Глава 3. Организация центральным депозитарием управления операционным риском центрального депозитария

3.1. Центральный депозитарий в рамках управления операционным риском центрального депозитария должен организовать проведение следующих мероприятий.

3.1.1. Принятие мер, направленных на предотвращение случаев дублирования (частичного дублирования) полномочий структурных подразделений центрального депозитария.

3.1.2. Регулярная идентификация угроз, которые по оценке центрального депозитария влекут неработоспособность (включая временную неработоспособность) программно-технических средств центрального депозитария, а также постоянный мониторинг текущего состояния программно-технических средств центрального депозитария на предмет необходимости их обновления.

3.1.3. Применение организационных и технических мер по защите информации центральным депозитарием от противоправных действий.

3.1.4. Выявление и контроль потенциальных источников операционного риска центрального депозитария, возникающего вследствие взаимодействия с клиентами и (или) контрагентами посредством телекоммуникационных каналов связи, в том числе с использованием программно-технических средств центрального депозитария.

3.1.5. Нагрузочное тестирование программно-технических средств центрального депозитария.

3.1.6. Регулярный контроль прав доступа работников центрального депозитария к программно-техническим средствам центрального депозитария.

3.1.7. Выявление программно-технических средств центрального депозитария, подверженных противоправному внешнему воздействию.

3.1.8. Устранение недостатков в работе программно-технических средств центрального депозитария.

3.1.9. Информирование исполнительных органов центрального депозитария о результатах проведения нагрузочного тестирования и о выявленных программно-технических средствах центрального депозитария, подверженных противоправному внешнему воздействию.

3.1.10. Информирование определенных правилами управления рисками работников центрального депозитария о возможных событиях операционного риска центрального депозитария, а также обучение работников центрального депозитария по вопросам выявления, оценки и снижения операционного риска центрального депозитария.

3.1.11. Проведение структурными подразделениями центрального депозитария самостоятельной оценки деятельности, осуществляемой ими с целью выявления операционного риска центрального депозитария, пересмотра размера операционного риска центрального депозитария (далее - самооценка) и оформление отчета по итогам проведения самооценки, содержащего информацию о выявленном операционном риске.

3.1.12. Выявление несоответствия программно-технических средств центрального депозитария характеру и масштабам осуществляемой им деятельности, а также замена или улучшение (обновление) программно-технических средств центрального депозитария в случае выявления их несоответствия характеру и масштабам осуществляемой центральным депозитарием деятельности.

3.1.13. Разработка, модификация и тестирование программно-технических средств центрального депозитария.

3.2. Центральный депозитарий в рамках управления операционным риском центрального депозитария должен разработать меры, направленные на обеспечение условий для бесперебойного функционирования программно-технических средств центрального депозитария, а также на восстановление осуществляемой центральным депозитарием деятельности, в случае реализации события операционного риска центрального депозитария в результате возникновения чрезвычайных обстоятельств (далее - непрерывность осуществления деятельности центрального депозитария), включая следующие меры.

3.2.1. Определение перечня критически важных процессов центрального депозитария, в том числе процессов, осуществляемых в рамках функций, переданных в соответствии с пунктом 1.11 настоящего Указания третьим лицам, приостановление или прекращение которых влечет нарушение осуществления деятельности центрального депозитария (далее - критически важные процессы).

3.2.2. Выявление чрезвычайных обстоятельств и анализ факторов возникновения чрезвычайных обстоятельств, которые по оценке центрального депозитария способны привести к приостановлению критически важных процессов.

3.2.3. Определение перечня потенциальных чрезвычайных обстоятельств исходя из оценки центральным депозитарием возможных расходов (убытков) центрального депозитария, его клиентов и (или) контрагентов вследствие нарушения непрерывности осуществления деятельности центрального депозитария, а также определение вероятности и времени возможного возникновения такого нарушения, характера и объема операций, проводимых центральным депозитарием.

3.2.4. Обеспечение возможности возобновления критически важных процессов в течение двух часов с момента наступления чрезвычайного обстоятельства, повлекшего приостановление таких процессов.

3.2.5. Распределение полномочий и ответственности между структурными подразделениями центрального депозитария и их работниками в случае возникновения чрезвычайных обстоятельств.

3.2.6. Разработка и утверждение мер по обеспечению бесперебойного функционирования программно-технических средств центрального депозитария, мер, направленных на снижение рисков, возникающих при совмещении деятельности центрального депозитария с иными видами деятельности, мер, принимаемых центральным депозитарием в случаях возникновения чрезвычайных обстоятельств, которые могут препятствовать нормальному осуществлению деятельности центрального депозитария, и направленных на обеспечение непрерывности осуществления и восстановления такой деятельности (далее - План ОНиВД).

3.2.7. Проверка (тестирование) и оценка Плана ОНиВД в целях определения достаточности содержащихся в нем мер для обеспечения непрерывности осуществления деятельности центрального депозитария исходя из характера и объема проводимых центральным депозитарием операций и пересмотр Плана ОНиВД в случае выявления недостаточности указанных мер для обеспечения непрерывности осуществления деятельности центрального депозитария.

3.2.8. Организация функционирования основного и резервного комплексов программно-технических средств центрального депозитария, расположенных на территории Российской Федерации, соответствующих характеру и объему проводимых им операций, согласно требованиям частей 1 и 2 статьи 26 Федерального закона "О центральном депозитарии".

3.2.9. Размещение резервного комплекса программно-технических средств центрального депозитария, функционально дублирующего основной комплекс программно-технических средств центрального депозитария, в отдельном здании.

3.2.10. Поддержание постоянного функционирования резервного комплекса программно-технических средств центрального депозитария и переключение управления на него в случае невозможности осуществления критически важных процессов в основном комплексе программно-технических средств центрального депозитария.

3.2.11. Создание резервных копий информации, содержащейся в учетных записях, предусмотренных пунктом 5.1 Положения Банка России от 13 мая 2016 года N 542-П "О требованиях к осуществлению депозитарной деятельности при формировании записей на основании документов, относящихся к ведению депозитарного учета, а также документов, связанных с учетом и переходом прав на ценные бумаги, и при хранении указанных документов", зарегистрированного Министерством юстиции Российской Федерации 29 июня 2016 года N 42678, в порядке, объемах и сроки, которые определены центральным депозитарием (но не реже одного раза в день), и хранение такой информации в течение пяти лет со дня создания указанных копий.

3.2.12. Обеспечение наличия и технического обслуживания независимых генераторов электричества в основном комплексе программно-технических средств центрального депозитария и резервном комплексе программно-технических средств центрального депозитария, обладающих мощностью, обеспечивающей осуществление критически важных процессов в течение всего периода восстановления функционирования основного комплекса программно-технических средств центрального депозитария.

3.2.13. Создание и поддержание технического оснащения резервного комплекса программно-технических средств центрального депозитария на уровне, обеспечивающем восстановление критически важных процессов и возможность начала работы по переносу критически важных процессов, осуществляемых с использованием программно-технических средств центрального депозитария, из основного комплекса программно-технических средств центрального депозитария в резервный комплекс программно-технических средств центрального депозитария в порядке и сроки, которые установлены правилами управления рисками.

3.2.14. Обеспечение поддержания резервного комплекса программно-технических средств центрального депозитария на уровне, обеспечивающем возможность функционирования всех критически важных процессов и поддержания таких процессов в течение не менее одного месяца с момента возникновения чрезвычайного обстоятельства.

3.2.15. Обеспечение возможности обслуживания основного комплекса программно-технических средств центрального депозитария и резервного комплекса программно-технических средств центрального депозитария как минимум двумя независимыми поставщиками телекоммуникационных услуг.