Глава 6. Рекомендации по выбору и применению способов реагирования на риск нарушения непрерывности деятельности

6.1. Кредитной организации (головной кредитной организации банковской группы) рекомендуется на основе результатов оценки влияния на процессы определить способы реагирования на риск нарушения непрерывности деятельности.

6.2. Кредитной организации (головной кредитной организации банковской группы) рекомендуется установить для всех направлений деятельности, в том числе составляющих их процессов, определенных кредитной организации (головной кредитной организации банковской группы) в соответствии с подпунктом 4.1.1 пункта 4.1 Положения Банка России N 716-П, один из следующих минимальных допустимых (целевых) уровней их осуществления в случае реализации события риска нарушения непрерывности деятельности (далее - целевые уровни осуществления процессов):

осуществление процесса на уровне, соответствующем уровню его осуществления в штатном режиме функционирования процессов кредитной организации (головной кредитной организации банковской группы) до реализации события риска нарушения непрерывности деятельности;

осуществление процесса на уровне, отличном от уровня его осуществления в штатном режиме функционирования процессов кредитной организации (головной кредитной организации банковской группы) до реализации события риска нарушения непрерывности деятельности;

прекращение осуществления процесса.

В отношении процессов, относящихся к основным и прочим процессам в соответствии с подпунктом 4.1.1 пункта 4.1 Положения Банка России N 716-П, кредитной организации (головной кредитной организации банковской группы) допускается установление целевых уровней осуществления процессов на уровне прекращения осуществления процесса.

При определении целевых уровней осуществления процессов кредитной организации (головной кредитной организации банковской группы) рекомендуется учитывать:

уровень негативного влияния в случае прекращения и (или) деградации осуществления отдельных процессов кредитной организации (головной кредитной организации банковской группы);

значимость отдельных процессов в соответствии с бизнес-планом и стратегией развития кредитной организации (головной кредитной организации банковской группы);

долю отдельных процессов в общем объеме осуществляемых кредитной организацией (головной кредитной организацией банковской группы) процессов;

наличие у кредитной организации (головной кредитной организации банковской группы) текущих планов по прекращению осуществления отдельных процессов;

требования законодательства Российской Федерации, в том числе нормативных актов Банка России, устанавливающих требования к выполнению процессов кредитной организации (головной кредитной организации банковской группы).

Кредитной организации (головной кредитной организации банковской группы) рекомендуется определить целевые уровни осуществления процессов для различных вариантов продолжительности события риска нарушения непрерывности деятельности (краткосрочный, среднесрочный).

6.3. В отношении процессов с целевыми уровнями осуществления процессов, указанными в абзацах втором и третьем пункта 6.2 настоящих Методических рекомендаций, кредитной организации (головной кредитной организации банковской группы) рекомендуется дополнительно определить:

критерии нарушения непрерывности осуществления процессов;

целевое время восстановления процессов в виде предельно допустимой продолжительности прекращения и (или) деградации осуществления процессов до достижения целевых уровней осуществления процессов (далее - целевое время восстановления процессов);

перечень ресурсов (кадровых, финансовых, технологических и иных), необходимых для обеспечения целевых уровней осуществления процессов.

6.4. При определении целевых уровней осуществления процессов и целевого времени восстановления процессов кредитной организации (головной кредитной организации банковской группы) рекомендуется учитывать установленные сигнальные и контрольные значения контрольных показателей уровня риска нарушения непрерывности деятельности, в том числе в целях обеспечения соблюдения их целевых значений.

6.5. Кредитной организации (головной кредитной организации банковской группы) рекомендуется с учетом установленных целевых уровней осуществления процессов и целевого времени восстановления процессов обеспечить выбор и применение способа реагирования, в том числе принятие мер, направленных на уменьшение негативного влияния риска нарушения непрерывности деятельности, в соответствии с подпунктом 2.1.6 пункта 2.1 Положения Банка России N 716-П.

Рекомендуемый комплекс мер, направленных на уменьшение негативного влияния риска нарушения непрерывности деятельности, включает в том числе:

создание и обеспечение функционирования резервных помещений, предназначенных для осуществления процессов кредитной организации (головной кредитной организации банковской группы), в случае недоступности помещений, используемых в штатном режиме функционирования процессов кредитной организации (головной кредитной организации банковской группы) до реализации события риска нарушения непрерывности деятельности;

обеспечение резервного копирования и хранения данных и информации, включая документированную информацию и данные информационных систем, необходимых для выполнения критически важных процессов, в том числе с учетом требований подпункта 8.8.3 пункта 8.8 Положения Банка России N 716-П;

обеспечение осуществления процессов кредитной организации (головной кредитной организации банковской группы) в дистанционном режиме в случае невозможности обеспечения физического присутствия работников кредитной организации (головной кредитной организации банковской группы) в основном и резервном помещениях и (или) их доступа к данным и информации;

определение работников (подразделений) кредитной организации (головной кредитной организации банковской группы), способных заместить работников (подразделения), обеспечивающих (обеспечивающие) осуществление критически важных процессов в штатном режиме функционирования процессов кредитной организации (головной кредитной организации банковской группы), в случае невозможности выполнения ими своих функций при реализации события риска нарушения непрерывности деятельности;

обеспечение передачи функций, операций, услуг, процессов и (или) этапов процессов кредитной организации (головной кредитной организации банковской группы) на аутсорсинг третьим лицам (внешним подрядчикам, контрагентам, участникам банковской группы) в случае невозможности их выполнения собственными силами кредитной организации (головной кредитной организации банковской группы).

При разработке комплекса мер, направленных на уменьшение негативного влияния риска нарушения непрерывности деятельности, кредитной организации (головной кредитной организации банковской группы) рекомендуется обеспечить:

диверсификацию рисков при выборе резервных помещений, определении мест хранения данных и информации, выборе третьих лиц (внешних подрядчиков, контрагентов, участников банковской группы) для передачи функций, операций, услуг, процессов и (или) этапов процессов кредитной организации (головной кредитной организации банковской группы) на аутсорсинг при реализации события риска нарушения непрерывности деятельности, в том числе по географическим зонам;

исключение зависимости между элементами архитектуры информационных систем и резервными элементами информационных систем, обеспечивающими осуществление критически важных процессов;

непревышение предельно допустимого уровня концентрации операционного риска на отдельных этапах процессов кредитной организации (головной кредитной организации банковской группы), нарушение непрерывности осуществления которых может повлечь нарушение непрерывности осуществления двух и (или) более критически важных процессов кредитной организации (головной кредитной организации банковской группы) (исключение единой точки отказа критически важных процессов).

Рекомендации по дополнительным мерам, направленным на уменьшение негативного влияния риска нарушения непрерывности деятельности, связанного с нарушением операционной надежности в результате реализации информационных угроз, определены положениями раздела 7 ГОСТ Р 57580.4-2022.