第一，业务审计。网络系统在交易日志的基础上形成业务审计日志，由专人负责进行分析，及时发现可疑的交易行为，采取控制措施。第二，转账限制。对账户性质、资金流动等内容加以限制。例如，只能是活期账户互转，只能是同一客户的账户间转账等。第三，交易额限制。对于不同品种的单笔交易额、当日累计交易额等进行限制。
（3）网络银行的人事管理。
网络银行不同于一般网站，网络银行对人员的管理要求高于一般网站，为了计算机系统和本行资金的安全，很多现行的传统的人事控制和管理措施必须进行改动，以适应网络银行的经营形式。当雇用员工时，必须进行必要的背景审查，背景审查的内容还要包括该雇员曾有的与计算机系统相关的信息，修订雇员手册，列入关于计算机安全的规章；将安全培训列为对新雇员培训的主要内容；及时审查员工的行为，鼓励那些为系统安全作出贡献的员工，当解雇一个员工时，应事先采取必要的网络安全措施，如改变该员工的访问权限、修改口令等。
（三）加强网络银行的法人治理结构建设，建立完善的管理决策机制
网络银行作为信息技术高科技的产物，其必须依赖一定的系统技术才能开展网络业务。由于网络银行本身并不具备技术开发的能力，必须依赖信息技术公司来提供一定的技术支持，面对各种各样的技术方案，应选择哪一种技术作为网络银行业务得以开展的技术支撑呢？这将是摆在网络银行管理层面前的一个难题。因为其所选择的技术方案很可能在设计上存在缺陷或被错误操作的风险，所以，为尽量减少这种技术选择风险发生的几率，网络银行内部必须加强法人治理结构建设，建立完善的管理决策机制，在网络银行管理层建立一个高素质、高水平的决策队伍，他们既精通金融知识，又懂网络知识，对技术方案的优劣有一定的识别能力，同时，网络银行也可能依赖外部市场的服务支持来解决银行内部的技术或管理难题。这时候，也要求网络银行管理层能够为网络银行挑选一些精兵强将来为银行服务，这同样要求建立完备的法人治理结构，以防关系或人情在决策中作祟。
（四）建立完善的安全组织
在金融计算机系统中，安全是一种责任，这一责任由安全组织负责贯彻实施。而安全负责人是安全组织的代表和具体执行人，所以，凡涉及金融计算机信息系统建设的单位，都必须建立相应的安全组织机构。安全组织的建设必须与金融计算机信息系统的建设同步进行。计算机信息安全组织的职能是根据国家和金融的有关法规、制度、规范，建立健全相应的管理实施细则，并负责贯彻实施；根据本单位的实际情况定期作出风险分析，提出相应的对策并监督实施；制定安全负责人岗位责任制；对安全负责人实施工作业绩考核；建立健全有关安全操作规程，确定金融计算机信息系统各岗位人员的职责和权限，审议并通过安全规划等，协调安全工作；对证实的重大安全违规、违纪事件及泄密事件进行惩处，对有贡献的单位和个人则要进行一定的奖励。
网络银行的操作风险监管
一、网络银行操作风险概述
操作风险指来源于系统可靠性、稳定性和安全性的重大缺陷而导致的潜在损失的可能性。操作风险可能来自于网络银行客户的疏忽，也可能来自网络银行安全系统和其他产品的设计缺陷及操作失误、系统错误导致的风险。任何一家经营电子银行及电子货币业务的机构都可能面对由于它选择的计算机系统在设计运行中出现问题而导致的风险。迅速发展的信息技术也会为银行带来系统技术过时而导致的风险。例如，由于顾客使用电子货币的计算机软件没有得到及时更新所招致的风险；同时也会由于某些不法分子通过技术手段改变软件给银行带来的风险等。而且，迅速发展的信息技术会令银行职工难以掌握，增加了产生风险的可能性。目前，网络银行对进入银行账户的授权管理变得日益复杂起来，这一方面是由于计算机的处理能力得到日益增强，另一方面是因为客户的地理空间位置变得更加分散，也可能是由于采用多种通讯手段等因素造成的。对于电子货币而言，网络安全系统的缺陷会让客户误认为网络银行实施了欺诈行为。对于其他电子银行业务，如没有经过明确授权使用账户可能导致客户直接的救济损失，加大了网络银行对客户的责任。
银行职工的疏忽大意，也有可能导致网络银行面临严重的操作风险，从而危及网络银行的总体安全。如传统商业银行在开展网络银行业务时，可能会因为客户欠缺网络安全方面的知识而面临相当高的风险。另外，顾客操作失误也存在潜在的巨大风险。顾客在与银行之间发生网络银行业务时，任何错误操作，不论是无意的还是故意的，都有可能给银行带来风险。尤其是在银行未能充分向顾客宣传操作规程、安全防范措施时，这种风险发生的可能性更大。由于缺少充分的核实交易的方法，顾客可以访问以前授权给银行进行的交易，从而将损失强加给银行。例如，客户在某些没有安全防护措施的场合使用私人信息，如身份鉴定、信用卡号、银行账号等，这样容易被他人窃取而导致账号泄密，使客户和银行双方都蒙受损失。
最近银行出现的计算机事故中，由误操作造成的事故占全部事故的60％，由于计算机具有快速、集中处理大量数据的能力，一次误操作就可能造成难以弥补的损失。
二、网络银行操作风险类型
网络银行的操作风险具体而言包括以下几种类型：一是系统被非法入侵。即黑客侵入系统内部，客户保密信息被第三方非法截获；系统被植入病毒，导致银行系统数据崩溃，系统失灵和修复成本增加。
二是银行系统内部职员的欺诈。银行职员篡改账户数据，截留智能卡，导致客户或银行存款损失或交易差错，增加纠查成本，银行信誉的丧失，还可能引起其他的法律问题。
三是伪造电子货币。罪犯在并未进行预先支付的情况下偷换或复制电子货币以获得物品和现金；而银行必须对这种假币造成的损失负责。
四是服务供应商风险。银行网络技术的外部服务供应商可能并未提供预期的技术，或者提供的技术存在系统缺陷和可靠性问题。而银行必须对造成的损失负责。
五是系统失效。交易处理系统出现故障，数据完整性和可靠性出现问题，导致公众负面反应并造成错误交易的损失。
六是职员技能和管理技能落后。由于技术进步，银行职员知识结构和银行管理技能无法适应所采用的新技术，造成技术更新慢，管理技能跟不上新技术的发展。
七是客户操作欠缺安全措施以及疏忽造成的风险。客户在非保密系统上进行应予以保密的信息交易，造成泄密和客户资金损失。
八是由于银行客户的误操作所引发的风险事故。
三、网络银行操作风险的监管
面对网络银行的操作风险，网络银行应采取如下措施来加强对网络银行操作风险的防范：
首先，建立防范操作风险的内部控制制度。手工作业方式的内部控制制度已不适应网络银行的需要，要有效地降低电子化带来的风险，减少破坏事件和误操作的可能性，必须尽快建立、健全计算机信息系统的内部控制。网络环境中内部控制的特点在于：控制重点是数据处理部门和业务部门的输入；控制方法是手工控制和计算机控制相结合，部分内部控制可以由计算机自动进行。随着科学技术的进步，原来由手工实施的控制，如系统开发控制，安全措施等已经部分开始由计算机自动实施。网络环境中的一般控制，是计算机信息系统中组织、操作、安全、开发等系统运行环境方面进行的控制。其控制项目从数据处理部门来看，包括：数据处理部门的组织、人员和职务构成；数据处理部门的管理方针、业务计划；人员管理；工作规范的标准化；评价制度；外包项目管理；文件档案管理。从系统开发阶段看，其控制的内容包括：系统开发方案的采用和优先度的确定；系统开发阶段的管理；项目管理；程序设计和测试的管理；程序修改的管理。从计算机机房来看，包括：输入和输出时间调度和控制；数据媒体管理；事故报告和预防措施；环境的控制和安全保障；防灾和恢复计划等。
网络银行的内部控制还要加强对网络环境中的应用控制。应用控制是对系统中的数据处理活动实施的控制。其控制项目在用户部门中涉及：（1）输入管理，包括：原始凭证填写、原始凭证审核、原始凭证的传递、联机系统的输入管理、主文件更新管理、原始凭证错误管理；（2）输出管理，包括：输出报表的交接、结果的正确性检查。在电子数据处理部门中涉及：（1）输入管理，包括：输入凭证的交接管理、成批输入管理、联机输入管理；（2）处理管理，即计算和逻辑的检查、计算机处理的错误管理；（3）数据文件管理；（4）输出管理，包括数据处理结果的检查、输出报表的完整性检查、输出报表的分发和传递。
从上述内部控制的内容可以看出，网络银行的内部控制是一项系统工程，需要进行全方位的管理，其中网络银行的内部控制也在实际上执行了一部分电子稽核的职能。
其次，加强对网络银行职员的技术培训，严格操作程序，最大范围地降低由于支付指令的接受、认证与执行的错误，提高对伪造电子货币的识别能力。
由于网络技术的发展日新月异，有的银行职员对新技术接受缓慢，或者由于知识结构无法适应网络的飞速发展，导致在工作中，尽管已经尽力，但仍然无法避免出错。对于这个问题，我们认为，应加强对员工的职业技能培训，采取考核上岗的办法，对于经培训仍不能熟练掌握操作技能的，应实行转岗制。对于新雇用的员工，更应加强安全教育和职业技能培训。
对于网络银行业务中，有关支付指令的接受、认证与执行问题，应严格遵守电子支付法中有关安全程序的规定。根据美国《统一商法典》第4A－201的规定，“安全程序”是指“为达到下述目的通过协议建立的程序：（1）证实支付令是由客户发出的；（2）发现支付令中的错误”；同时，安全程序“可以要求使用算法或其他密码，识别单词或数字，加密或类似的安全措施”。虽然美国《统一商法典》仅适用于大额电子资金划拨，但其所谓安全程序的规定和所应有的技术及其作用与数字签名非常近似。因此，安全程序实际上主要就是为了证明支付令的真实性而设立的，根据美国《统一商法典》第4A－202（b）的规定，安全程序只要符合以下条件，经过安全程序发送的支付令就是真实的：（1）用于证明支付令真实性的安全程序是为了防止未经授权的支付令的发出，从而使用的具有商业合理性的保证安全性的方式。（2）接收行证明它已经善意地接收了支付令，并且遵守安全程序、有关书面协议或客户限制接收的有关指令。那么，如何证明（1）中是否具有商业合理性这一要求呢？数字签名是否符合这一要求，有的学者认为，可能取决于两个因素：第一，美国《统一商法典》第4A-202（c）对于是否具有商业合理性判断设定了标准，这些标准包括：a.银行所了解的客户的情况，包括客户的（资产）大小、种类、签发支付令的频率等；b.银行向客户提供的其他安全程序；c.在同等情况下，接收银行和客户使用安全程序的情况。第二，由于电子货币属于小额的支付工具，主要由消费者使用，法院在判断时还可能考虑《电子资金转移法》对消费者保护的有关规定。消费者对于未经自己授权的交易最多承担的损失金额为50美元，在判断消费者是否应该承担这种损失时的标准为：a.卡或其他“进入类”支付工具是消费者接受的支付工具；b.这些支付工具的发行人在提供支付工具的同时，也提供了识别支付工具使用者的方式，比如，通过签名、照片、指纹以及通过电子的或机械的认定机制来识别使用人。因此，网络银行职员为最大限度地降低网络欺诈的风险，满足免责条件的要求，就应该实实在在地贯彻安全程序的要求，严格验证数字签名的真伪。具体标准如下：客户的支付令应明确具体，如金额固定、收款人明确、收款人的名称和账户等正确一致、客户在银行的账户中有足够的款项等。接到客户的支付指令，银行应通过安全认证程序，严格审查、确认客户的身份及指令的真实性。对于不符合条件的支付指令，银行应拒绝接受并在限定时间内反馈客户不予接受的原因。网络银行对客户资料和账户交易资料有保密的义务。未经客户许可或特定执法机构的依法要求，银行不可将客户资料向任何的第三方提供，以防欺诈风险的发生。
网络银行操作风险的另外一个重要源头便是顾客的操作错误。由于银行为提供系统的安全性，对操作系统的软件时有更新，操作程序也许会变得更加复杂。在网络银行缺乏对顾客进行详细的操作程序介绍时，顾客可能会因为理解差错或一时疏忽而导致误操作，无论顾客是有意的，还是无意的，都可能给银行带来巨大的损失。另外，由于银行对顾客缺乏安全防范知识的宣传，也缺乏必要的防护措施，导致客户账号被窃取，使银行和客户双方都遭受损失。面对此种情况，首先应要求银行在设备或软件更新的情况下，应在明显可见的地方以通俗易懂的语言对操作程序进行必要的解释，必要时，还应附加一定的演示图或操作示范。其次，应加强对安全防范知识的宣传，强化顾客的安全防范意识，妥善保护好自己的数字证书和密码。在操作时，也应避免被他人剽窃。银行同时也要为顾客提供一定的防范条件。比如，对于在ATM机上提款，银行应设置一个隔离区，保证客户的独立操作，并采取一定的乱码技术，以防密码被破译。
