Глава 9. Проведение структурными подразделениями операционного платежного клирингового центра внешней платежной системы оценки рисков операционного платежного клирингового центра внешней платежной системы

9.1. При первичной и последующих оценках рисков ОПКЦ внешней платежной системы работники ПУРиН внешней платежной системы совместно с риск-координаторами ПУРиН внешней платежной системы должны до начала оценки рисков ОПКЦ внешней платежной системы провести анализ актуальности документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России, фактически выполняемой деятельности ОПКЦ внешней платежной системы при предоставлении СБП.

При положительном результате указанного анализа работники УпКР должны начать оценку рисков ОПКЦ внешней платежной системы.

При отрицательном результате указанного анализа работники УпКР должны довести до сведения работников ПУРиН внешней платежной системы и риск-координаторов ПУРиН внешней платежной системы информацию о необходимости актуализации документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России, и по завершении указанных работ начать оценку рисков ОПКЦ внешней платежной системы.

Работники УпКР должны довести до сведения риск-координаторов бизнес-процесса функционирования ПС информацию о сроках проведения работ по актуализации документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России.

9.2. Идентификация рисков ОПКЦ внешней платежной системы должна осуществляться не реже одного раза в год. Подготовка (актуализация) перечня рисков ОПКЦ внешней платежной системы должна осуществляться в срок, не превышающий 20 рабочих дней (при повторной оценке рисков ОПКЦ внешней платежной системы - не превышающий 10 рабочих дней) со дня начала оценки рисков ОПКЦ внешней платежной системы.

9.2.1. В перечень рисков ОПКЦ внешней платежной системы по каждому риску следует включать следующую основную информацию:

операция (шаг) бизнес-процесса функционирования ПС, при выполнении которой (которого) возникает риск;

формулировка риска;

области реализации риска;

обоснование значимости риска с указанием оценки воздействия риска до применения мер реагирования, в том числе до применения мер реагирования, реализованных дополнительно по результатам предыдущих оценок рисков ОПКЦ внешней платежной системы в соответствии с подпунктом 3.2.3 пункта 3.2 настоящего Положения.

9.2.2. Идентификация ОПКЦ внешней платежной системы риска информационной безопасности в ПС должна включать в себя идентификацию области применения процесса управления риском информационной безопасности, присущим шагам (операциям) бизнес-процесса функционирования ПС, выполняемым ОПКЦ внешней платежной системы, идентификацию риска информационной безопасности, присущего шагам (операциям) бизнес-процесса функционирования ПС, выполняемым ОПКЦ внешней платежной системы, а также моделирование угроз безопасности информации с использованием мер, определенных подпунктом 7.2.2 пункта 7.2 раздела 7 ГОСТ Р 57580.4-2022 и подпунктами 8.2.2.3 и 8.2.2.4 пункта 8.2 раздела 8 ГОСТ Р 57580.3-2022.