виде исходящего файла;

2) претензионный цикл по операциям с картами инициирует эмитент, направляя в МПС соответствующее сообщение;

3) претензия может быть инициирована держателем карты только на основании списания средств с его счета.

Претензионный цикл, будучи, с одной стороны, наименее автоматизируемым (практически в 100 % случаев — это кропотливый ручной труд), с другой стороны, имеет очень жесткие ограничения по времени. И эмитентам, и эквайрерам отводятся совершенно четко и однозначно детерминированные периоды времени для реализации так же четко предписанных (в правилах МПС) действий. Как правило, все моменты времени (даты) привязываются к некой единой шкале (аналог Гринвичского времени, например), именуемой Central Processing Date (CPD) для VISA или Central Site Business Date для MasterCard. Поскольку цикл расчетов по карточным операциям инициирует эквайрер, днем «X», т. е. датой начала отсчета всех операций претензионного цикла, является дата процессирования (представления в сеть) эквайрером исходной финансовой операции, которую легко получить из ARN (acquirer reference number) — 23-значного числа, являющегося уникальным идентификатором, назначаемым эквайером каждому финансовому сообщению по результатам обработки операции с картой МПС.

Структура ARN (ARD, acquirer reference data)

Пример

ARN: 70400016002012345678907 ^ 70-40001-6-002-01234567890-7

• 70 = IRI (Interchange Rate Indicator): показатель правила расчета interchange

• 40 001 = 5 последних цифр BIN эквайрера (первая цифра BIN опускается)

• 6 = последняя цифра года даты процессирования, 6 (2006 г.)

• 002 = порядковый номер дня в году даты процессирования операции эквайрером. Это трехзначное число, на профессиональном жаргоне именуемое «Юлианская дата» (Julian date), и является точкой отсчета в претензионном цикле в обеих МПС.

• 01234567890 = Item Sequence Number (присваивается эквайрером для поиска TID)

• 7 = контрольная цифра

Для более полной картины отметим, что дата процессирования очень жестко связана с датой совершения исходной операции. Датой совершения операции считается либо дата авторизации (если таковая имела место), либо дата, проставленная в слипе (чеке ЭТ). Согласно требованиям МПС, дата процессирования не может отстоять от даты операции более чем на 30 календарных суток. Меньшие сроки первых представлений (first presentment) варьируются для VISA и MasterCard по типам проведения операций и карточных продуктов.

Основные этапы претензионного цикла

Итак, держатель на основании информации из выписки направляет претензию в банк-эмитент. Согласно правилам МПС претензия может быть оформлена как в виде собственноручно написанного клиентом заявления, так и в виде заполненной со слов клиента и подписанной представителем банка специальной формы (Expedited Billing Dispute Resolution Form). Во многих банках разрешается отправка заявления на опротестование от держателя по электронной почте или факсу. Автор настоятельно рекомендует своим коллегам также требовать от держателей представления заявлений с претензиями в виде оригинальных документов на бумажном носителе, заверенных собственноручной подписью заявителя. Это пригодится во избежание возможных недоразумений, если дело в итоге дойдет до судебного разбирательства по законам РФ между клиентом и банком (а такое, увы, вполне возможно).

Немаловажным является аспект регистрации даты принятия претензии: по законам РФ дата подачи претензии определяется по дате почтового штемпеля, что может послужить предметом недовольства держателей в случае существенной задержки доставки письма в банк. Например, в условиях банка по обслуживанию карт прописано, что срок рассмотрения претензий составляет, предположим, 50 дней. Письмо было отправлено 10-го числа (по дате штемпеля об отправке), а поступило в банк-эмитент 15 дней спустя. В результате у банка формально останется всего 35 суток на урегулирование проблемы, что не вписывается в рабочие диапазоны претензионного цикла МПС. При разработке клиентских документов и тарифов следует учитывать такие моменты.

По факту получения банком претензии держателя о несогласии с операцией, отраженной в выписке, как правило, держатель информируется о сроках рассмотрения и урегулирования претензии. МПС рекомендуют сотрудникам банка, ответственным за претензионный цикл, поддерживать контакт с заявителем, общаясь по электронной почте. Сотрудникам подразделения, занимающегося претензионной работой по картам, настоятельно не рекомендуется общаться с клиентами по телефону напрямую. В телефонном разговоре можно неверно принять информацию, что, в свою очередь, станет причиной проигрыша претензионного цикла и финансовых потерь эмитента или недовольства держателя.

После того как получено собственноручно написанное держателем карты заявление о несогласии со списанием (именно со списанием) средств с его счета, сотрудник подразделения, ведущего претензионную работу, сталкивается с проблемой выбора соответствующего кода причины опротестования. Важность этого момента в том, что эмитенту дается один-единственный шанс на выбор chargeback RC. В случае ошибки второй попытки не будет, игра закончена. В редких случаях у эмитента появляется право направить chargeback с новым кодом причины по получении сопроводительной документации от эквайрера при повторном представлении.

В настоящее время принято делить все коды причин опротестований на пять условных категорий (для удобства запоминания они сгруппированы по первым буквам латинского алфавита):

• A — authorization-related (относящиеся к авторизациям);

• B — (bad) faith (мошенничество, недобросовестность ТСП);

• C — cardholder disputes (собственно претензии держателей карт);

• D — documentation problems (ошибки в документации);

• E — erroneous processing (ошибки процессирования).

Итак, получив заявление клиента, эмитент должен сделать первый и самый важный шаг в претензионном цикле, а именно — выбрать код причины опротестования (chargeback reason code, RC). При этом следует учитывать обстоятельства дела (как проходила операция, режим считывания данных с карты, card imprint) и суть претензии, наличие и содержание изложенных клиентом обстоятельств дела (проф. true nature of dispute). При этом важно соблюсти все требования, предъявляемые платежной системой к эмитенту при выставлении того или иного кода опротестования. Например, если в описании кода сказано, что перед опротестованием клиент должен связаться с торговой точкой и предпринять попытку решить вопрос самостоятельно, то банк обязан рекомендовать клиенту это сделать, так как в случае если разбирательство дойдет до арбитража МПС, факт обращения клиента в торговую точку и результат этого обращения будут учитываться платежной системой при принятии окончательного решения по спорной ситуации.

Работа с сопроводительными документами

В некоторых случаях эмитенту правилами МПС предписано сначала обязательно выполнить нефинансовую операцию претензионного цикла — запрос копии документа (retrieval request/RR, request for copy/RFC).

Как правило, запрос документов необходимо выполнить в случаях, когда подразумевается мошенничество или неблагонадежность торговой точки, в которой произошла спорная операция (преимущественно для карт МПС VISA). Само собой, по банкоматным и другим операциям, где клиент вводит ПИН и/или не подписывает чек (операции в Интернете, заказ товаров и услуг по телефону — МО/ТО операции и прочие Non Face-To-Face), эквайрер не может предоставить копию терминального чека. В этом случае эквайрер имеет возможность предоставить Substitute Transaction Receipt/Substitute Draft, список полей которых строго регламентирован правилами МПС.

Запрос копии TID (transaction information document) преследует две цели: с одной стороны, он позволяет эмитенту предъявить клиенту — заявителю претензии копию полученного документа для анализа и возможного отказа от оспаривания операции. С другой — это сигнал эквайреру о том, что еще не поздно добровольно направить в сеть кредитовую операцию, отменяющую спорную. Это позволит избежать опротестования, поскольку число входящих операций chargeback по каждому эквайреру анализируется МПС и может привести к штрафным санкциям в отношении эквайреров при превышении определенного порогового значения, выражаемого в процентном отношении.

Получив входящее сообщение RR/RFC, эквайрер имеет ровно 30 календарных дней на его удовлетворение (fulfillment). Это означает, что не позже чем на 30-й день с даты процессирования RR/RFC эквайрер должен направить в сеть МПС сканированную копию соответствующего TID либо документ, его заменяющий (Substitute Transaction Receipt/ Substitute Draft). Важный момент: в случае корректного удовлетворения эквайрером запроса копии для эмитента срок выставления опротестования (chargeback) отсчитывается не от даты процессирования исходной операции, а от даты удовлетворения копии.