升级版端到端的客户体验——在当地银行分支机构排队办理业务的场景已不复存在。通过虚拟银行，客户可以享受无缝高效的银行体验。虚拟银行的初始阶段包括简单的银行产品和服务，包括便捷开户，提供有竞争力的存款利率，以及有吸引力的贷款优惠。技术驱动的虚拟银行正在努力利用大数据分析更快地批准贷款，采用快捷支付系统，与自动平台集成以管理资金 ，并通过聊天机器人提供24×7的实时银行体验。目标是提供一个全面的平台，处理客户日常生活中的基本需求——购物，餐饮，住宿，交通，医疗，保险，账单支付，财富管理——一切尽在客户的掌控之中。

技术驱动的业务模式——创新的数字化服务不仅能够提供客户与银行之间互动的接口，监管科技 (regtech) 在支持和促进银行与监管机构之间互动方面的重要性也不容忽视。随着全球法律法规越来越复杂，立法区域扩大且越来越严格，同时必须处理的交易和数据数量不断增加，因此，正是实现合规自动化的正确时机。例如，增强的开户体验只能通过电子“了解你的客户”（eKYC）流程，结合大数据分析和机器学习来实现欺诈和反洗钱监控流程而受益。虚拟银行业务是由从前端到后端的技术驱动。

敏捷的工作模式——虚拟银行的运营模式已从流程驱动模式转变敏捷的工作方式。技术交付上，通过小规模重复迭代的持续部署允许在每个sprint中改进并吸取经验教训。这种模式遵循创新精神——小处着手，快速失败——并实现产品和服务的快速交付。网络安全实践也遵循敏捷的工作模式，包括调整安全补丁计划和审查安全配置。敏捷的工作模式不仅限于技术交付，还包括所有银行业务流程，如财务、运营和人力资源管理。

促进金融包容性——“金融包容性意味着个人和企业能够获得有用且负担得起的金融产品和服务来满足他们的需求——以负责任和可持续的方式提供交易、支付、储蓄、信贷和保险。”传统零售银行通过其广泛的分支网络实现金融包容性，而虚拟银行则通过其较低的边际成本实现金融包容性。虚拟银行的运营成本更低；例如，与传统零售银行不同，它们不必为众多分行支付租金，这一成本节约会让客户从中受益。尽管初始为虚拟银行建立IT基础设施的成本可能很高，但强健IT系统的可扩展性降低了吸引新客户的增量成本。这些成本节约可以通过提供更具吸引力的利率回馈给客户。因此，虚拟银行不会对其客户提出最低账户余额或低余额费用要求。

信息和网络安全风险——一家全新的原生数字银行是网络犯罪分子的高危目标。围绕新兴虚拟银行推出的许多宣传活动可能会增加网络攻击的可能性。例如，一家中国的虚拟银行在上线第一天就遭遇了分布式拒绝服务（DDoS）攻击，导致服务严重延迟。由于未经授权的访问或网络攻击而导致的数据泄露和机密信息泄漏可能会导致增加合规成本和银行声誉严重受损。对于传统零售银行来说，成功的网络攻击是一个严重问题，但它可能会对整个虚拟银行特许经营的业务造成致命影响。为了应对日益增加的固有网络风险，需要一个专家网络防御团队和一流的网络防御工具。

技术稳定性和韧性风险——虚拟银行对技术的依赖增加了其因IT系统不稳定引发的风险。他们需要管理更广泛的技术堆栈，并需要广泛使用供应商和新技术。因此大大增加了他们对技术问题和网络威胁的暴露——无论这些问题来源于银行IT系统、人员、第三方还是第三方系统。例如，虚拟银行的促销活动在推出初期吸引了超过预期数量的客户，从而导致系统容量问题。任何系统不稳定都可能不仅导致财务损失，还可能导致潜在的声誉受损，并可能引起监管的审查。简单地说，从网络安全和技术治理的角度来看，虚拟银行需要更多的保护和维护。

个人行为风险——高级管理层的认可对于任何组织成功实施网络安全计划都至关重要，更不用说技术驱动的虚拟银行了。根据管辖权的不同，董事会成员或高级管理层可能会因任何网络事件或数据泄露而承担个人责任。创新是虚拟银行的DNA，它们通常拥有高素质的员工，但在创新和网络意识之间取得平衡很重要。点击网络钓鱼邮件或接听社会工程电话这样简单的事情可能会泄露机密数据。

监管风险——作为一家完全获得牌照的银行，虚拟银行应遵守所有适用的法规。由于现有法规尚未修订以跟上技术的快速变化，新的业务流程和新技术的使用可能会带来合规性差距。许多金融行业法规基于原则而非规则，因此讨论和解释现有法规要求如何适用于新技术可能是不可避免的。随着虚拟银行的发展越来越成熟，法规要求可能会更有利于创新。例如，在香港，法规要求所有虚拟银行都达到网络安全韧性成熟度的高阶水平。但是这与传统银行不同；他们可以根据固有的风险评估结果选择网络安全成熟度。

第三方风险——在技术驱动的业务运营中，采用某些供应商产品是不可避免的。完成云治理和第三方尽职调查流程可能是一项艰巨的任务。确保供应商（无论规模大小）遵守银行的网络控制水平至关重要。完整的尽职调查流程不仅包括审查政策和标准，还包括对运营和控制证据的现场审查。银行的法律顾问还应制定有关供应商信息安全的标准化法律条款。对供应商的大规模持续监督存在一定的复杂性，尤其是对软件即服务（SaaS）供应商。但是，重要的是要记住，即使技术和业务活动以共享责任模式外包，不意味着责任也是外包的。银行董事会和高级管理层仍然负有责任。

强有力的治理——高层的态度对风险管理来说至关重要。必须建立明确的角色和职责，并定期与业务领导层沟通。同时，应根据虚拟银行环境对现有的风险管理框架进行调整。

明确的指导原则——分为两类控制措施，强制性和可取性。强制性控制措施绝不应妥协，包括客户保密性、客户存款保护和反洗钱。因此，必须采取数据加密、安全配置、及时修补和高可用性系统架构。同时，应与董事会设定的风险偏好水平保持一致。控制措施是强制性或可取性也取决于产品交付阶段。沙箱环境中的控制要求可能不那么严格，但在实际生产环境中则是强制性的。“监管沙箱是监管机构建立的框架，允许金融科技初创企业和其他创新者在监管机构的监督下，在受控环境中进行实时实验。”例如，就IT韧性而言，在沙箱环境中，某些中断更容易被容忍。

定期风险评估和控制测试——鉴于虚拟银行的业务环境更加动态，与传统零售银行相比，必须更定期地检测控制中断。当采用基于风险的方法时，IT环境和关键控制的重大变化将会受到更大规模的抽样审查，而且审查更频繁、更深入，保持与敏捷的工作模式的一致。根据项目阶段的不同，将采取不同类型的风险评估方法（例如，快速风险评估、深入分析、全面解读）。应参考COBIT® 和美国国家标准与技术研究所（NIST）等国际公认的框架作为控制基线，建立网络安全和技术风险与控制库。

补救措施监控——应实施对补救措施的密切监控，以修复任何已识别的差距。在技术方面，定期进行系统快照、信息加密传输、定期升级补丁和开展系统审查对于确保稳定和安全的IT环境至关重要。

风险意识——风险管理是每个人的责任。流程负责人应了解并遵守银行的风险容忍度。应建立积极的风险文化，为员工提供与职业相关的奖励，以确保个人问责制。

头脑风暴——在低风险监督下进行头脑风暴式探索性讨论，以避免阻碍创新

探索——适度风险监督，并记录风险考虑因素

解决方案设计——具体讨论，包括针对既定网络安全和技术风险及控制基线对关键控制进行初步风险审查

持续交付——高水平的监督和全面的风险评估，包括抽样，以确保与产品发布的风险偏好保持一致