Глава 3. Управление рисками в платежной системе Банка России

3.1. Управление рисками в ПС должно осуществляться посредством поддержания в актуальном состоянии описания бизнес-процесса и стандартов ОПКЦ внешней платежной системы, подготовки и актуализации перечня значимых рисков, идентификации значимых рисков, проведения оценки значимых рисков и действующих мер реагирования, принятия решения о реагировании на значимые риски после применения действующих мер реагирования (далее - остаточный риск), утверждения профиля рисков в ПС, актуализации данных о значимых рисках (далее при совместном упоминании - самооценка), а также мониторинга уровней значимых рисков.

3.2. Самооценка должна выполняться подразделениями Банка России в соответствии с методикой управления операционными рисками Банка России, структурными подразделениями ОПКЦ внешней платежной системы - в соответствии с приложением 4 к настоящему Положению и следующими мероприятиями (далее при совместном упоминании - методики анализа рисков).

3.2.1. Идентификация значимых рисков должна осуществляться с последовательным применением следующих способов и сопоставлением полученных результатов:

"снизу вверх" - способ, при котором значимые риски должны идентифицироваться риск-координаторами бизнес-процесса совместно с руководителями ПУРиН, риск-координаторами ПУРиН и работниками структурных подразделений Банка России, обладающими необходимым профессиональным опытом и знаниями о бизнес-процессе, риск-координатором СБП внешней платежной системы совместно с риск-координаторами ПУРиН внешней платежной системы;

"сверху вниз" - способ, при котором значимые риски должны идентифицироваться владельцем бизнес-процесса.

3.2.2. Для выявления системных проблем идентификации должны подлежать как значимые риски в рамках одного бизнес-процесса, так и значимые риски в рамках нескольких бизнес-процессов, реализация которых является источником рисков бизнес-процесса (далее - связанные риски).

3.2.3. Для определения уровня значимого риска в ПС должна осуществляться оценка значимого риска с использованием шкалы оценки вероятности реализации риска, приведенной в приложении 5 к настоящему Положению, и следующей шкалы оценки воздействия риска.

3.2.3.1. Очень сильное воздействие - недостижение целей, невыполнение (ненадлежащее выполнение) функций Банка России в части оказания УПИ при выполнении хотя бы одного условия:

непоступление в рамках операционного дня в течение периода времени, превышающего два часа, в ПС хотя бы одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

доля количества распоряжений, исполненных более чем за пять минут с использованием сервиса срочного перевода и (или) более чем за тридцать пять минут с использованием сервиса несрочного перевода до момента восстановления надлежащего оказания УПИ, превысила 75 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

непоступление в течение периода времени, превышающего один час, в ОПКЦ внешней платежной системы хотя бы одного распоряжения от участников ПС и (или) непоступление хотя бы одного поручения для СБП в ПС;

доля количества распоряжений, исполненных более чем за тридцать секунд с использованием СБП до момента восстановления надлежащего оказания УПИ, превысила 75 процентов от значения медианы количества исполненных с использованием СБП в течение суток распоряжений, поступивших от участников ПС за предыдущий календарный месяц.

3.2.3.2. Сильное воздействие - задержки в выполнении функций Банка России в части оказания УПИ в рамках ПС при выполнении хотя бы одного условия:

непоступление в рамках операционного дня в течение периода времени от одного часа до двух часов (включительно) в ПС хотя бы одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

доля количества распоряжений, исполненных более чем за пять минут с использованием сервиса срочного перевода и (или) более чем за тридцать пять минут с использованием сервиса несрочного перевода до момента восстановления надлежащего оказания УПИ, превысила 50 процентов, но меньше 75 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

непоступление в течение периода времени от тридцати минут до одного часа (включительно) в ОПКЦ внешней платежной системы хотя бы одного распоряжения от участников ПС и (или) непоступление хотя бы одного поручения для СБП для исполнения с использованием СБП;

доля количества распоряжений, исполненных более чем за тридцать секунд с использованием СБП до момента восстановления надлежащего оказания УПИ, превысила 50 процентов, но меньше 75 процентов (включительно) от значения медианы количества исполненных с использованием СБП в течение суток распоряжений, поступивших от участников ПС за предыдущий календарный месяц.

3.2.3.3. Среднее воздействие - нарушения в выполнении функций Банка России в части оказания УПИ в рамках ПС при выполнении хотя бы одного условия:

непоступление в рамках операционного дня в течение периода времени от тридцати минут до одного часа (включительно) в ПС хотя бы одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

доля количества распоряжений, исполненных более чем за пять минут с использованием сервиса срочного перевода и (или) более чем за тридцать пять минут с использованием сервиса несрочного перевода до момента восстановления надлежащего оказания УПИ, превысила 25 процентов, но меньше 50 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

непоступление в течение периода времени от пятнадцати минут до тридцати минут (включительно) в ОПКЦ внешней платежной системы хотя бы одного распоряжения от участников ПС и (или) непоступление хотя бы одного поручения для СБП для исполнения с использованием СБП;

доля количества распоряжений, исполненных более чем за тридцать секунд с использованием СБП до момента восстановления надлежащего оказания УПИ, превысила 25 процентов, но меньше 50 процентов (включительно) от значения медианы количества исполненных с использованием СБП в течение суток распоряжений, поступивших от участников ПС за предыдущий календарный месяц.

3.2.3.4. Низкое воздействие - перебои в выполнении функций Банка России в части оказания УПИ в рамках ПС при выполнении хотя бы одного условия:

непоступление в рамках операционного дня в течение периода времени от пятнадцати минут до тридцати минут (включительно) в ПС хотя бы одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

доля количества распоряжений, исполненных более чем за пять минут с использованием сервиса срочного перевода и (или) более чем за тридцать пять минут с использованием сервиса несрочного перевода до момента восстановления надлежащего оказания УПИ, превысила 10 процентов, но меньше 25 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

непоступление в течение периода времени от четырех минут до пятнадцати минут (включительно) в ОПКЦ внешней платежной системы хотя бы одного распоряжения от участников ПС и (или) непоступление хотя бы одного поручения для СБП для исполнения с использованием СБП;

доля количества распоряжений, исполненных более чем за тридцать секунд с использованием СБП до момента восстановления надлежащего оказания УПИ, превысила 10 процентов, но меньше 25 процентов (включительно) от значения медианы количества исполненных с использованием СБП в течение суток распоряжений, поступивших от участников ПС за предыдущий календарный месяц.

3.2.3.5. Незначительное воздействие - перебои в осуществлении отдельных процедур при выполнении функций Банка России в части оказания УПИ в рамках ПС при выполнении хотя бы одного условия:

доля количества распоряжений, поступивших от одного участника ПС и исполненных более чем за пять минут с использованием сервиса срочного перевода и (или) более чем за тридцать пять минут с использованием несрочного перевода до момента восстановления надлежащего оказания УПИ, превысила 2 процента от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от указанного участника ПС за предыдущий календарный месяц;

доля количества распоряжений, поступивших от двух и более участников ПС и исполненных более чем за пять минут с использованием сервиса срочного перевода и (или) более чем за тридцать пять минут с использованием несрочного перевода до момента восстановления надлежащего оказания УПИ, превысила 5 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от указанных участников ПС за предыдущий календарный месяц;

количество распоряжений, поступивших от одного участника ПС и исполненных более чем за тридцать секунд до момента восстановления надлежащего оказания УПИ, превысила 5 000 распоряжений, поступивших от указанного участника ПС в течение суток для исполнения с использованием СБП;

количество распоряжений, поступивших от двух и более участников ПС и исполненных более чем за тридцать секунд до момента восстановления надлежащего оказания УПИ, превысила 15 000 распоряжений, поступивших от указанных участников ПС в течение суток для исполнения с использованием СБП.

3.2.4. Решение о применении мер реагирования по выявленным рискам должно приниматься в зависимости от расположения рисков на карте рисков, предусмотренной в приложении 3 к настоящему Положению.

Для рисков, расположенных в I зоне карты рисков, решение о применении мер реагирования должно приниматься на уровне руководителя ПУРиН, во II зоне - на уровне владельца бизнес-процесса, в III зоне - на уровне курирующего руководителя Банка России.

3.2.5. Проведение самооценки должно осуществляться с использованием в том числе следующей информации:

сведений, представленных работниками Банка России и работниками ОПКЦ внешней платежной системы;

результатов мониторинга уровней значимых рисков;

абзац утратил силу. - Указание Банка России от 22.09.2022 N 6254-У;

сведений об инцидентах;

результатов оценки СУР, проведенной Службой главного аудитора Банка России, и результатов оценки системы управления рисками ОПКЦ внешней платежной системы, проведенной подразделением, осуществляющим внутренний аудит ОПКЦ внешней платежной системы;

результатов оценки СУР, в том числе методики анализа рисков, проведенной Комитетом;

результатов мероприятий, проведенных органами государственного контроля (надзора).

3.2.6. План ОНиВД как мера реагирования должен разрабатываться в соответствии с требованиями, приведенными в приложении 6 к настоящему Положению, а также с учетом следующего:

сценарии, включенные в план ОНиВД, должны разрабатываться в отношении значимых операционных рисков, для которых в качестве мер реагирования предусматривается разработка плана ОНиВД;

план ОНиВД должен состоять из иерархически взаимосвязанных планов, каждый из которых регламентирует деятельность ПУРиН, ПУРиН внешней платежной системы или подразделения, руководителем которого является владелец бизнес-процесса, в пределах их компетенции при обеспечении надлежащего оказания УПИ.

3.2.7. Самооценка должна проводиться в сроки, установленные организационно-распорядительным документом Банка России (далее - плановая самооценка), или по решению владельца бизнес-процесса (далее - внеплановая самооценка).

Внеплановая самооценка должна проводиться в срок, не превышающий 6 месяцев со дня принятия решения владельцем бизнес-процесса о проведении самооценки.

3.2.8. Внеплановую полную самооценку следует проводить в отношении всех значимых рисков в случаях, требующих пересмотра профиля рисков в ПС, уровней значимых рисков и мер реагирования, в том числе при изменениях в бизнес-процессе, и (или) во внешней, и (или) внутренней среде, которые могут оказать влияние на надлежащее оказание УПИ, а также в случае возникновения инцидента, для которого не предусмотрено описание значимого риска в профиле рисков в ПС и реализация которого привела к приостановлению оказания УПИ. О принятом решении о проведении внеплановой полной самооценки владелец бизнес-процесса обязан проинформировать работников УРСУР и риск-координатора СБП внешней платежной системы не позднее рабочего дня, следующего за датой ее начала.

3.2.9. Внеплановую частичную самооценку следует проводить в отношении значимых рисков в случаях, требующих пересмотра их описания, в том числе когда результаты мониторинга уровней значимых рисков свидетельствуют о более высоком уровне риска по сравнению с данными последней самооценки, о неэффективности (недостаточности) применяемых мер реагирования или о наличии значимых рисков, которые в ходе последней самооценки не были идентифицированы как значимые.

3.2.10. По результатам проведенной самооценки риск-координаторы ПУРиН, риск-координаторы ПУРиН внешней платежной системы, риск-координатор СБП внешней платежной системы должны заполнить профиль рисков в ПС в части своей компетенции, риск-координаторы бизнес-процесса должны составить профиль рисков в ПС. Профиль рисков составляется в соответствии с приложением 7 к настоящему Положению.

Профиль рисков в ПС, а также допустимые уровни значимых рисков должны быть одобрены Комитетом.

Профиль рисков в ПС должен храниться в специализированной автоматизированной системе не менее пяти лет со дня его составления и (или) актуализации.

3.3. Мониторинг уровней значимых рисков должен обеспечивать выявление существенных изменений уровней остаточных рисков.

Мониторинг уровней значимых рисков должен проводиться в соответствии с приложением 2 к настоящему Положению, а также на основе следующих мероприятий.

3.3.1. По результатам мониторинга уровней значимых рисков должно обеспечиваться доведение до руководителей, указанных в пункте 2.1 настоящего Положения, и до руководителей ОПКЦ внешней платежной системы в части, относящейся к их компетенции, информации о повышении уровней остаточных рисков до и выше допустимого.

3.3.2. Дополнительные КИР должны разрабатываться с учетом следующей информации:

требований законодательства Российской Федерации, нормативных и иных актов Банка России, регламентирующих функционирование ПС;

данных последних самооценок;

сведений об инцидентах;

результатов мониторинга уровней значимых рисков;

другой информации, свидетельствующей о целесообразности разработки (отмены) дополнительных КИР.

3.3.3. Дополнительные КИР могут разрабатываться для мониторинга уровня одного значимого риска или одновременного мониторинга уровней нескольких значимых рисков. Для мониторинга уровня одного значимого риска может быть разработано несколько разных КИР.

3.4. В целях управления значимыми рисками должны использоваться следующие меры реагирования, являющиеся способами управления рисками:

осуществление расчета в ПС до конца операционного дня;

обеспечение возможности предоставления внутридневного кредита и кредита овернайт;

осуществление перевода за счет денежных средств, находящихся на счетах участников ПС, в том числе с учетом лимита внутридневного кредита и кредита овернайт, а также за счет денежных средств, объединенных в пул ликвидности;

изменение последовательности расположения распоряжений участников ПС во внутридневной очереди;

прием распоряжений на бумажном носителе и отчуждаемых машинных носителях информации.

В целях управления значимыми рисками могут применяться дополнительные меры реагирования при условии, что их применение обеспечивает снижение уровня воздействия от реализации значимого риска или снижение вероятности реализации значимого риска.

Абзац утратил силу. - Указание Банка России от 22.09.2022 N 6254-У.

3.5. Утратил силу. - Указание Банка России от 22.09.2022 N 6254-У.