Глава 3. Управление рисками в платежной системе Банка России

3.1. Управление рисками в ПС должно осуществляться в соответствии с пунктом 13 части 1 статьи 20 Федерального закона N 161-ФЗ посредством поддержания в актуальном состоянии описания бизнес-процесса функционирования ПС и документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России, подготовки и актуализации перечня рисков в ПС, идентификации рисков в ПС, проведения оценки рисков в ПС и действующих мер реагирования, принятия решения о реагировании на риски в ПС после применения действующих мер реагирования, утверждения профиля рисков в ПС, актуализации данных о рисках в ПС, а также мониторинга уровней рисков в ПС.

3.2. Оценка рисков в ПС должна выполняться подразделениями Банка России, структурными подразделениями ОПКЦ внешней платежной системы в соответствии с разделом IV настоящего Положения и следующими мероприятиями (далее при совместном упоминании - методики анализа рисков в ПС):

3.2.1. Идентификация рисков в ПС должна осуществляться не реже одного раза в год с последовательным применением следующих способов управления рисками в ПС и сопоставлением полученных результатов:

способ, при котором риски в ПС должны идентифицироваться риск-координаторами бизнес-процесса функционирования ПС совместно с руководителями ПУРиН, риск-координаторами ПУРиН и работниками структурных подразделений Банка России, обладающими профессиональным опытом и знаниями о бизнес-процессе функционирования ПС, работниками УпКР совместно с риск-координаторами ПУРиН внешней платежной системы;

способ, при котором риски в ПС должны идентифицироваться руководителем подразделения, реализующего полномочия оператора ПС.

3.2.2. Для выявления проблем, возникших у нескольких подразделений Банка России при обеспечении БФПС, идентификации должны подлежать как риски в рамках бизнес-процесса функционирования ПС, так и риски в рамках иных бизнес-процессов, реализация которых является источником рисков бизнес-процесса функционирования ПС.

3.2.3. Для определения уровня риска в ПС должна осуществляться оценка риска в ПС с использованием шкалы оценки вероятности реализации риска, приведенной в приложении 3 к настоящему Положению, и следующей шкалы оценки воздействия риска:

3.2.3.1. Очень сильное воздействие, характеризующееся недостижением целей или невыполнением (ненадлежащим выполнением) функций Банка России в части оказания УПИ, выразившимся в:

непоступлении в рамках операционного дня в течение периода времени, превышающего два часа, в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 75 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 10 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 10 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.2. Сильное воздействие, характеризующееся задержкой в выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившейся в:

непоступлении в рамках операционного дня в течение периода времени от одного часа до двух часов (включительно) в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 50 процентов, но меньше 75 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 5 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 5 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.3. Среднее воздействие, характеризующееся нарушением в выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившимся в:

непоступлении в рамках операционного дня в течение периода времени от 30 минут до одного часа (включительно) в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения. 25 процентов, но меньше 50 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.4. Низкое воздействие, характеризующееся перебоями в выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившимися в:

непоступлении в рамках операционного дня в течение периода времени от 35 до тридцати минут (включительно) в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 10 процентов, но меньше 25 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 0,5 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 0,5 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.5. Незначительное воздействие, характеризующееся перебоями в осуществлении отдельных процедур при выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившимися в:

превышении доли количества распоряжений, поступивших от одного участника ПС и исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 2 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от указанного участника ПС за предыдущий календарный месяц;

или превышении доли количества распоряжений, поступивших от двух и более участников ПС и исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 5 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от указанных участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 0,1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 0,1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.6. Определение недополученных распоряжений в СБП должно осуществляться ОПКЦ внешней платежной системы по формуле:

где:

P_j - количество распоряжений, ожидаемых для исполнения в СБП в j-й минуте. Определяется на основании средних значений в аналогичном j-й минуте периоде времени за последний месяц;

C_j - количество исполненных распоряжений в СБП в j-й минуте;

M - продолжительность негативных (неблагоприятных) последствий реализовавшегося риска в ПС или оценка продолжительности воздействия риска, в минутах.

3.2.3.7. Шкала оценки воздействия риска, предусмотренная в подпунктах 3.2.3.1 - 3.2.3.5 настоящего пункта, также применяется в целях оценки негативных (неблагоприятных) последствий реализовавшегося риска в ПС.

3.2.4. Решение о применении мер реагирования по выявленным рискам должно приниматься в зависимости от расположения рисков на карте рисков.

Для рисков, расположенных в I зоне карты рисков, решение о применении мер реагирования должно приниматься на уровне руководителя ПУРиН, во II зоне - на уровне руководителя подразделения, реализующего полномочия оператора ПС, в III зоне - на уровне курирующего руководителя Банка России.

3.2.5. Проведение оценки рисков в ПС должно осуществляться с использованием следующей информации:

сведений, представленных работниками Банка России и работниками ОПКЦ внешней платежной системы;

результатов мониторинга уровней рисков в ПС;

сведений о реализовавшихся рисках в ПС;

результатов оценки системы управления рисками в ПС, проведенной Службой главного аудитора Банка России, и результатов оценки системы управления рисками ОПКЦ внешней платежной системы, проведенной подразделением, осуществляющим внутренний аудит ОПКЦ внешней платежной системы;

результатов оценки системы управления рисками в ПС, проведенной Комитетом;

результатов мероприятий, проведенных органами государственного контроля (надзора).

3.2.6. План ОНиВД должен разрабатываться в качестве меры реагирования на риски в ПС (рекомендуемый образец плана ОНиВД приведен в приложении 4 к настоящему Положению), а также исходя из следующего:

последовательности действий, включенные в план ОНиВД, должны разрабатываться в отношении операционных рисков в ПС, для которых в качестве мер реагирования предусматривается разработка плана ОНиВД;

план ОНиВД должен состоять из последовательностей действий, каждое из которых регламентирует деятельность ПУРиН, подразделений Банка России, обеспечивающих функционирование ПС, или подразделения, руководителем которого является руководитель подразделения, реализующего полномочия оператора ПС, в пределах их компетенции при обеспечении оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения.

3.2.7. Плановая оценка рисков в ПС должна проводиться в сроки, установленные оператором ПС. Внеплановая оценка рисков в ПС должна проводиться по решению руководителя подразделения, реализующего полномочия оператора ПС.

3.2.8. Внеплановая полная оценка рисков в ПС должна проводиться в отношении всех рисков в ПС при внесении изменений в бизнес-процесс функционирования ПС по решению руководителя подразделения, реализующего полномочия оператора ПС, и должна быть завершена не позднее истечения 6 месяцев со дня принятия указанного решения.

3.2.9. Внеплановая частичная оценка отдельных рисков в ПС (отдельного риска в ПС) должна проводиться по решению руководителя подразделения, реализующего полномочия оператора ПС, и должна быть завершена не позднее истечения 4 месяцев со дня:

возникновения события, реализация которого привела к приостановлению (прекращению) оказания УПИ и описание которого в профиле рисков не предусмотрено либо негативные последствия от реализации которого превышают негативные последствия, предусмотренные для этого реализовавшегося риска в ПС в профиле рисков;

установления по результатам проводимого мониторинга уровней рисков в ПС факта превышения текущими значениями показателей БФПС пороговых значений показателей БФПС, указанных в главе 8 настоящего Положения;

выявления риска в ПС, для которого уровень присущего риска до применения способов управления рисками в ПС может превысить или превысил уровень допустимого риска.

3.2.10. По результатам проведенной плановой оценки рисков в ПС, внеплановой полной оценки рисков в ПС и внеплановой частичной оценки отдельных рисков в ПС (отдельного риска в ПС) риск-координаторы ПУРиН, риск-координаторы ПУРиН внешней платежной системы, работники УпКР должны заполнить профиль рисков в ПС в части своей компетенции, риск-координаторы бизнес-процесса функционирования ПС должны составить профиль рисков в ПС (рекомендуемый образец профиля рисков приведен в приложении 5 к настоящему Положению).

Профиль рисков в ПС, составленный по результатам проведенной плановой оценки рисков в ПС, внеплановой полной оценки рисков в ПС, а также допустимые уровни рисков в ПС должны быть одобрены Комитетом.

3.3. Мониторинг уровней рисков в ПС обеспечивает выявление изменений уровней рисков в ПС после применения действующих мер реагирования.

Мониторинг уровней рисков в ПС должен проводиться в соответствии с разделом III настоящего Положения, а также на основе следующих мероприятий:

3.3.1. По результатам мониторинга уровней рисков в ПС доводится до руководителей, указанных в пункте 2.1 настоящего Положения, и до руководителей ОПКЦ внешней платежной системы в части, относящейся к их компетенции, информация о повышении уровней рисков в ПС после применения действующих мер реагирования до и выше допустимого.

3.3.2. Показатели БФПС должны определяться на основании следующей информации:

данных последних оценок рисков в ПС;

сведений о реализовавшихся рисках в ПС;

результатов мониторинга уровней рисков в ПС;

другой информации, свидетельствующей о целесообразности определения показателей БФПС.

3.3.3. Показатели БФПС определяются для мониторинга уровня одного риска в ПС или одновременного мониторинга уровней нескольких рисков в ПС. Для мониторинга уровня одного риска в ПС может быть определено несколько показателей БФПС.

3.3.4. В целях мониторинга уровня риска информационной безопасности в ПС должны быть предусмотрены следующие дополнительные мероприятия:

оценка соответствия текущего уровня защиты информации объектов информационной инфраструктуры Банка России, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018;

оценка соответствия текущего уровня защиты информации объектов информационной инфраструктуры ОПКЦ внешней платежной системы, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018;

оценка выполнения требований к защите информации, обязательных для ОПКЦ внешней платежной системы в соответствии с Положением Банка России от 25 июля 2022 года N 802-П "О требованиях к защите информации в платежной системе Банка России" <4> (далее - Положение Банка России N 802-П);

--------------------------------

<4> Зарегистрировано Минюстом России 25 ноября 2022 года, регистрационный N 71124, с изменениями, внесенными Указанием Банка России от 12 января 2026 года N 7271-У (зарегистрировано Минюстом России 2 июня 2026 года, регистрационный N 86871).

оценка выполнения требований, обязательных для работников структурных подразделений Банка России.

3.4. В целях управления рисками в ПС должны использоваться следующие меры реагирования:

осуществление расчета в ПС до конца операционного дня;

обеспечение возможности предоставления внутридневного кредита и кредита овернайт;

осуществление перевода за счет денежных средств, находящихся на счетах участников ПС, в том числе с использованием лимита внутридневного кредита и кредита овернайт, а также за счет денежных средств, объединенных в пул ликвидности;

изменение последовательности расположения распоряжений участников ПС во внутридневной очереди;

прием распоряжений на бумажном носителе и отчуждаемых машинных носителях информации;

определение требований для участников ПС, являющихся кредитными организациями, в части управления риском информационной безопасности участника ПС;

определение требований к защите информации ОПКЦ внешней платежной системы в соответствии с Положением Банка России N 802-П;

определение требований к защите информации, обязательных для работников структурных подразделений Банка России;

определение требований для системно значимых кредитных организаций, являющихся участниками СБП (далее - системно значимый участник СБП), в части обеспечения доступности и непрерывности оказания услуг по переводу денежных средств с использованием СБП своим клиентам.

В целях управления рисками в ПС могут применяться дополнительные меры реагирования при условии, что их применение обеспечивает снижение уровня воздействия от реализации риска в ПС или снижение вероятности реализации риска в ПС.

3.5. В случае если действующая система управления рисками в ПС не обеспечила три и более раза в течение календарного года возможности восстановления оказания УПИ во всех сервисах ПС в сроки, определенные в пункте 1.1 настоящего Положения (при приостановлении их оказания), в систему управления рисками в ПС должны быть внесены изменения.

3.6. Критериями отнесения событий, реализовавшихся при оказании УПИ, к событиям приостановления оказания УПИ являются:

в части сервиса срочного перевода и (или) сервиса несрочного перевода - непоступление в операционный и платежный клиринговый центр ПС, функции которого выполняет Банк России, в течение периода времени, превышающего 15 минут, ни одного распоряжения, направленного участником ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в рамках операционного дня, в котором предоставлялись сервис срочного перевода и (или) сервис несрочного перевода в соответствии с графиком функционирования ПС;

в части СБП - превышение доли недополученных распоряжений в СБП 0,5 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.7. Приостановление оказания УПИ в связи с проведением технологических и (или) регламентных работ, предусмотренных Банком России, не относится к событиям приостановления оказания УПИ.

3.8. Системно значимые участники СБП обязаны соблюдать пороговый уровень показателя БФПС 12, определенный подпунктом 8.13.3 пункта 8.13 настоящего Положения, и пороговый уровень показателя БФПС 13, определенный подпунктом 8.14.2 пункта 8.14 настоящего Положения.