2.6. Оценка эффективности управления риском информационных систем в кредитной организации

В целях оценки эффективности управления риском информационных систем в кредитной организации рекомендуется учитывать следующее:

- обеспечение функционирования системы управления риском информационных систем;

- соблюдение требований к информационным системам, определенных во внутренних документах кредитной организации, в соответствии с подпунктами 8.7.1 - 8.7.8 пункта 8.7 Положения N 716-П;

- проведение не реже одного раза в год анализа необходимости пересмотра требований к информационным системам в соответствии с требованиями подпункта 8.7.8 пункта 8.7 Положения N 716-П;

- соблюдение требований по обеспечению непрерывности и качества функционирования информационных систем, определенных во внутренних документах кредитной организации, в соответствии с подпунктами 8.8.1 - 8.8.13 пункта 8.7 Положения N 716-П;

- соблюдение требований ведения базы событий риска информационных систем требованиям пункта 6.9 положения N 716-П (в случае ведения в кредитной организации базы событий риска информационных систем раздельно с базой событий операционного риска);

- соблюдение требований к порядку предоставления данных о прямых потерях от реализации событий риска информационных систем для регистрации в базе событий операционного риска в соответствии с пунктом 6.10 Положения N 716-П (в случае ведения в кредитной организации базы событий риска информационных систем раздельно с базой событий операционного риска);

- обеспечение проведения мероприятий, направленных на выявление, оценку, разработку форм (способов) контроля, и мероприятий, направленных на повышение качества системы управления риском информационных систем и снижение уровня риска информационных систем и сопряженных с ним рисков информационной безопасности, в соответствии с пунктом 6.7 Положения N 716-П;

- соблюдение требований к информационным системам в соответствии с пунктом 8.7 Положения N 716-П;

- назначено ли в кредитной организации должностное лицо, ответственное за информационные системы, должностное лицо (должностные лица), несущее (несущие) персональную ответственность за обеспечение качества данных в информационных системах, и должностное лицо, ответственное за обеспечение непрерывности функционирования информационных систем (согласно разъяснениям, размещенным на официальном сайте Банка России <4>, для кредитных организаций в зависимости от характера и масштабов деятельности возможно совмещение этих функций).

--------------------------------

<4> В разделе: "Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора", "N 716-П от 08.04.2020 Положение Банка России "О требованиях к системе управления операционным риском в кредитной организации и банковской группе", "Об управлении риском информационных систем".