О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных с…
Положение Банка России от 27.03.2019 № 680-П «О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в электронном виде по каналам связи»
Текст — по данным Официальный интернет-портал правовой информации. Скачать .doc · Печать
Нормативный акт Банка России не подлежит регистрации в Минюсте России; Официально опубликовано 29.03.2019. Банк России не публикует сводные редакции: изменения внесены отдельными актами, они указаны в блоке ссылок.
Текст распознан со скана официальной публикации (OCR) и может содержать ошибки распознавания.
ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ (БАНК РОССИИ)
ПОЛОЖЕНИЕ « ety марта 2019 г № 680-П
г. Москва
О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в
электронном виде по каналам связи
Настоящее Положение на основании пункта 14 части 1 статьи 20 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» (Собрание законодательства Российской Федерации, 2011, № 27, ст. 3872; 2012, № 53, ст. 7592; 2013, № 27, ст. 3477; № 30, ст. 4084; № 52, ст. 6968; 2014, № 19, ст. 2315, ст. 2317; № 43, ст. 5803; 2015, № 1, ст. 8, ст. 14; 2016, № 27, ст. 4221, ст. 4223; 2017, № 15, ст. 2134; № 18, ст. 2665; № 30, ст. 4456; 2018, № 27, ст. 3950, ст. 3952; № 32, ст. 5115, № 49, ст. 7524) (далее — Федеральный закон от 27 июня 2011 года № 161-ФЗ), а также в соответствии с Положением Банка России от 3 октября 2017 года № 607-П «О требованиях к порядку обеспечения бесперебойности функционирования платежной системы, показателям бесперебойности функционирования платежной системы и методикам анализа рисков в платежной системе, включая профили
рисков», зарегистрированным в Министерстве юстиции Российской
Федерации 22 декабря 2017 года № 49386, устанавливает порядок обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе
денежных средств в электронном виде по каналам связи.
Глава 1. Общие положения#❝
1.1. Термины, используемые в настоящем Положении, применяются в значениях, установленных Федеральным законом от 27 июня 2011 года № 161-ФЗ и Политикой управления рисками Банка России, введенной в действие 23 марта 2016 года.#❝
1.2. Обеспечение бесперебойности функционирования платежной системы Банка России (далее — БФПС) достигается при условии оказания в платежной системе Банка России (далее — ПС) услуг платежной инфраструктуры (далее — УПИ) согласно требованиям Федерального закона от 27 июня 2011 года № 161-ФЗ и принятых в соответствии с ним нормативных актов Банка России, определяющих правила ПС, договоров банковского (корреспондентского) счета (субсчета) и договоров об обмене электронными сообщениями при переводе денежных средств через ПС (далее — надлежащее оказание УПИ) и (или) восстановления надлежащего оказания УПИ с момента выявления и регистрации риск-события, которое привело к нарушению надлежащего оказания УПИ (далее — инцидент), и восстановления оказания УПИ в случае приостановления их оказания с момента выявления и регистрации инцидента, который привел к приостановлению оказания соответствующей (соответствующих) УПИ.#❝
1.3. Надлежащим оказанием операционных услуг в части доступности операционного центра ПС признается оказание операционных услуг в течение временного интервала, не превышающего 2 минут.#❝
1.4. Надлежащим оказанием УПИ В части обеспечения конфиденциальности информации о переводе денежных средств через ПС, ее целостности, а также ее доступности признается отсутствие в течение 1 календарного месяца переводов денежных средств через ПС со счетов участников ПС без их согласия вследствие результативных компьютерных атак на объекты платежной инфраструктуры ПС, эксплуатация которых осуществляется Банком России.#❝
Гарантированным уровнем бесперебойности оказания УПИ, характеризующим качество — функционирования операционных и технологических средств платежной инфраструктуры, в части обеспечения конфиденциальности, целостности и доступности информации о переводе денежных средств через ПС является:#❝
соблюдение порогового уровня индикатора противодействия информационным угрозам в ПС, расчет которого приведен в подпункте 2.6 пункта 2 приложения | к настоящему Положению;#❝
обеспечение соответствия мер защиты информации и полноты реализации процессов системы защиты информации в платежной инфраструктуре ПС требованиям, установленным национальным стандартом Российской Федерации ГОСТР 57580.1-2017 «Безопасность финансовых#❝
Базовый состав организационных и технических мер», утвержденным приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года № 822-ст «Об утверждении национального стандарта» (М., ФГУП «Стандартинформ», 2017), четвертому уровню соответствия, установленному национальным стандартом Российской Федерации ГОСТР 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия», утвержденным приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года № 156-ст «Об утверждении национального стандарта Российской Федерации» (М., ФГУП «Стандартинформ», 2018).#❝
1.5. Деятельность Банка России по обеспечению БФПС включает:#❝
организацию системы управления рисками в ПС, присущими бизнеспроцессу, в рамках которого обеспечивается функционирование ПС (далее — бизнес-процесс), и управление рисками ликвидности, кредитными рисками, операционными рисками, включая правовые риски, в ПС, реализация которых способна оказать негативное воздействие на Банк России, предусмотренное критериями оценки воздействия риска, установленными в Банке России, и которые имеют потенциал к реализации в бизнес-процессе (далее — значимые риски), в том числе проведение анализа операций (шагов) бизнес-процесса с целью идентификации рисков, присущих бизнес-процессу, определение среди идентифицированных рисков значимых рисков, проведение оценки значимых рисков, определение и применение мер реагирования на значимые риски и мониторинг ключевых индикаторов рисков (далее при совместном упоминании — управление рисками в ПС);#❝
Глава 2. Организационная структура, используемая Банком России#❝
2.1. Организационная структура, используемая Банком России при обеспечении БФПС, формируется на основе принципа трех линий защиты:#❝
первая линия защиты представлена подразделениями в составе структурных подразделений Банка России, которые выполняют бизнеспроцесс (операцию, шаг) и управляют рисками в ПС, а также непрерывностью функционирования ПС (далее — ПУРиН), руководителями ПУРиН, владельцем бизнес-процесса, заместителем Председателя Банка России, курирующим вопросы организации и функционирования ПС (далее — курирующий руководитель Банка России), Председателем Банка России;#❝
вторая линия защиты представлена уполномоченными структурными подразделениями Банка России — структурным подразделением центрального аппарата Банка России, реализующим полномочия оператора ПС (далее — подразделение, реализующее полномочия оператора ПС), и структурным подразделением центрального аппарата Банка России, ответственным за развитие системы управления рисками Банка России (далее — УРСУР), а также#❝
2.2. Субъектами организационной структуры, обеспечивающими БФПС, являются:#❝
владелец — бизнес-процесса — руководитель — подразделения, реализующего полномочия оператора ПС, ответственный в соответствии с организационно-распорядительным документом Банка России за результаты выполнения бизнес-процесса;#❝
работники структурных подразделений Банка России, в состав которых в том числе входят ПУРиН (далее — работники структурных подразделений Банка России);#❝
работники YPCYP, выполняющие методологические функции по управлению рисками, присущими бизнес-процессу (далее — работники YPCYP);#❝
работники подразделения, реализующего полномочия оператора ПС, выполняющие методологические функции по управлению непрерывностью функционирования ПС (далее — работники оператора ПС);#❝
2.2.2. Курирующий руководитель Банка России:#❝
рассматривает и согласовывает предложения владельца бизнес-процесса по мерам реагирования на значимые риски (далее — меры реагирования) в части, относящейся к его компетенции, и обеспечивает организацию выполнения принятых решений;#❝
согласовывает ключевые индикаторы рисков (далее — КИР), предложенные владельцем бизнес-процесса в дополнение к указанным в приложении 1 к настоящему Положению (далее — дополнительные КИР), или отмену КИР;#❝
утверждает план действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности Банка России как оператора ПС (далее — план ОНиВД);#❝
2.2.3. Комитет является действующим на постоянной основе коллегиальным органом по управлению рисками, присущими бизнеспроцессу. Функции и полномочия Комитета, в том числе в части оценки СУР, определяются положением о Комитете, которое утверждается организационно-распорядительным документом Банка России.#❝
2.2.4. Владелец бизнес-процесса в рамках предоставленных полномочий обеспечивает БФИС посредством выполнения следующих мероприятий.#❝
совместно с руководителями ПУРиН обеспечивает идентификацию рисков, присущих бизнес-процессу, и утверждает перечень значимых рисков;#❝
организует ведение профиля риска нарушения БФПС, содержащего информацию о значимых рисках (далее — единый профиль рисков в ПС), и утверждает единый профиль рисков в ПС, подготовленный по результатам проведенной оценки значимых рисков;#❝
обеспечивает подготовку и направление курирующему руководителю Банка России предложений о реагировании на значимые риски, обеспечивает выполнение принятых решений по ним;#❝
обеспечивает проведение мониторинга комбинации вероятности реализации риска и его воздействия (далее при совместном упоминании — уровень значимого риска) на предмет своевременного применения мер#❝
обеспечивает проведение оценки эффективности управления значимыми рисками и принимает меры, направленные на совершенствование бизнес-процесса, в том числе на решение проблем при обеспечении БФПС, затрагивающих несколько бизнес-процессов Банка России и (или) структурных подразделений Банка России (далее — системные проблемы);#❝
обеспечивает непрерывность исполнения обязанностей, возложенных настоящим Положением на риск-координаторов бизнес-процесса и рисккоординаторов ПУРиН, в том числе посредством назначения лиц, их замещающих.#❝
обеспечивает проведение оценки влияния на БФПС каждого и всех в совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса;#❝
принимает решения о применении обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания одной или нескольких УПИ в ПС менее чем на 2 часа;#❝
2.2.5. Руководители ПУРиН обеспечивают БФПС в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, посредством выполнения следующих мероприятий.#❝
обеспечивают формирование и поддержание в актуальном состоянии описания выполняемых операций (шагов) бизнес-процесса, в том числе посредством направления предложений о внесении изменений в описание бизнес-процесса;#❝
участвуют в идентификации рисков, присущих бизнес-процессу, и согласовывают перечень значимых рисков;#❝
организуют ведение информации о значимых рисках в рамках единого профиля рисков в ПС в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, и согласовывают содержание данной информации в едином профиле рисков в ПС по результатам оценки значимых рисков;#❝
согласовывают предложения риск-координаторов ПУРиН о применении в отношении значимых рисков мер реагирования и обеспечивают выполнение принятых решений по ним;#❝
обеспечивают проведение оценки эффективности управления значимыми рисками и принимают меры, направленные на совершенствование бизнес-процесса, в том числе обеспечивают подготовку предложений владельцу бизнес-процесса о реагировании на системные проблемы;#❝
обеспечивают проведение оценки влияния на БФПС каждого инцидента и всех в совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса, в части операций (шагов) бизнеспроцесса, выполнение которых отнесено к компетенции ITYPuH;#❝
обеспечивают подготовку предложений к проекту плана ОНиВД в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;#❝
принимают решения о применении обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания УПИ в ПС менее чем на 2 часа;#❝
обеспечивают реализацию обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания УПИ в ПС более чем на 2 часа;#❝
В части организации взаимодействия Банка России и участников ПС по обеспечению БФПС руководители ПУРиН обеспечивают информирование участников ПС о приостановлении и восстановлении оказания УПИ в ПС, если такое информирование входит в состав операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРин.#❝
2.2.6. Работники структурных подразделений Банка России выполняют решения по обеспечению БФПС, принятые Председателем Банка России, курирующим руководителем Банка России, владельцем бизнес-процесса и руководителями соответствующих ПУРиН, а также информируют их и рисккоординаторов ПУРиН об идентифицированных рисках, присущих бизнеспроцессу, выявленных инцидентах и предоставляют необходимые документы и информацию по запросам риск-координаторов бизнес-процесса и рисккоординаторов ITYPuH.#❝
2.2.7. Работники УРСУР осуществляют общую координацию и методологическую поддержку деятельности по управлению рисками, присущими бизнес-процессу, в том числе:#❝
осуществляют верификацию сведений о значимых рисках, сведений о связанных с ними инцидентах и сведений о дополнительных КИР;#❝
разрабатывают и поддерживают в актуальном состоянии таксономии источников риска (риск-факторов), областей реализации рисков (рисксобытий) и мер реагирования;#❝
проводят анализ данных о значимых рисках и об управлении ими, в том числе на предмет выявления системных проблем, и при необходимости готовят предложения для структурных подразделений Банка России и (или) руководства Банка России, направленные на повышение эффективности управления рисками и совершенствование бизнес-процесса.#❝
2.2.8. Работники оператора ПС осуществляют общую координацию деятельности и методологическую поддержку деятельности по управлению непрерывностью функционирования ПС, а также разрабатывают и#❝
2.2.9. Риск-координаторы бизнес-процесса оказывают методологическую поддержку ПУРиН по вопросам обеспечения БФПС и выполняют следующие мероприятия.#❝
согласовывают подготовленные ПУРиН результаты оценки значимых рисков и составляют единый профиль рисков в ПС;#❝
осуществляют контроль за своевременным выполнением ПУРиН решений о применении в отношении значимых рисков мер реагирования, принятых курирующим руководителем Банка России и владельцем бизнеспроцесса, в том числе посредством направления запросов о предоставлении информации и документов руководителям ПУРиН, риск-координаторам ПУРиН и другим работникам ПУРиН;#❝
подготавливают предложения по дополнительным КИР или их отмене и представляют их на рассмотрение владельцу бизнес-процесса;#❝
согласовывают разработанные риск-координаторами ПУРиН дополнительные КИР, а также предложения по их отмене;#❝
проводят оценку эффективности управления значимыми рисками и подготавливают предложения для владельца бизнес-процесса по принятию мер, направленных на совершенствование бизнес-процесса;#❝
подготавливают предложения для владельца бизнес-процесса по реализации решений Комитета, сформированных по итогам проведенной оценки СУР.#❝
согласовывают результаты оценки влияния на BOC каждого инцидента, совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса;#❝
согласовывают предложения риск-координаторов ПУРиН о применении в отношении инцидентов, реализовавшихся при выполнении бизнес-процесса, обеспечивающих мер, в том числе сценариев плана ОНиВД;#❝
2.2.10. Риск-координаторы ПУРиН оказывают методологическую поддержку работникам ПУРиН по вопросам обеспечения БФПС и проводят следующие мероприятия в части операций (шагов) бизнес-процесса,#❝
проводят оценку значимых рисков и заполняют единый профиль рисков в ПС вчасти значимых рисков, присущих операциям (шагам) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;#❝
подготавливают предложения о применении в отношении значимых рисков мер реагирования и согласовывают их с руководителями ПУРиН;#❝
осуществляют контроль за своевременным выполнением ПУРиН решений, принятых курирующим руководителем Банка России, владельцем бизнес-процесса и руководителями ПУРиН в части, относящейся к компетенции ПУРиН, о применении мер реагирования, в том числе посредством направления запросов о предоставлении информации и документов работникам ПУРиН;#❝
разрабатывают по решению руководителей ПУРиН дополнительные КИР, а также предложения по их отмене;#❝
проводят оценку эффективности управления значимыми рисками, в том числе на предмет выявления системных проблем, и подготавливают предложения для руководителей ПУРиН по принятию мер, направленных на совершенствование бизнес-процесса;#❝
подготавливают предложения для руководителей ПУРиН по реализации решений Комитета, сформированных по итогам проведенной оценки СУР.#❝
проводят оценку влияния на БФПС каждого инцидента, совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса, в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, и направляют результаты оценки на согласование риск-координаторам бизнес-процесса;#❝
подготавливают предложения к проекту плана ОНиВД по отдельным сценариям в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;#❝
подготавливают предложения для руководителей ПУРиН о применении в отношении выявленных инцидентов обеспечивающих мер, в том числе сценариев плана ОНиВД;#❝
осуществляют контроль за своевременным выполнением работниками ПУРиН решений о применении обеспечивающих мер, в том числе посредством направления запросов о предоставлении информации и документов работникам ПУРиН;#❝
участвуют в тестировании отдельных сценариев плана ОНиВД и пересмотре плана ОНиВД в части отдельных сценариев;#❝
В части организации взаимодействия Банка России и участников ПС по обеспечению БФПС риск-координаторы ПУРиН совместно с рисккоординаторами бизнес-процесса контролируют выполнение мероприятий по информированию участников ПС о приостановлении и восстановлении оказания УПИ в ПС, если такое информирование входит в состав операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРИН.#❝
Глава 3. Управление рисками в ПС#❝
3.1. Управление рисками в ПС выполняется посредством идентификации значимых рисков, проведения оценки указанных рисков и мер реагирования (далее при совместном упоминании — самооценка), принятия решений о реагировании на значимые риски после применения существующих мер реагирования (далее — остаточный риск) и мониторинга КИР.#❝
3.2. Самооценка выполняется с применением методик анализа рисков, включающих порядок управления операционными рисками Банка России и следующие мероприятия.#❝
3.2.1. Для идентификации значимых рисков последовательно применяются следующие способы с последующим сопоставлением их результатов:#❝
«снизу вверх» — способ, при котором значимые риски идентифицируются риск-координаторами бизнес-процесса совместно с руководителями ПУРиН, риск-координаторами ПУРиН и отдельными работниками структурных подразделений Банка России, обладающими необходимым профессиональным опытом и знаниями о бизнес-процессе;#❝
3.2.2. Для обеспечения эффективного управления значимыми рисками, в том числе выявления системных проблем, идентификации подлежат как значимые риски в рамках одного бизнес-процесса, так и значимые риски в рамках нескольких бизнес-процессах Банка России, реализация которых является источником рисков (риск-фактором) бизнес-процесса (далее —#❝
3.2.3. Для определения уровня значимого риска осуществляется оценка значимого риска с использованием критериев оценки воздействия риска и оценки вероятности реализации риска, установленных в Банке России, с учетом следующего:#❝
очень сильное воздействие — недостижение целей, невыполнение (ненадлежащее выполнение) функций, вследствие которого оцениваемое время восстановления оказания УПИ превысит 4часа в случае приостановления их оказания и (или) оцениваемое время восстановления надлежащего оказания УПИ превысит 48 часов в случае восстановления их надлежащего оказания (с учетом времени перехода на резервную автоматизированную систему и возврата на основное автоматизированное решение);#❝
сильное воздействие — задержки, вследствие реализации которых оцениваемое время восстановления оказания УПИ не превысит 4 часов в случае приостановления их оказания и (или) оцениваемое время восстановления надлежащего оказания УПИ не превысит 48 часов в случае восстановления их надлежащего оказания (с учетом времени перехода на резервную автоматизированную систему и возврата на основное автоматизированное решение);#❝
среднее воздействие — нарушения, вследствие реализации которых оцениваемое время восстановления оказания УПИ не превысит 2 часов в случае приостановления их оказания и (или) оцениваемое время восстановления надлежащего оказания УПИ не превысит 36 часов в случае восстановления их надлежащего оказания (с учетом времени перехода на резервную автоматизированную систему и возврата на основное автоматизированное решение);#❝
низкое воздействие — перебои, вследствие реализации которых оцениваемое время восстановления оказания УПИ не превысит 1 часа в случае приостановления их оказания и (или) оцениваемое время восстановления#❝
надлежащего оказания (с учетом времени перехода на резервную автоматизированную систему и возврата на основное автоматизированное решение);#❝
незначительное воздействие — перебои, вследствие реализации которых оцениваемое время восстановления оказания УПИ не превысит 0,5 часа в случае приостановления их оказания и (или) оцениваемое время восстановления надлежащего оказания УПИ не превысит 6 часов в случае восстановления их надлежащего оказания (с учетом времени перехода на резервную автоматизированную систему и возврата на основное автоматизированное решение).#❝
3.2.4. Для принятия решения о реагировании на остаточные риски используются критерии реагирования на значимые риски, установленные в Банке России.#❝
3.2.5. Для выполнения самооценки используется следующая информация:#❝
экспертные мнения работников Банка России, основанные на их профессиональном опыте и знаниях о бизнес-процессе;#❝
результаты анализа эффективности управления значимыми рисками и эффективности управления непрерывностью функционирования ПС;#❝
результаты независимой оценки СУР и иных процедур внутреннего аудита, проведенных Службой главного аудитора Банка России;#❝
3.2.6. Выполнение самооценки начинается в сроки, установленные нормативными актами Банка России (далее — плановая самооценка), или по решению владельца бизнес-процесса (далее — внеплановая самооценка).#❝
3.2.7. Внеплановая полная самооценка выполняется в отношении всех значимых рисков в случаях, требующих оперативного пересмотра единого профиля рисков в ПС, уровней значимых рисков и мер реагирования, в том числе при существенных изменениях в бизнес-процессе и (или) во внешней и внутренней среде, а также в случае возникновения инцидента, для которого не предусмотрено описание значимого риска в едином профиле рисков в ПС и реализация которого привела к приостановлению оказания УПИ. О принятом решении о проведении внеплановой полной самооценки владелец бизнеспроцесса информирует работников УРСУР не позднее рабочего дня, следующего за датой ее начала.#❝
3.2.8. Внеплановая частичная самооценка выполняется в отношении отдельных значимых рисков в случаях, требующих оперативного пересмотра отдельных значимых рисков, в том числе когда результаты мониторинга КИР свидетельствуют о более высоком уровне риска по сравнению с данными последней самооценки, о неэффективности (недостаточности) применяемых мер реагирования или о наличии значимых рисков, которые в ходе последней самооценки не были идентифицированы как значимые.#❝
3.2.9. Владелец бизнес-процесса принимает решения о проведении внеплановой полной самооценки (внеплановой частичной самооценки) в случаях, указанных в подпунктах 3.2.7 и 3.2.8 настоящего пункта.#❝
3.2.10. По результатам проведенной самооценки (как плановой, так и внеплановой) риск-координаторами ПУРиН заполняется единый профиль рисков в ПС в части своей компетенции, а риск-координаторами бизнес-#❝
приложением 2 к настоящему Положению и с использованием таксономий в порядке, устанавливаемом в Банке России.#❝
3.3. Мониторинг и анализ значимых рисков, в том числе в режиме реального времени (далее — мониторинг значимых рисков), направлены на выявление существенных изменений уровней остаточных рисков, в том числе с применением специализированного программного обеспечения.#❝
3.3.1. Мониторинг КИР направлен на раннее предупреждение руководителей всех уровней в Банке России в части, относящейся к их компетенции, о повышении уровней остаточных рисков до и выше допустимого (приемлемого).#❝
3.3.2. Дополнительные КИР согласовываются курирующим руководителем Банка России, в том числе на основании предложений рисккоординаторов ПУРиН, риск-координаторов бизнес-процесса, владельца бизнес-процесса, работников УРСУР и других заинтересованных структурных подразделений Банка России, а также следующей информации:#❝
3.3.3. КИР могут быть разработаны для мониторинга уровня одного значимого риска или одновременного мониторинга уровней нескольких значимых рисков. Для мониторинга уровня одного значимого риска может быть разработано несколько КИР.#❝
3.3.4. Перечень дополнительных КИР, а также их пороговые значения (одновременно являющиеся пороговыми уровнями) утверждается Комитетом.#❝
3.4. В целях управления значимыми рисками используются следующие меры реагирования, являющиеся также способами управления рисками:#❝
осуществление перевода за счет денежных средств, находящихся на счетах участников ПС, в том числе с учетом лимита внутридневного кредита и кредита овернайт, а также за счет денежных средств, объединенных в пул ликвидности;#❝
Риск-координаторы бизнес-процесса, риск-координаторы ПУРиН могут применять дополнительные меры реагирования, направленные на обеспечение эффективности управления значимыми рисками, с учетом следующего:#❝
применение новой меры реагирования не должно уменьшать положительный эффект от применения ранее используемых мер реагирования;#❝
положительный эффект от вновь применяемой меры реагирования не должен быть меньше положительного эффекта от последовательного или одновременного применения вновь применяемой и ранее использованных мер реагирования;#❝
значимыми рисками, должен быть соразмерен затратам на реализацию указанных мер с учетом риск-аппетита Банка России.#❝
Эффект от применения меры реагирования признается положительным в случае, если уровень воздействия от реализации значимого риска ниже уровня воздействия до применения рассматриваемой меры реагирования или если вероятность реализации значимого риска ниже вероятности реализации до применения рассматриваемой меры реагирования.#❝
3.5.1. Взаимодействие владельца бизнес-процесса и участников ПС в спорных, нестандартных и чрезвычайных ситуациях, включая случаи системных сбоев, осуществляется в соответствии с требованиями нормативных актов Банка России, определяющими правила ПС, а также положениями договоров банковского (корреспондентского) счета (субсчета) и договоров об обмене электронными сообщениями при переводе денежных средств через ПС.#❝
3.5.2. Изменения операционных и технологических средств и процедур, обеспечивающих функционирование ПС, осуществляются в соответствии с нормативными и иными актами Банка России.#❝
3.5.3. Оценка качества функционирования операционных и технологических средств ПС, информационных систем, используемых для обеспечения функционирования ПС, осуществляется Банком России в соответствии с нормативными и иными актами Банка России, определяющими проведение внутреннего контроля.#❝
3.6. Оценка эффективности управления значимыми рисками и эффективности управления непрерывностью функционирования ПС осуществляется посредством сопоставления времени восстановления оказания УПИ в случае приостановления их оказания и (или) времени#❝
настоящего Положения, с фактическим временем за период с даты окончания последней плановой (полной внеплановой) самооценки.#❝
При двукратном и более превышении установленного в пункте 1.2 настоящего Положения времени восстановления оказания УПИ в случае приостановления их оказания и (или) времени восстановления надлежащего оказания УПИ управление значимыми рисками и управление непрерывностью функционирования ПС признаются неэффективными. В иных случаях управление значимыми рисками и управление непрерывностью функционирования ПС признаются эффективными.#❝
При признании управления значимыми рисками и управления непрерывностью функционирования ПС неэффективными подготавливаются меры, направленные на повышение эффективности и на совершенствование бизнес-процесса.#❝
Глава 4. Управление непрерывностью функционирования ПС#❝
4.1. Управление непрерывностью функционирования ПС осуществляется посредством выявления сведений (данных) об инцидентах, регистрации инцидентов, определения влияния их на БФПС, разработки обеспечивающих мер, включая план ОНиВД, тестирования и поддержания плана ОНиВД в актуальном состоянии, а также применения обеспечивающих мер, в том числе сценариев плана ОНиВД, в отношении инцидентов.#❝
4.2. Выявление сведений (данных) об инцидентах осуществляется рисккоординаторами ПУРиН на основании информации о нарушении#❝
4.3. Регистрация инцидентов осуществляется в отношении всех значимых рисков. При регистрации осуществляется сбор и обработка инцидентов, повлекших наступление негативных последствий для Банка России, инцидентов, наступление негативных последствий от которых возможно в будущем, а также инцидентов, наступления негативных последствий от которых удалось избежать.#❝
время и дата возникновения инцидента (в случае невозможности установить время возникновения инцидента указывается время его выявления);#❝
наименование взаимосвязанных последовательных технологических процедур, выполняемых при оказании УПИ, в ходе которых произошел инцидент;#❝
степень влияния инцидента на функционирование ПС в зависимости от количества и значимости участников ПС, на которых оказал непосредственное#❝
несвоевременно исполненных, и (или) ошибочно исполненных распоряжений участников ПС, и иных факторов;#❝
мероприятия по устранению инцидента и его негативных последствий с указанием планируемой и фактической продолжительности проведения данных мероприятий;#❝
4.4. Оценка влияния на БФПС каждого инцидента, приведшего к нарушению Регламента выполнения процедур, проводится в течение 24 часов с момента его возникновения (выявления), а также в течение 24 часов после устранения инцидента (восстановления надлежащего оказания УПИ в ПС).#❝
4.4.1. Инцидент, приведший к нарушению Регламента выполнения процедур, признается непосредственно не влияющим на БФПС (влияющим опосредованно) в случае, если не нарушен пороговый уровень индикатора продолжительности восстановления оказания УПИ (далее — КИР!) и#❝
4.4.2. Инцидент, приведший к нарушению Регламента выполнения процедур, признается влияющим на БФПС в случае, если вследствие данного инцидента реализовано хотя бы одно из следующих условий:#❝
4.4.3. В случае выявления дополнительных обстоятельств в отношении инцидента, приведшего к нарушению Регламента выполнения процедур, оценка влияния на БФИС которого уже завершена, проводится повторная оценка влияния произошедшего инцидента на БФПС с учетом вновь выявленных обстоятельств с последующей актуализацией сведений, указанных в пункте 4.3 настоящего Положения.#❝
4.5. Оценка влияния на БФПС всех инцидентов, приведших к нарушению Регламента выполнения процедур, проводится на ежемесячной основе не позднее 5 рабочих дней после окончания календарного месяца.#❝
4.5.1. Инциденты, приведшие к нарушению Регламента выполнения процедур и произошедшие в отчетном месяце, признаются непосредственно не влияющими на БФПС (влияющими опосредованно), если хотя бы одно расчетное значение индикатора соблюдения Регламента выполнения процедур (далее — КИР 3), индикатора доступности операционного центра ПС (далее — КИР 4), индикатора изменения частоты инцидентов, произошедших в ПС (далее — КИР 5), нарушает пороговый уровень за отчетный месяц, за исключением случая, когда расчетные значения КИР 3, КИР 4, КИР 5 за этот период одновременно нарушают пороговые уровни.#❝
4.5.2. Инциденты, приведшие к нарушению Регламента выполнения процедур и произошедшие в отчетном месяце, признаются влияющими на БФПС, если расчетные значения KMP3, КИР 4, КИР 5 за этот период#❝
4.5.3. В случае выявления инцидентов, приведших к нарушению Регламента выполнения процедур, или дополнительных обстоятельств в отношении указанных инцидентов, произошедших в ПС в течение календарного месяца, за который уже проведена оценка их влияния на БФПС, инициируется повторная оценка влияния произошедших инцидентов на БФПС с учетом вновь выявленных обстоятельств с последующей актуализацией сведений, указанных в пункте 4.3 настоящего Положения.#❝
4.6. Разработка и применение обеспечивающих мер, в том числе сценариев плана ОНиВД, в отношении инцидентов осуществляются для:#❝
4.7. Обеспечивающие меры, в том числе сценарии плана ОНиВД, в отношении инцидентов должны содержать критерии их активации, а также описание процесса принятия решения об активации и их реализации в зависимости от уровня реализовавшегося значимого риска с момента выявления инцидента работником ПУРиН до момента доведения принятого решения до работников ПУРиН, имеющих компетенцию на реализацию соответствующих обеспечивающих мер.#❝
4.8. При разработке обеспечивающих мер, в том числе сценариев плана ОНиВД, в отношении инцидентов определяется состав мероприятий, выполнение которых позволит получить промежуточный результат по реализации обеспечивающих мер или будет завершено в следующие временные интервалы с момента выявления инцидента: 15 минут, 45 минут, 120 минут, 240 минут.#❝
Глава 5. Организация взаимодействия Банка России и участников#❝
Глава 6. Заключительные положения#❝
Приложение 1 к Положению Банка России#❝
«О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в электронном виде по каналам связи»#❝
2.1. КИР 1 рассчитывается по каждому из инцидентов, повлекших приостановление оказания УПИ, как период времени с момента приостановления оказания операционных услуг, и (или) услуг платежного клиринга, и (или) расчетных услуг и до момента восстановления оказания всех УПИ в ПС (далее — момент устранения последствий инцидента).#❝
2.2. КИР 2 рассчитывается по каждому из инцидентов, повлекших приостановление оказания УПИ, как период времени между двумя последовательно произошедшими инцидентами, в результате которых приостанавливалось оказание УПИ, с момента устранения последствий первого инцидента и до момента выявления следующего инцидента.#❝
2.3. КИР 3 рассчитывается ежемесячно по формуле:#❝
№- количество распоряжений участников ПС (их клиентов), по которым были оказаны УПИ в рамках временного интервала, указанного в приложении 3 к настоящему Положению для сервиса срочного перевода денежных средств через ПС (далее — сервис срочного перевода ПС) (сервиса несрочного перевода денежных средств через ПС (далее — сервис несрочного#❝
2.4. КИР 4 рассчитывается ежемесячно как среднее значение коэффициента доступности операционного центра ПС за оцениваемый#❝
D, — общая продолжительность всех приостановлений оказания операционных услуг операционным центром ПС в течение К-го рабочего дня в минутах;#❝
2.5. КИР 5 рассчитывается ежемесячно как темп прироста среднедневного количества инцидентов за оцениваемый календарный месяц#❝
2.6. КИР 6 рассчитывается ежемесячно по формуле:#❝
где: в - сумма денежных средств, в отношении которой получены уведомления от участников ПС о списании денежных средств с их банковских#❝
законодательством Российской Федерации или договором банковского (корреспондентского) счета (субсчета), за оцениваемый календарный месяц;#❝
Soo" — сумма денежных средств по операциям списания со счетов участников ПС за оцениваемый календарный месяц.#❝
3. Сопоставление расчетного значения КИР, дополнительного КИР (далее при совместном упоминании в целях настоящего пункта — КИР) с пороговым уровнем осуществляется следующим образом.#❝
3.1. В случае нарушения порогового уровня КИР:#❝
структурные подразделения Банка России, ответственные согласно параметрам КИР за принятие мер реагирования при достижении (выполнении) КИР порогового уровня, реализуют указанные меры;#❝
риск-координаторы бизнес-процесса (риск-координаторы ПУРиН), осуществляющие сопоставление расчетного значения КИР, не позднее 5 рабочего дня, следующего за датой выявления нарушения порогового уровня КИР, после согласования с владельцем бизнес-процесса (руководителями ПУРиН и руководителями структурных подразделений Банка России) регистрируют информацию о причинах нарушения порогового уровня КИР и принятых мерах реагирования в соответствии с приложением 5 к настоящему Положению.#❝
3.2. Актуализация информации о причинах нарушения порогового уровня КИР и принятых мерах реагирования проводится рисккоординаторами бизнес-процесса (риск-координаторами ПУРиН и#❝
осуществляющими мониторинг КИР согласно параметрам КИР, после согласования с владельцем бизнес-процесса (руководителями ПУРиН) и при необходимости с руководителями соответствующих — структурных подразделений Банка России не позднее 5 рабочего дня, следующего за датой появления в структурном подразделении Банка России соответствующей информации.#❝
3.3. Работники структурных подразделений Банка России представляют риск-координаторам бизнес-процесса (риск-координаторам ПУРиН), осуществляющим мониторинг КИР согласно параметрам КИР, необходимые документы и информацию для регистрации и актуализации данных о причинах нарушения порогового уровня КИР и принятых мерах реагирования в сроки, предусмотренные подпунктами 3.1 и 3.2 настоящего пункта.#❝
4.1. Риск-координаторы ПУРиН разрабатывают дополнительные КИР уровня операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, осуществляя следующие мероприятия.#❝
4.1.1. Риск-координаторы ПУРиН на основании принятого руководителем ПУРиН решения разрабатывают дополнительные КИР и определяют их параметры в соответствии с приложением 6 к настоящему Положению.#❝
4.1.2. Риск-координаторы ПУРиН передают параметры разработанных дополнительных КИР после согласования с руководителями ПУРиН и руководителями структурных подразделений Банка России на согласование риск-координаторам бизнес-процесса.#❝
4.2. Риск-координаторы бизнес-процесса разрабатывают дополнительные КИР уровня бизнес-процесса и определяют их параметры в соответствии с приложением 6 к настоящему Положению.#❝
4.3. Риск-координаторы бизнес-процесса направляют разработанные в соответствии с подпунктами 4.1 и 4.2 настоящего пункта дополнительные КИР на согласование в заинтересованные структурные подразделения Банка России, в том числе:#❝
в структурные подразделения Банка России, обладающие информацией, необходимой для определения текущих значений дополнительных КИР, - в части наличия, возможности и порядка предоставления указанной информации;#❝
4.4. Риск-координаторы бизнес-процесса осуществляют оценку применимости разработанных дополнительных КИР для целей мониторинга существенных изменений уровней остаточных рисков, присущих бизнеспроцессу. В отношении дополнительных КИР уровня операций (шагов) бизнес-процесса оценка применимости проводится риск-координаторами бизнес-процесса с привлечением риск-координаторов ПУРин.#❝
4.5. При положительном результате оценки применимости дополнительных КИР риск-координаторы бизнес-процесса направляют параметры дополнительных КИР на верификацию работникам УРСУР.#❝
4.6. Риск-координаторы бизнес-процесса не позднее 2 рабочего дня, следующего за датой получения замечаний от работников УРСУР, вносят уточнения в параметры дополнительных КИР и направляют их на повторную оценку применимости дополнительных КИР, осуществляемую в соответствии с подпунктом 4.4 настоящего пункта, за исключением случаев, когда для уточнения параметров дополнительных КИР требуются более длительные сроки, в том числе при необходимости проведения дополнительных согласований параметров дополнительных КИР с заинтересованными структурными подразделениями Банка России.#❝
4.7. Владелец бизнес-процесса не позднее 5 рабочего дня с даты представления предложения о параметрах дополнительных КИР направляет на согласование указанное предложение курирующему руководителю Банка России или возвращает его риск-координаторам бизнес-процесса с указанием причин несогласия с указанным предложением.#❝
4.8. Риск-координаторы бизнес-процесса не позднее 2 рабочего дня, следующего за датой получения замечаний от курирующего руководителя Банка России (владельца бизнес-процесса), вносят уточнения в параметры дополнительных КИР с последующим направлением их на оценку применимости дополнительных КИР, осуществляемую в соответствии с подпунктом 4.4 настоящего пункта, за исключением случаев, когда для#❝
4.9. Владелец бизнес-процесса не позднее 5 рабочего дня, следующего за датой согласования курирующим руководителем Банка России параметров дополнительных КИР, обеспечивает доведение до — структурных подразделений Банка России, указанных в подпункте 4.3 настоящего пункта, информации о параметрах дополнительных КИР.#❝
4.10. Хранение информации о КИР и их параметрах осуществляется с использованием специализированного программного обеспечения.#❝
Приложение 2#❝
OT 27 wanra 2019 года №580-П «О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса#❝
Общая информация о риске Оценка присущего риска Риск Источники риска Область Последствия Оценка Оценка Уровень риска (риск-факторы) реализации вероятности воздействия Описание | Бизнес- |Подразделение,| Владе- Риск- |Связанные| риска (риск- | Послед- | Связанные риска |процесс| возглавляемое | лец | факторы риски событий) CTBHA риски владельцем риска |(источники бизнесриска) процесса 1 3 4 5 6 7 8 10 11 12 Применяемые Оценка остаточного риска Решение о дальнейшей работе с риском Дата рагирования Оценка Оценка Уровень Способ Меры Ответственный | Установленный | Фактический “актуализа., вероятвоздейстриска | реагирования | реагирования | за реализацию |срок реализации | срок реализации ии) ности BHA мер мер мер реагирования реагирования реагирования 13 14 15 16 17 18 19 20 21 22#❝
1. В графе 1 приводится описание значимого риска (информация о том, какое может произойти конкретное событие, которое может иметь негативные последствия для Банка России).#❝
2. В графе 2 указывается бизнес-процесс с уточнением операции (шага), на которой (котором) идентифицирован значимый риск.#❝
3. В графе 3 указывается структурное подразделение Банка России, возглавляемое владельцем бизнес-процесса.#❝
5. В графе 5 указываются источники значимого риска (риск-факторы) с использованием таксономии источников риска (риск-факторов), используемых в Банке России. Если источник риска (риск-фактор) связан с системами и оборудованием, то дополнительно указывается соответствующая система или оборудование, в том числе ИТ-решение.#❝
6. В графе 6 указываются связанные риски (при наличии) с кратким описанием взаимосвязи. При отсутствии информации об идентифицированных ранее связанных рисках указывается бизнес-процесс (операция, шаг), которому присущ связанный риск, выполняющее его структурное подразделение Банка России, коллегиальный орган и краткое описание взаимосвязи.#❝
7. В графе 7 указываются области реализации значимого риска (рисксобытия) с использованием таксономии областей реализации рисков (рисксобытий).#❝
8. В графе 8 указывается вид негативных последствий реализации значимого риска и краткое обоснование соответствующего воздействия.#❝
9. В графе 9 указываются связанные риски (при наличии), реализация которых возможна вследствие реализации рассматриваемого риска. При#❝
11. В графе 11 приводится оценка воздействия присущего риска по каждому из видов негативных последствий, указанных в графе 8.#❝
13. В графе 13 указываются применяемые меры реагирования на значимый риск с использованием таксономии мер реагирования на риски.#❝
15. В графе 15 приводится оценка воздействия остаточного риска по каждому из видов негативных последствий, указанных в графе 8.#❝
17. В графе 17 указывается принятое решение (предложение) о способе реагирования на остаточный риск и его краткое обоснование, а также должностное лицо (должность, фамилия, имя, отчество), принявшее решение (подготовившее предложение).#❝
18. В графе 18 приводится краткое описание разрабатываемых, реализуемых и предлагаемых мер реагирования на остаточный риск (включая информацию о документах, в которых зафиксировано решение о мерах реагирования, и других документах, имеющих отношение к принятому решению) (при наличии).#❝
19. В графе 19 по каждой мере реагирования, включенной в графу 18, указываются структурное подразделение Банка России и при необходимости конкретный работник, ответственные за реализацию мер реагирования.#❝
Приложение 3 к Положению Банка России ore’#❝
«О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в электронном виде по каналам связи»#❝
Наименова- Время выполнения Время Время выполнения Время выполнения ние услуги Код процедур УПИ (в части выполнения процедур УПИ (в части процедур УПИ (в платежной Наименование процедуры Процесервиса срочного процедур УПИ (в сервиса несрочного части сервиса роцедур роц инфрадуры перевода ПС при части сервиса перевода ПС при несрочного структуры достаточности денежных | срочного перевода | достаточности денежных перевода ПС), средств), минуты! ПС), минуты? средств), минуты? минуты“ 1 2 3 4 5 6 7 Передача распоряжений участников Операцион- | ПС/тодтверждений об исполнении распоряжений 1 не более 2 не более 2 не более 2 не более 2 ная услуга участников ПС в электронном виде через транспортную систему Банка России Прием к исполнению распоряжений участников ПС, включая: процедуру удостоверения права распоряжения денежными средствами контроль целостности распоряжений структурный контроль распоряжений контроль дублирования распоряжений Услуга контроль значений реквизитов распоряжений платежного контроль лимитов 2 не более 4 не более 4 не более 30 не более 30 клиринга контроль достаточности денежных средств Определение платежных клиринговых позиций — определение с учетом результатов контроля достаточности денежных средств распоряжения для исполнения на индивидуальной основе (или в период времени, установленный регламентом функционирования ПС)#❝
1 2 4 5 6 7 Исполнение распоряжений участников ПС Расчетная м услуга Подтверждение об исполнении распоряжений не более 1 не более 24 не более 6 не более 24 Надлежащим оказанием УПИ признается выполнение всех процедур за временной период 5 25 35 55#❝
' Надлежащим оказанием УПИ для сервиса срочного перевода ПС признается оказание УПИ при переводе денежных средств через ПС на основании распоряжения, по которому процедуры приема к исполнению, включая контроль достаточности денежных средств, находящихся на банковском (корреспондентском) счете (субсчете) (на нескольких банковских (корреспондентских) счетах (субсчетах), денежные средства Ha которых объединены в пул ликвидности) участника ПС (далее — контроль достаточности денежных средств) (при этом отсутствует необходимость помещения распоряжения во внутридневную очередь, в очередь распоряжений, ожидающих разрешения на проведение операций, в очередь распоряжений, ожидающих проверки, и в очередь распоряжений, требующих выполнения условий перевода денежных средств), процедура определения платежных клиринговых позиций завершены положительно в течение временного интервала, не превышающего 5 минут.#❝
? Надлежащим оказанием УПИ для сервиса срочного перевода ПС признается оказание УПИ при переводе денежных средств через ПС на основании распоряжения, по которому процедуры приема к исполнению, за исключением контроля достаточности денежных средств, и процедура определения платежных клиринговых позиций завершены положительно в течение временного интервала, не превышающего 25 минут (максимальное время на осуществление обмена электронными сообщениями, выполнение процедур приема к исполнению и исполнение распоряжения участника ПС, в том числе на направление участнику ПС извещения о списании денежных средств), без учета времени нахождения указанного распоряжения во внутридневной очереди, в очереди распоряжений, ожидающих разрешения на проведение операций, в очереди распоряжений, ожидающих проверки, и в очереди распоряжений, требующих выполнения условий перевода денежных средств.#❝
3 Надлежащим оказанием УПИ для сервиса несрочного перевода ПС признается оказание УПИ при переводе денежных средств через ПС#❝
на основании распоряжения, по которому процедуры приема к исполнению, включая контроль достаточности денежных средств, с учетом#❝
времени нахождения указанного распоряжения во внутридневной очереди до начала ближайшего несрочного рейса (при этом отсутствует необходимость помещения распоряжения в очередь распоряжений, ожидающих разрешения на проведение операций, в очередь распоряжений, ожидающих проверки, и в очередь не исполненных в срок распоряжений), процедура определения платежных клиринговых позиций завершены положительно в течение временного интервала, не превышающего 35 минут.#❝
4 Надлежащим оказанием УПИ для сервиса несрочного перевода ПС признается оказание УПИ при переводе денежных средств через ПС на основании распоряжения, по которому процедуры приема к исполнению, за исключением контроля достаточности денежных средств, с учетом времени нахождения указанного распоряжения во внутридневной очереди до начала ближайшего несрочного рейса, но без учета времени нахождения указанного распоряжения во внутридневной очереди по иным причинам, в очереди распоряжений, ожидающих разрешения на проведение операций, в очереди распоряжений, ожидающих проверки, и в очереди не исполненных в срок распоряжений, процедура определения платежных клиринговых позиций завершены положительно в течение временного интервала, не превышающего 55 минут (максимальное время на осуществление обмена электронными сообщениями, выполнение процедур приема к исполнению и исполнение#❝
Приложение 4#❝
«О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в электронном виде по каналам связи»#❝
1. План ОНиВД должен представлять собой комплекс мер, реализуемых ITYPuH до, во время и после реализации риска, потенциально влияющего на БФПС.#❝
2. План ОНиВД должен состоять из иерархически взаимосвязанных планов, каждый из которых регламентирует деятельность ПУРиН или подразделения, руководителем которого является владелец бизнес-процесса, в пределах их компетенции при обеспечении надлежащего оказания УПИ. В состав указанных планов входят в том числе планы ОНиВД для автоматизированных систем (далее — AC), ПТК, систем телекоммуникаций (далее — CT) и систем инженерного обеспечения, применяемых для обеспечения функционирования ПС.#❝
3. В плане ОНиВД должны быть приведены сведения о структурном подразделении Банка России, на которое возложены полномочия и обязанности по разработке, пересмотру и контролю исполнения плана ОНиВД, а также сведения о должностных лицах, ответственных за разработку (в том числе внесение изменений), анализ и пересмотр указанного плана.#❝
4. Планом ОНиВД определяются следующие объекты:#❝
персонал, эксплуатирующий, обслуживающий и сопровождающий ПТК и СТ, автоматизированные рабочие места (далее — APM), системы#❝
ПС, а также персонал, использующий информационные ресурсы АС при выполнении должностных обязанностей;#❝
помещения (здания), в которых размещен персонал и APM, расположены ПТК и СТ, используемые для обеспечения функционирования ПС;#❝
5. План ОНиВД должен содержать перечень АС, ПТК, СТ, АРМ и состав персонала как для обеспечения надлежащего оказания УПИ, так и при оказании УПИ.#❝
6. Планом ОНиВД может быть предусмотрено выполнение одного сценария в отношении нескольких реализовавшихся значимых рисков одной группы.#❝
7. При формировании сценариев для плана ОНиВД необходимо руководствоваться следующей классификацией групп значимых рисков:#❝
значимые риски, которые могут привести к значительным потерям ПТК, потере более 30% персонала на период от 6 месяцев, способного обеспечивать надлежащее оказания УПИ, разрушению помещений (зданий) в результате стихийных бедствий, таких как землетрясение, наводнение, либо террористического акта, пожара, объявления в стране эпидемии смертельно опасного заболевания (риск 1-й группы);#❝
значимые риски, угрожающие жизни персонала (например, пожар в здании, отказ систем отопления, вентиляции, ’кондиционирования, водоснабжения и канализации, пожаротушения и пожарной сигнализации, охраны зданий), связанные с отказом ПТК или СТ, в том числе вследствие воздействия вредоносного программного обеспечения, и приведшие к#❝
реализовавшихся рисков персоналом, обеспечивающим функционирование ПС (отказ системы энергоснабжения квартала или здания, где размещены критически значимые компоненты ПТК, угроза террористического акта, пожар в отдельных помещениях здания, в которых размещены элементы ПТК) (риск 2-й группы);#❝
значимые риски, которые могут привести к невозможности персонала выполнять свои функциональные обязанности из-за сбоев в работе ПТК или СТ, систем инженерного обеспечения, ликвидация которых возможна силами персонала (риск 3-й группы). Риски 3-й группы устраняются собственными силами персонала путем обнаружения и устранения причины сбоя в ПТК или в системе инженерного обеспечения, а также перехода на резервные средства ПТК, источники бесперебойного электропитания;#❝
8. Планом ОНиВД в отношении значимых рисков любого уровня должны быть определены уполномоченные лица ПУРиН, которыми контролируется надлежащее оказание УПИ в части их компетенции, выявляются и фиксируются инциденты, а также доводится до руководителей ПУРиН и риск-координаторов ПУРиН информация об инцидентах.#❝
План ОНиВД должен содержать схемы оповещения должностными лицами указанного органа управления заинтересованных лиц при реализации значимых рисков. Состав заинтересованных лиц необходимо определять исходя из присвоенного значимому риску уровня.#❝
При реализации рисков 3-й и 4-й групп для принятия решения по активации соответствующего сценария плана ОНиВД достаточно решения руководителей ПУРиН, к компетенции которых относится управление#❝
Приложение 5 к Положению Банка России#❝
«О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в электронном виде по каналам связи»#❝
Наименование | Подразделение, осуществляющее Расчетное Нарушение порогового Уровень риска Дата, по состоянию КИР мониторинг КИР значение значения (уровня) на которую выполнена проверка 1 2 3 4 5 6#❝
порогового значения реагирования реализацию мер реализации мер реализации мер (уровня) реагирования реагирования реагирования 7 8 9 10 11#❝
2. В графе 2 указывается структурное подразделение Банка России (ПУРиН), осуществляющее мониторинг КИР.#❝
6. В графе 6 указывается дата, по состоянию на которую выполнена проверка на предмет нарушения КИР порогового значения (уровня).#❝
7. В графе 7 указываются причины нарушения КИР порогового значения (уровня), а также документы (при наличии), имеющие отношение к нарушению КИР порогового значения (уровня).#❝
8. В графе 8 описываются принятые меры реагирования при нарушении КИР порогового значения (уровня), в том числе документы (при наличии), которыми они зафиксированы (оформлены, установлены).#❝
Приложение 6#❝
«О порядке обеспечения бесперебойности функционирования платежной системы Банка России в части сервиса срочного перевода денежных средств и сервиса несрочного перевода денежных средств при предоставлении распоряжений о переводе денежных средств в электронном виде по#❝
Параметры КИР Наименование | Описание | Структурное Риск | Подразделение, Подразделение, Порядок Источники Порядок КИР КИР подразделение | (риски) | возглавляемое | осуществляющее определе- | информации | предоставления Банка России, владельцем мониторинг КИР НИЯ информации разработавшее бизнесрасчетных КИР процесса значений КИР 1 2 3 4 5 6 7 8 9 Периодичность | Порого- Вероятность риска при Уровень риска Обоснова- Меры Дата начала Дата мониторинга вое достижении порогового при достижении ние реагирования | мониторинга | согласования значение значения (уровня) порогового значения порогового /отмены КИР (уровень) (уровня) значения (уровня) 10 11 12 13 14 15 16 17#❝
4. В графе 4 указывается значимый (значимые) риск (риски), мониторинг уровня (уровней) которого (которых) осуществляется с использованием КИР.#❝
5. В графе 5 указывается структурное подразделение Банка России, возглавляемое владельцем бизнес-процесса.#❝
6. В графе 6 указывается структурное подразделение Банка России (ПУРиН), осуществляющее мониторинг КИР.#❝
7. В графе 7 указывается порядок определения расчетных значений (уровней) КИР (формула, алгоритм расчета или текстовое описание порядка определения расчетных значений КИР).#❝
8. В графе 8 указываются источники информации для определения расчетных значений (уровней) КИР (данные информационных систем Банка России, информация структурных подразделений Банка России, другие данные).#❝
9. В графе 9 указываются структурные подразделения Банка России, предоставляющие необходимую информацию, и порядок (в том числе сроки и форма) ее предоставления.#❝
10. В графе 10 указывается периодичность актуализации расчетных значений (уровней) КИР (в режиме реального времени, по состоянию на определенную дату (определенное время), другое).#❝
13. В графе 13 указываются уровни значимых рисков, соответствующие достижению КИР порогового значения (уровня).#❝
15. В графе 15 приводится информация о планируемых мерах реагирования при достижении КИР порогового значения (уровня), в том числе о принимающих их структурных подразделениях Банка России (ПУРиН) и порядке принятия мер.#❝
О каких нормах
Документы того же органа рядом по дате
- О требованиях к расчету размера собственных средств при осуществлении профессиональной деятельности на рынке ценных бумаг, а также при получении лицен — Указание Банка России от 22.03.2019 № 5099-У
- О внесении изменений в Указание Банка России от 27 октября 2014 года № 3424-У «О порядке ведения государственного реестра саморегулируемых организаций — Указание Банка России от 22.03.2019 № 5098-У
- О внесении изменений в Указание Банка России от 14 декабря 2015 года № 3897-У «О порядке согласования Банком России руководителя саморегулируемой орга — Указание Банка России от 22.03.2019 № 5097-У
- О случае открытия оператором товарных поставок торгового товарного счета и клирингового товарного счета, если учет имущества, используемого для исполн — Указание Банка России от 26.03.2019 № 5102-У
- О внесении изменения в пункт 12 Указания Банка России от 17 октября 2018 года № 4936-У «О порядке представления кредитными организациями в уполномочен — Указание Банка России от 28.03.2019 № 5108-У
- О внесении изменения в пункт 1 Указания Банка России от 2 марта 2015 года № 3580-У «О представлении кредитными организациями финансовой отчетности — Указание Банка России от 29.03.2019 № 5111-У
- О порядке осуществления Банком России контроля за деятельностью объединения страховщиков, в том числе за формированием объединением страховщиков фонда — Положение Банка России от 30.03.2019 № 681-П
- О форме и сроках предоставления в Банк России отчетности оператора услуг платежной инфраструктуры, оператора платежной системы по инцидентам, возникши — Указание Банка России от 01.04.2019 № 5110-У