169. Надавач фінансових платіжних послуг регулярно (не рідше ніж один раз на рік) проводить бек-тестування моделей та/або інструментів оцінки ризиків шляхом порівняння фактичних даних з результатами, отриманими за допомогою моделі та/або інструменту. Надавач фінансових платіжних послуг має право не здійснювати бек-тестування моделей та/або інструментів оцінки ризиків за умови формування судження щодо недостатності історичних даних щодо таких моделей та інструментів.
28. Інформування та звітування з питань управління ризиками
170. Надавач фінансових платіжних послуг з метою виявлення, вимірювання (оцінки) ризиків, інформування про ризики, на які наражається надавач фінансових платіжних послуг, моніторингу та аналізу ефективності системи управління ризиками:
1) забезпечує агрегування даних щодо ризиків надавача фінансових платіжних послуг, оперативне та коректне вимірювання (оцінку) ризиків;
2) розробляє процедури обробки та агрегування даних щодо ризиків, формування звітності, політику конфіденційності та збереження такої інформації, а також доступу до неї.
171. Звітність про ризики надавача фінансових платіжних послуг повинна містити актуальну інформацію про ризики, своєчасно надаватися комітетам ради, відповідальному органу, виконавчому органу та іншим користувачам, які приймають рішення, та забезпечувати повне розуміння ними ситуації щодо рівня ризиків надавача фінансових платіжних послуг для прийняття своєчасних та адекватних управлінських рішень.
172. Уповноважені підрозділи / працівники надавача фінансових платіжних послуг складають звітність про ризики, яка повинна бути:
1) точною, вивіреною та достовірно відображати рівень прийнятого надавачем фінансових платіжних послуг ризику;
2) комплексною - охоплювати всі види ризиків надавача фінансових платіжних послуг, визначені політикою управління ризиками надавача фінансових платіжних послуг;
3) чіткою та інформативною - надавати чітку та однозначну інформацію, бути достатньо вичерпною для прийняття своєчасних та адекватних управлінських рішень;
4) періодичною та поширеною серед користувачів звітності про ризики із забезпеченням конфіденційності.
172-1. Звітність про ризики надавача фінансових платіжних послуг, яку надавач фінансових платіжних послуг складає відповідно до вимог пункту 172 глави 28 розділу VI цього Положення, повинна містити таку інформацію щодо ризику третіх сторін:
1) результати оцінки профілю ризиків третіх сторін, які повинні містити опис ризиків третіх сторін, на які наражався надавач фінансових платіжних послуг протягом звітного періоду (включаючи в розрізі критичних послуг / критичних TPSP-постачальників), спосіб управління ризиками та якісну і кількісну інформацію за результатами вимірювання (оцінки) третіх сторін;
2) результати здійснення стрес-тестування ризику третіх сторін, методів і припущень, що були використані для стрес-тестування, аналізу чутливості до ризиків, якщо такий аналіз здійснювався;
3) суттєві зміни профілю ризику надавача платіжних послуг унаслідок впливу ризику третіх сторін;
4) порушення встановлених лімітів щодо ризику третіх сторін;
5) питання, що потребували негайного реагування та ескалації, включаючи інциденти / збої / переривання в роботі ТРSP-постачальника, зростання ризику концентрації послуг.
( Главу 28 розділу VI доповнено новим пунктом 172-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
173. Відповідальний орган або орган, визначений статутом надавача фінансових платіжних послуг, комітети ради, виконавчий орган встановлюють періодичність складання та подання звітності про ризики як у звичайних умовах, так і в стресових ситуаціях. Періодичність подання звітності про ризики повинна бути не меншою ніж:
1) один раз на квартал для узагальнених звітів про ризики;
2) один раз на рік для детальних звітів про ризики.
174. Надавач фінансових платіжних послуг в узагальненому звіті про ризики зобов’язаний розкривати інформацію в розрізі кожного виду ризику (крім комплаєнс-ризику), визначеного відповідно до пунктів 127, 128 глави 23 розділу VI цього Положення, та обов’язково містити інформацію про:
1) узагальнені дані подій за видами ризиків, аналізу їх динаміки;
2) зміни до профілю ризиків надавача фінансових платіжних послуг, що відбулися;
3) дотримання встановленого ризик-апетиту та значень лімітів ризику;
4) виявлені нові ризики та результати їх вимірювання (оцінки);
5) результати вимірювання (оцінки) ризиків за новими продуктами, значними змінами в діяльності надавача фінансових платіжних послуг;
6) результати здійснення стрес-тестування (для операційного ризику);
7) пропозиції щодо застосування інструментів та методів для управління ризиками;
8) дотримання вимог внутрішніх документів з управління ризиками, включаючи інформацію щодо допустимих перевищень і порушень лімітів ризиків.
175. Надавач фінансових платіжних послуг у детальному(их) звіті (звітах) про ризики зобов’язаний розкривати інформацію в розрізі кожного виду ризику (крім комплаєнс-ризику), визначеного відповідно до пунктів 127, 128 глави 23 розділу VI цього Положення, та, крім інформації, зазначеної в пункті 174 глави 28 розділу VI цього Положення, повинен обов’язково містити таку інформацію:
1) результати оцінки профілю ризиків, які повинні містити опис видів ризиків, на які наражався надавач фінансових платіжних послуг протягом звітного періоду, та видів ризиків, що очікуються протягом періоду бізнес-планування надавача фінансових платіжних послуг, спосіб управління ризиками та якісну і кількісну інформацію за результатами вимірювання (оцінки) ризиків за кожним видом ризику;
2) результати здійснення стрес-тестування, методів і припущень, що були використані для стрес-тестування, аналізу чутливості до ризиків, якщо такий аналіз здійснювався;
3) опис заходів, що використовуються для вимірювання (оцінки) ризиків, включаючи будь-які суттєві зміни протягом звітного періоду;
4) опис методів та інструментів, що використовуються для управління ризиками, процесів моніторингу ефективності таких методів та інструментів, а також інформацію про методи та інструменти, що надавач фінансових платіжних послуг розглядає для використання з метою управління ризиками протягом періоду бізнес-планування надавача фінансових платіжних послуг, а також обґрунтування і вплив таких методів та інструментів зниження ризиків;
5) огляд значних подій за видами ризиків, результатів дослідження їх причин і заходів щодо запобігання таким подіям надалі;
6) про суттєву концентрацію ризиків протягом звітного періоду та суттєву концентрацію ризиків, що очікуються протягом періоду бізнес-планування надавача фінансових платіжних послуг;
7) висновки та пропозиції щодо внесення змін до системи управління ризиками надавача фінансових платіжних послуг з метою вдосконалення процедур управління ризиками;
8) результати бек-тестування моделей та інструментів оцінки ризиків.
176. Надавач фінансових платіжних послуг зобов’язаний мати технічні можливості для формування іншої звітності про ризики, крім регулярної звітності, визначеної в пункті 173 глави 28 розділу VI цього Положення:
1) під час стресових ситуацій;
2) у разі зміни потреб щодо необхідної управлінської інформації;
3) у разі отримання запитів Національного банку або інших регуляторних чи контролюючих органів.
177. Підрозділ з управління ризиками в разі значного підвищення ризику (наближення фактичних показників ризику до встановлених значень лімітів ризику, ризик-апетиту або потенційного їх порушення, або суттєвої зміни профілю ризиків надавача фінансових платіжних послуг) не пізніше наступного робочого дня інформує про це комітет з управління ризиками, відповідальний орган, виконавчий орган з метою прийняття своєчасних та адекватних управлінських рішень у межах процедури ескалації ризиків.
29. Особливості управління окремими видами ризиків надавача фінансових платіжних послуг
178. Управління ризиками надавача фінансових платіжних послуг за напрямом управління комплаєнс-ризиком надавача фінансових платіжних послуг додатково до положень, визначених у главах 23, 24 розділу VI цього Положення, повинно передбачати:
1) заходи, яких зобов’язаний вживати надавач фінансових платіжних послуг для розподілу чітких обов’язків щодо регулярного виявлення, документування та моніторингу відповідних ризиків, пов’язаних із комплаєнс-ризиком;
2) ідентифікацію комплаєнс-ризику, якому піддається надавач фінансових платіжних послуг або може піддаватися, його аналіз та оцінку використовуваних інструментів, методів управління комплаєнс-ризиком;
3) процедури збору та моніторингу подій, пов’язаних із комплаєнс-ризиком;
4) заходи і внутрішні процеси управління комплаєнс-ризиком;
5) ліміти ризику щодо основних сфер комплаєнс-ризику надавача фінансових платіжних послуг.
179. Управління комплаєнс-ризиком надавача фінансових платіжних послуг може передбачати інші заходи, крім визначених у пункті 178 глави 29 розділу VI цього Положення, які не суперечать вимогам цього Положення.
180. Управління ризиками надавача фінансових платіжних послуг за напрямом управління іншими суттєвими ризиками, визначеними відповідно до пункту 128 глави 23 розділу VI цього Положення, повинно здійснюватися відповідно до вимог, визначених у пунктах 178, 179 глави 29 розділу VI цього Положення, що застосовуються до управління комплаєнс-ризиком надавача фінансових платіжних послуг.
181. Особливості управління операційним ризиком та його складовими визначено в розділі VII цього Положення.
VII. Управління операційним ризиком
30. Загальні підходи до управління операційним ризиком
182. Надавач фінансових платіжних послуг створює ефективну систему управління операційним ризиком, що має повністю інтегруватися в загальну систему управління ризиками надавача фінансових платіжних послуг.
183. Надавач фінансових платіжних послуг оцінює операційний ризик з урахуванням його взаємозв’язку та впливу на інші ризики, що притаманні діяльності надавача фінансових платіжних послуг.
184. Надавач фінансових платіжних послуг самостійно визначає перелік кількісних показників ризик-апетиту до операційного ризику. Перелік повинен обов’язково містити показник максимального обсягу втрат від подій операційного ризику протягом наступних 12 місяців, який обчислюється для кожного окремого календарного року.
31. Політика та процедури управління операційним ризиком
185. Надавач фінансових платіжних послуг розробляє та періодично переглядає (не рідше одного разу на рік) політику, порядок та процедури управління операційним ризиком та його складових з метою забезпечення їх ефективності та відповідності рівню ризик-апетиту до цього ризику.
185-1. Надавач фінансових платіжних послуг створює ефективні механізми управління ризиком третіх сторін, які є частиною системи управління операційним ризиком надавача фінансових платіжних послуг, з урахуванням принципу пропорційності та впливу ризику третіх сторін на інші ризики, притаманні його діяльності.
( Главу 31 розділу VII доповнено новим пунктом 185-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
185-2. Управління ризиком третіх сторін під час використання надавачем фінансових платіжних послуг хмарних послуг, що надаються ТРSP-постачальником, який є надавачем хмарних послуг, здійснюється відповідно до вимог цього Положення з урахуванням особливостей, визначених у Положенні про порядок застосування технології хмарних обчислень, затвердженому постановою Правління Національного банку України від 25 серпня 2025 року № 99.
( Главу 31 розділу VII доповнено новим пунктом 185-2 згідно з Постановою Національного банку № 72 від 30.06.2026 )
186. Політика управління операційним ризиком може бути складовою політики управління ризиком надавача фінансових платіжних послуг або окремим документом і повинна містити:
1) мету, завдання та принципи управління операційним ризиком;
2) організаційну структуру процесу управління операційним ризиком з урахуванням розподілу функціоналу відповідно до трьох ліній захисту учасників процесу, їх повноважень, відповідальності та порядку взаємодії;
3) підходи щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом’якшення операційного ризику, включаючи ризик третіх сторін;
( Підпункт 3 пункту 186 глави 31 розділу VII із змінами, внесеними згідно з Постановою Національного банку № 72 від 30.06.2026 )
4) критерії визначення значних подій операційного ризику, порядок їх дослідження та ескалації інформації щодо таких подій керівникам надавача фінансових платіжних послуг;
5) політику страхування (якщо стратегія з управління ризиками передбачає такий підхід щодо передавання ризику);
6) підходи щодо здійснення стрес-тестування операційного ризику;
7) перелік та формат (інформаційне наповнення) форм управлінської звітності щодо операційного ризику, порядок і періодичність / терміни їх надання суб’єктам системи управління ризиками;
8) критерії звітування для подій операційного ризику та обґрунтування таких критеріїв;
9) внутрішні правила щодо ефективного зниження та контролю за операційними ризиками, кіберризиками та ризиками безпеки, пов’язаними з наданням платіжних послуг (виконанням платіжних операцій), які повинні також містити процедури забезпечення безпеки виконання платіжних операцій, вжиття заходів з ідентифікації помилкових і неналежних платіжних операцій (суб’єктів таких платіжних операцій) та заходів із запобігання або припинення таких платіжних операцій, реагування на інциденти безпеки, здійснення моніторингу та ведення бази даних операційних інцидентів, кіберінцидентів та інцидентів безпеки, пов’язаних із наданням платіжних послуг (виконанням платіжних операцій).
187. Порядок та процедури управління операційним ризиком повинні обов’язково містити:
1) процедури щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом’якшення операційного ризику, включаючи інструменти / індикатори, що використовуються;
2) процедури контролю за повнотою та якістю даних про події операційного ризику, включаючи інструменти, що використовуються для такого контролю;
3) порядок та критерії класифікації подій операційного ризику за типами подій, бізнес-лініями;
4) критерії ідентифікації, класифікації та методологію розрахунку збитків від подій операційного ризику, пов’язаних із кредитним ризиком (за умови, що кошти для виконання платіжної операції надаються користувачу надавачем фінансових платіжних послуг на умовах кредиту);
5) критерії визначення груп пов’язаних операційних подій;
6) опис основних інструментів, що використовуються під час управління операційним ризиком, та порядок їх використання;
7) порядок управління операційним ризиком, що властивий процесу співпраці з TPSP- постачальниками, включаючи аутсорсерів;
( Підпункт 7 пункту 187 глави 31 розділу VII із змінами, внесеними згідно з Постановою Національного банку № 72 від 30.06.2026 )
8) чітке розмежування функцій управління операційним ризиком та комплаєнс-ризиком з метою уникнення їх дублювання;
9) порядок обміну інформацією між учасниками процесу управління операційним ризиком, включаючи види, форми і терміни надання інформації;
10) програму проведення стрес-тестування операційного ризику;
11) порядок складання та перевірки достовірності регуляторної звітності щодо операційного ризику, що подається до Національного банку.
188. Надавач фінансових платіжних послуг розробляє та впроваджує процедури контролю за повнотою та якістю даних про події операційного ризику надавача фінансових платіжних послуг, що передбачають:
1) розподіл обов’язків та відповідальності між підрозділами надавача фінансових платіжних послуг щодо контролю за повнотою та якістю даних про події операційного ризику надавача фінансових платіжних послуг під час їх збору, унесення до бази внутрішніх подій операційного ризику та подальшої перевірки;
2) заходи поточного (під час збору та внесення даних до бази внутрішніх подій операційного ризику) та подальшого контролю за повнотою та якістю даних про події операційного ризику, включаючи автоматизовані та/або ручні перевірки щодо того, що немає помилок та суперечливості даних, відповідності обліковим, фінансовим, статистичним даним та даним управлінської звітності надавача фінансових платіжних послуг.
189. Надавач фінансових платіжних послуг забезпечує управління операційним ризиком, дотримуючись моделі трьох ліній захисту.
31-1. Ризик третіх сторін
189-1. Надавач фінансових платіжних послуг для цілей управління ризиком третіх сторін відповідно до цього Положення має право не враховувати такі послуги, що надаються TPSP-постачальниками:
1) послуги, отримання яких вимагається законодавством України, включаючи послуги зовнішнього аудитора;
2) послуги глобальної карткової мережевої інфраструктури;
3) клірингові послуги, виконання функцій центрального контрагента, послуги центрального депозитарію цінних паперів та послуги розрахунків, що надаються кліринговими установами, центральними контрагентами, центральним депозитарієм цінних паперів та розрахунковими установами, включаючи надання таких послуг у державних платіжних системах;
4) послуги міжнародних міжбанківських систем передавання інформації та здійснення платежів;
5) послуги, які не мають впливу на профіль ризику надавача фінансових платіжних послуг та операційну діяльність (включаючи юридичні, медичні, послуги з прибирання, озеленення та обслуговування приміщень, службових автомобілів надавача фінансових платіжних послуг; послуги з громадського харчування; послуги торгових автоматів, пошти, секретарів та операторів розподільних щитів, комутаторів; канцелярські послуги).
Надавач фінансових платіжних послуг за послугами, що отримуються від TPSP-постачальників, визначених у підпунктах 1-5 пункту 189-1 глави 31-1 розділу VII цього Положення, зобов’язаний здійснювати управління ризиками, пов’язаними з отриманням таких послуг.
189-2. Надавач фінансових платіжних послуг за послугами, що отримуються від TPSP-постачальника, регулювання та нагляд за діяльністю якого здійснюється державним органом, уповноваженим відповідно до законодавства України встановлювати обов’язкові до виконання правила діяльності у визначеній сфері, а також здійснювати контроль за дотриманням законодавства України та застосовувати заходи впливу, включаючи такі сфери, як електропостачання, газопостачання, постачання теплової енергії, водопостачання та водовідведення, телефонний зв’язок і передача даних, здійснює оцінку ризику третіх сторін з урахуванням судження щодо співставності вимог, установлених уповноваженим державним органом щодо діяльності такого TPSP-постачальника, з вимогами, установленими в цьому Положенні, з урахуванням специфіки діяльності TPSP-постачальника.
189-3. Надавач фінансових платіжних послуг несе відповідальність за неналежне управління ризиками третіх сторін.
Укладення договору надавачем фінансових платіжних послуг з ТРSP-постачальником не звільняє надавача фінансових платіжних послуг від відповідальності за недотримання вимог законодавства України, своїх зобов’язань, унаслідок невиконання умов договору з ТРSP-постачальником.
Договір з ТРSP-постачальником не повинен ускладнювати / унеможливлювати оцінку уповноваженими працівниками Національного банку системи управління ризиками надавача фінансових платіжних послуг.
189-4. Надавач фінансових платіжних послуг під час установлення відносин із TPSP-постачальником, укладання нових / унесення змін до діючих договорів, продовження або поновлення дії договорів та протягом строку дії таких договорів зобов’язаний враховувати вимоги, обмеження та заборони, установлені законодавством України.
189-5. Оцінка ризику третіх сторін здійснюється надавачем фінансових платіжних послуг на всіх етапах життєвого циклу відносин із ТРSP-постачальником і включає оцінку:
1) внутрішніх та зовнішніх факторів ризику третіх сторін;
2) ризиків, на які наражається / наражатиметься надавач фінансових платіжних послуг унаслідок укладення договору з ТРSP-постачальником;
3) критичності послуги, що надається / надаватиметься ТРSP-постачальником.
189-6. Надавач фінансових платіжних послуг перед укладенням критичного договору з ТРSP-постачальником здійснює його перевірку, що включає:
1) збір та аналіз інформації, потрібної для визначення відповідності ТРSP-постачальника внутрішнім документам надавача фінансових платіжних послуг з питань управління ризиками;
2) оцінку відповідності критичного ТРSP-постачальника вимогам, визначеним у пункті 189-4 глави 31-1 розділу VII цього Положення;
3) оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 354 глави 25 розділу IV, пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг, та інших ознак, установлених у внутрішніх документах надавача фінансових платіжних послуг з питань управління ризиками;
4) аналіз ризиків, на які може наражатися надавач фінансових платіжних послуг у разі укладення договору з критичним ТРSP-постачальником;
5) оцінку спроможності надавача фінансових платіжних послуг належно управляти ризиком третіх сторін, пов’язаним з укладенням договору з критичним ТРSP-постачальником;
6) обґрунтування фінансової та операційної доцільності укладення договору з критичним ТРSP-постачальником.
Надавач фінансових платіжних послуг під час здійснення відповідно до абзацу першого пункту 189-6 глави 31-1 розділу VII цього Положення перевірки ТРSP-постачальника, яким є банк або надавач фінансових платіжних послуг, не перевіряє такого ТРSP-постачальника на відповідність вимогам, визначеним у підпунктах 2 та 3 пункту 189-6 глави 31-1 розділу VII цього Положення, та не оцінює прозорість структури власності відповідно до підпункту 2 пункту 189-12 глави 31-1 розділу VII цього Положення.
189-7. Надавач фінансових платіжних послуг здійснює оцінку ділової репутації критичного ТРSP-постачальників, його кінцевих бенефіціарних власників та керівників критичних ТРSP-постачальників шляхом перевірки відсутності у критичного ТРSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, установлених у пункті 354 глави 25 розділу IV та пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг та інших ознак, установлених внутрішніми документами надавача фінансових платіжних послуг щодо управління ризиком третіх сторін.
189-8. Надавач фінансових платіжних послуг включає до ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників і керівників щонайменше такі ознаки щодо:
1) фізичної особи - ознаки, установлені в пункті 354 глави 25 розділу IV Положення про авторизацію надавачів фінансових послуг;
2) юридичної особи - ознаки, установлені в пункті 363 глави 26 розділу ІV Положення про авторизацію надавачів фінансових послуг.
189-9. Надавач фінансових платіжних послуг додатково до ознак, установлених у пункті 354 глави 25 розділу IV, пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг, встановлює ознаки небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників з метою комплексної, своєчасної та адекватної оцінки ризиків, на які може наражатися надавач фінансових платіжних послуг унаслідок установлення / підтримання відносин із критичним TPSP-постачальником.
189-10. Надавач фінансових платіжних послуг з метою здійснення оцінки відповідності ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників надсилає критичному TPSP-постачальнику запит про отримання документів та/або інформації, потрібних для підтвердження відповідності їх ділової репутації.
Надавач фінансових платіжних послуг здійснює оцінку відповідності ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників і керівників шляхом перевірки:
1) достовірності поданих критичним TPSP-постачальником документів та/або інформації;
2) відсутності в критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 354 глави 25 розділу IV, пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг, та інших ознак, установлених у внутрішніх документах щодо управління ризиком третіх сторін.
189-11. Надавач фінансових платіжних послуг визначає наявність ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників на підставі судження, сформованого з урахуванням інформації, отриманої від критичного TPSP-постачальника, а також інформації, що є в державних реєстрах, інформаційних системах органів державної влади, медіа, інших відкритих джерелах.
189-12. Надавач фінансових платіжних послуг аналізує ризики, на які він може наражатись у разі укладення договору з критичним TPSP-постачальником, шляхом проведення щонайменше оцінки:
1) розподілу відповідальності між надавачем фінансових платіжних послуг та критичним TPSP-постачальником згідно з умовами договору щодо забезпечення безпеки, включаючи інформаційну безпеку та кіберзахист, а також стабільності під час надання послуг;
2) прозорості структури власності критичного TPSP-постачальника. Структура власності TPSP-постачальника є непрозорою, якщо неможливо визначити всіх кінцевих бенефіціарних власників TPSP-постачальника через, але не виключно, наявність ознак номінального володіння, використання трастів або інших подібних правових утворень, офшорних зон, неповне розкриття або відмову в розкритті, або надання TPSP-постачальником недостовірної / неповної інформації або інші обставини, що унеможливлюють встановлення кінцевих бенефіціарних власників;
3) ризику концентрації послуг;
4) ризиків, пов’язаних із географічним регіоном фактичного розташування критичного TPSP-постачальника, які, серед іншого, пов’язані зі стихійними лихами, економічною, соціальною, політичною сферами, правовим і регуляторним середовищем країни, з території якої надаватиметься відповідна послуга;
5) наявності потенційного конфлікту інтересів між надавачем фінансових платіжних послуг і критичним TPSP-постачальником, включаючи ключові n-і сторони;
6) усієї доступної інформації щодо діяльності критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, включаючи наявність або відсутність поточних, нещодавно завершених чи незавершених процесів чи обставин, що можуть свідчити про підвищений операційний, включаючи юридичний / репутаційний ризик або комплаєнс-ризик критичного TPSP-постачальника, включаючи, але не обмежуючись результатами нещодавно завершених регуляторних перевірок, застосованих заходів впливу [штрафів, приписів, зупинення повністю або частково (тимчасове призупинення) або припинення (анулювання) ліцензій, обмеження діяльності], результатами внутрішніх розслідувань, адміністративних, цивільних або кримінальних проваджень;
7) доступності альтернативних критичних TPSP-постачальників;
8) інших фактів, подій, обставин, що можуть свідчити про наявність ризиків, на які може наражатися надавач фінансових платіжних послуг у разі укладення договору з критичним TPSP-постачальником.
189-13. Надавач фінансових платіжних послуг забезпечує належний рівень документування процесів оцінки ризику третіх сторін та перевірки TPSP-постачальника перед укладенням договору.
Надавач фінансових платіжних послуг зобов’язаний на вимогу Національного банку надавати документи та інформацію, які підтверджують таку оцінку та перевірку, зазначені в абзаці першому пункту 189-13 глави 31-1 розділу VII цього Положення.
189-14. Надавач фінансових платіжних послуг приймає рішення про відмову від встановлення договірних відносин із TPSP-постачальником у разі виявлення:
1) наявності у TPSP-постачальника та/або його кінцевих бенефіціарних власників громадянства чи податкового резидентства держави-агресора та/або постійного проживання на території держави-агресора;
2) застосування до TPSP-постачальника, його кінцевих бенефіціарних власників Україною, іноземними державами (крім держав, які здійснюють збройну агресію проти України), міждержавними об’єднаннями або міжнародними організаціями санкцій (застосовується протягом строку дії санкцій і протягом трьох років після їх скасування або закінчення строку, на який їх було введено);
3) включення TPSP-постачальника, його кінцевих бенефіціарних власників до переліку осіб, пов’язаних із провадженням терористичної діяльності або стосовно яких застосовано міжнародні санкції (застосовується протягом строку перебування особи в переліку та протягом 10 років після виключення з нього).
189-15. Надавач фінансових платіжних послуг у разі виявлення щодо критичного ТРSP-постачальника ознак небездоганної ділової репутації, визначених у пункті 354 глави 25 розділу IV, пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг, приймає рішення про доцільність встановлення або відмову від установлення договірних відносин із таким ТРSP-постачальником.
Надавач фінансових платіжних послуг у разі прийняття рішення про встановлення договірних відносин із критичним TPSP-постачальником починаючи з дня укладення договору та до дня забезпечення критичним TPSP-постачальником усунення ознак небездоганної ділової репутації:
1) визначає рівень ризику третіх сторін за договором із таким TPSP-постачальником як високий;
2) здійснює оцінку потенційного впливу повного припинення надання таким TPSP-постачальником послуг надавачу фінансових платіжних послуг на безперервність надання платіжних послуг та профіль ризику надавача фінансових платіжних послуг.
189-16. Надавач фінансових платіжних послуг після укладення договору з ТРSP-постачальником з метою прийняття своєчасних та адекватних управлінських рішень щодо пом’якшення ризику третіх сторін і зменшення пов’язаних із таким ризиком втрат (збитків) здійснює на постійній основі моніторинг відповідності TPSP-постачальника вимогам цього Положення та відсутності ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, визначених у пункті 354 глави 25 розділу IV, пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг, та інших ознак, установлених у внутрішніх документах надавача фінансових платіжних послуг щодо управління ризиком третіх сторін.
189-17. Надавач фінансових платіжних послуг у разі встановлення за результатами моніторингу невідповідності TPSP-постачальника вимогам пункту 189-4 глави 31-1 розділу VII цього Положення приймає рішення про припинення (завершення) у найкоротший строк договірних відносин із таким TPSPпостачальником.
189-18. Надавач фінансових платіжних послуг у разі встановлення за результатами моніторингу невідповідності критичного TPSP-постачальника вимогам цього Положення та/або наявності ознак небездоганної ділової репутації, установлених у пункті 354 глави 25 розділу IV, пункті 363 глави 26 розділу IV Положення про авторизацію надавачів фінансових послуг, та інших ознак, установлених у внутрішніх документах надавача фінансових платіжних послуг щодо управління ризиком третіх сторін, приймає одне з таких рішень про:
1) продовження договірних відносин із таким TPSP-постачальником;
2) розроблення плану заходів щодо поетапного скорочення обсягу отримуваних послуг від такого TPSP-постачальника та припинення договірних відносин з ним.
189-19. Надавач фінансових платіжних послуг із дня встановлення за результатами моніторингу фактів, визначених у пункті 189-14та в абзаці першому пункту 189-18глави 31-1 розділу VII цього Положення, до дня їх виправлення (усунення) / припинення договірних відносин із критичним TPSP-постачальником:
1) визначає рівень ризику третіх сторін за договором із таким TPSP-постачальником як високий;
2) здійснює оцінку потенційного впливу повного припинення надання таким TPSP-постачальником послуг надавачу фінансових платіжних послуг на безперервність надання платіжних послуг та профіль ризику надавача фінансових платіжних послуг.
189-20. Надавач фінансових платіжних послуг під час припинення договірних відносин із критичним ТРSP-постачальником уживає заходів для забезпечення безперервності надання платіжних послуг.
( Розділ VII доповнено новою главою 31-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
32. Кіберризики та ризики безпеки
190. Надавач фінансових платіжних послуг створює ефективні механізми управління кіберризиками та ризиками безпеки як складовими операційного ризику під час провадження діяльності з надання платіжних послуг з урахуванням впливу на інші ризики, притаманні діяльності надавача фінансових платіжних послуг.
191. Система управління кіберризиками та ризиками безпеки повинна забезпечувати виявлення, вимірювання, моніторинг, контроль, звітування та мінімізацію (зниження до контрольованого рівня) таких ризиків, на які наражається надавач фінансових платіжних послуг, як наявних (реалізованих, поточних), так і потенційних (нереалізованих).
192. Відповідно до своєї системи управління кіберризиками та ризиками безпеки надавач фінансових платіжних послуг зобов’язаний мінімізувати вплив кіберризиків та ризиків безпеки шляхом застосування відповідних стратегій, політики, процедур, протоколів та інструментів, потрібних для належного та адекватного захисту інформаційної інфраструктури, включаючи програмне та апаратне забезпечення, сервери, а також для захисту всіх компонентів інфраструктури, таких як приміщення, центри обробки даних і виділені зони, щоб гарантувати, що інформаційна інфраструктура належним чином захищена від ризиків, включаючи пошкодження та несанкціонований доступ.
193. Політика управління кіберризиками та ризиками безпеки надавача фінансових платіжних послуг може бути складовою політики управління операційним ризиком або окремим документом та повинна обов’язково містити:
1) мету, завдання та принципи управління кіберризиками та ризиками безпеки;
2) організаційну структуру процесу управління кіберризиками та ризиками безпеки з урахуванням розподілу функціоналу учасників процесу відповідно до трьох ліній захисту, їх повноважень, відповідальності та порядку взаємодії;
3) порядок взаємодії між учасниками процесу управління кіберризиками та ризиками безпеки;
4) підходи надавача фінансових платіжних послуг до управління кіберризиками та ризиками безпеки;
5) механізми для встановлення рівня ризиків, які надавач фінансових платіжних послуг уважає допустимими під час надання платіжної послуги з урахуванням усіх бізнес-процесів, що забезпечують надання цієї послуги (далі - рівень ризиків безпеки);
6) наслідки недотримання політики управління кіберризиками та ризиками безпеки персоналом надавача платіжних послуг аутсорсерами, які мають доступ до інформаційної інфраструктури надавача фінансових платіжних послуг (включаючи постачальників послуг технічного характеру, що залучаються надавачем фінансових платіжних послуг на умовах аутсорсингу);
7) процедури та критерії з виявлення, аналізу та оцінки (вимірювання), моніторингу, контролю, звітування та зниження кіберризиків та ризиків безпеки, а також моніторингу загроз їх виникнення.
194. Політика управління кіберризиками та ризиками безпеки надавача фінансових платіжних послуг визначає:
1) необхідність проведення не рідше одного разу на рік аналізу та оцінки впровадженої політики управління кіберризиками та ризиками безпеки платіжних послуг та можливих порушень;
2) відповідність заходів з управління кіберризиками та ризиками безпеки платіжних послуг цілям заходів інформаційної безпеки та кібербезпеки надавача фінансових платіжних послуг;
3) наявність планів реагування на кіберінциденти та інциденти безпеки платіжних послуг з урахуванням можливих сценаріїв.
195. Надавач фінансових платіжних послуг зобов’язаний розробляти, документувати та впроваджувати порядок і процедури управління кіберризиками та ризиками безпеки надавача фінансових платіжних послуг з метою забезпечення безпеки інформаційної інфраструктури, забезпечення відповідних гарантій захисту від вторгнень і неправомірного використання інформації, збереження її конфіденційності, цілісності, доступності, автентичності та гарантувати точну й оперативну передачу інформації без серйозних збоїв і невиправданих затримок.
Надавач фінансових платіжних послуг не рідше одного разу на рік переглядає політику управління кіберризиками та ризиками безпеки щодо можливості оновлення / внесення змін перед упровадженням змін до інформаційної інфраструктури, процесів або процедур, а також оновлює / вносить зміни до політики управління кіберризиками та ризиками безпеки після кожного інциденту безпеки рівнів критичності "високий (помаранчевий)", "критичний (червоний)", "надзвичайний (чорний)", визначених у пункті 201 глави 33 розділу VII цього Положення.
196. Порядки та процедури управління кіберризиками та ризиками безпеки надавача фінансових платіжних послуг повинні обов’язково містити:
1) затверджені рівні допустимого ризику для кіберризиків та ризиків безпеки надавача фінансових платіжних послуг;
2) визначення та опис основних інструментів та індикаторів, що використовуються надавачем фінансових платіжних послуг в управлінні кіберризиками та ризиками безпеки, та порядок їх використання;
3) процедуру та методику оцінки кіберризиків та ризиків безпеки;
4) правила визначення критеріїв значних подій кіберризиків та ризиків безпеки, порядок їх класифікації, процедури їх оброблення, аналізу, дослідження, ескалації інформації та звітування керівникам надавача фінансових платіжних послуг;
5) порядок та процедури реагування на кіберризики та ризики безпеки;
6) опис засобів контролю та порядок моніторингу кіберризиків та ризиків безпеки;
7) порядок обміну інформацією між учасниками процесу управління кіберризиками та ризиками безпеки, включаючи визначення видів, форм і строків подання управлінської звітності щодо кіберризиків та ризиків безпеки.
197. Оцінка кіберризиків та ризиків безпеки здійснюється надавачем фінансових платіжних послуг за допомогою інструментів, визначених для оцінки операційного ризику із зазначеною для цих інструментів періодичністю, інструментів, що застосовуються надавачем фінансових платіжних послуг у межах впровадженої системи управління безпекою, або за допомогою інших інструментів, визначених надавачем фінансових платіжних послуг, не рідше одного разу на рік.
198. Надавач фінансових платіжних послуг забезпечує впровадження задокументованих і затверджених процесів та процедур щодо:
1) забезпечення безперервності функціонування інформаційної інфраструктури;
2) управління інцидентами / проблемами інформаційно-комунікаційних технологій для їх моніторингу та реєстрації, включаючи процедури визначення, відстеження, реєстрації, категоризації та класифікації за пріоритетом на основі критичності процесів, а також процедури реагування;
3) управління змінами для забезпечення контролю за всіма змінами в системах та сервісах інформаційно-комунікаційних технологій, включаючи процедури реєстрації, тестування, оцінювання, затвердження, упровадження і верифікації змін.
199. Процедура забезпечення безпеки надавача фінансових платіжних послуг повинна включати всі зазначені нижче елементи:
1) обмеження доступу до інформаційної інфраструктури з урахуванням установлених прав та ролей;
2) визначення базової конфігурації для критичних компонентів інформаційної інфраструктури з урахуванням провідних практик, відповідних методів, зазначених у міжнародних стандартах, які мінімізують вплив кіберзагроз на інформаційну інфраструктуру, а також заходів для регулярної перевірки того, що заходи безпеки ефективно впроваджені;
3) визначення заходів захисту від шкідливого коду;
4) визначення заходів безпеки для забезпечення використання лише дозволених носіїв інформації та систем для передачі та зберігання даних надавача фінансових платіжних послуг;
5) процес безпечного видалення локальних або збережених зовні даних, які надавачу фінансових платіжних послуг більше не потрібно обробляти;
6) процес безпечної утилізації або виведення з експлуатації пристроїв зберігання локальних або збережених зовні даних, що містять інформацію з обмеженим доступом;
7) визначення та впровадження заходів безпеки для запобігання втраті та витоку даних для систем і кінцевих пристроїв;
8) упровадження технічних та організаційних заходів безпеки щодо облікових даних, які використовуються для доступу до хмарних ресурсів користувача, під час використання хмарних послуг.
33. Операційні інциденти, кіберінциденти та інциденти безпеки
200. Надавач фінансових платіжних послуг зобов’язаний забезпечити розроблення, документування та періодичне оновлення політики управління інцидентами під час надання платіжних послуг відповідно до Положення про захист інформації та кіберзахист учасниками платіжного ринку, затвердженого постановою Правління Національного банку України від 19 травня 2021 року № 43 (зі змінами) (далі - Положення про захист інформації та кіберзахист).
201. Залежно від ступеня негативних наслідків, що можуть настати в результаті операційних інцидентів, кіберінцидентів та інцидентів безпеки (далі - інциденти), установлюються такі критерії істотності інцидентів (далі - рівні критичності):
1) некритичний (білий);
2) низький (зелений);
3) середній (жовтий);
4) високий (помаранчевий);
5) критичний (червоний);
6) надзвичайний (чорний).
202. Рівні критичності, визначені в пункті 201 глави 33 розділу VII цього Положення, попередньо визначаються надавачем платіжних послуг, який зафіксував інцидент безпеки, та обов’язково підтверджуються (уточнюються за потреби) Національним банком.
203. Надавач фінансових платіжних послуг зобов’язаний у довільній формі повідомляти Національний банк про інциденти, які відповідають рівням критичності:
1) середній (жовтий) - протягом п’яти робочих днів із дня, коли було зафіксовано відповідний інцидент;
2) високий (помаранчевий), критичний (червоний) та надзвичайний (чорний) - негайно.
204. Повідомлення, що стосується кіберінцидентів та інцидентів безпеки, здійснюється в строки та спосіб, визначені Положенням про захист інформації та кіберзахист.
205. Повідомлення, що стосується операційних інцидентів, здійснюється в спосіб, визначений у пункті 230 глави 37 розділу VIII цього Положення.
34. Ліміти операційного ризику
206. Надавач фінансових платіжних послуг установлює ліміти (обмеження) для операційного ризику в межах затвердженого ризик-апетиту.
Надавач фінансових платіжних послуг також установлює ліміти для управління різними джерелами концентрації ризиків.
207. Надавач фінансових платіжних послуг установлює значення лімітів операційного ризику у відсотках до регулятивного капіталу надавача фінансових платіжних послуг на останню звітну дату. Надавач фінансових платіжних послуг має право встановлювати значення лімітів ризиків щодо окремих операцій або ризиків в абсолютних значеннях та/або у відсотках до інших показників надавача фінансових платіжних послуг.
208. Надавач фінансових платіжних послуг:
1) визначає порядок установлення значень лімітів ризиків та контролю за їх дотриманням у своїй політиці управління операційним ризиком;
2) переглядає значення лімітів ризиків у разі змін ринкових умов або плану діяльності надавача фінансових платіжних послуг, але не рідше ніж один раз на рік. Перегляд здійснюється на підставі пропозицій бізнес-підрозділів надавача фінансових платіжних послуг та підрозділу з управління ризиками;
3) розробляє процедуру ескалації порушень лімітів ризиків, яка повинна містити:
форму та порядок інформування про порушення лімітів ризиків ради, комітету з управління ризиками, виконавчого органу;
порядок погодження здійснення операцій надавача фінансових платіжних послуг, що призводять до перевищення лімітів ризиків (допустимих перевищень), із зазначенням видів ризиків, щодо яких дозволяються допустимі перевищення, максимального обсягу допустимого перевищення, вимог до документування рішення щодо допустимого перевищення, порядку інформування ради щодо допустимих перевищень.
209. Підрозділ з управління ризиками в порядку, визначеному внутрішніми документами щодо ескалації порушень лімітів ризиків, якомога швидше після виявлення порушення ліміту ризику інформує раду, комітет з управління ризиками, виконавчий орган щодо такого порушення.
210. Відповідальний орган проводить позачерговий перегляд значень лімітів, якщо допустимі перевищення або порушення лімітів ризиків є частими або постійними відповідно до внутрішніх документів. Результатом такого перегляду можуть бути:
1) перегляд значень діючих лімітів;
2) перегляд делегованих повноважень щодо допустимих перевищень;
3) залишення значень лімітів без змін та затвердження плану заходів щодо запобігання їх подальшому перевищенню / порушенню.
35. Безперервність надання платіжних послуг
211. Надавач фінансових платіжних послуг із метою забезпечення належного управління ризиками розробляє методологію забезпечення безперервності надання платіжних послуг, яка включає:
1) політику заходів із забезпечення безперервності надання платіжних послуг;
2) процедуру аналізу впливу негативних факторів на бізнес-процеси надавача фінансових платіжних послуг;
3) план забезпечення безперервності надання платіжних послуг.
212. Політика заходів із забезпечення безперервності надання платіжних послуг повинна обов’язково містити:
1) ключові цілі надавача фінансових платіжних послуг щодо забезпечення безперервності надання платіжних послуг;
2) принципи та підходи надавача фінансових платіжних послуг щодо здійснення аналізу впливу негативних факторів на бізнес-процеси надавача фінансових платіжних послуг;
3) принципи та підходи надавача фінансових платіжних послуг щодо розроблення та приведення в дію плану забезпечення безперервності надання платіжних послуг;
4) принципи та підходи надавача фінансових платіжних послуг щодо моніторингу ефективності та вдосконалення плану забезпечення безперервності надання платіжних послу;
5) принципи та підходи надавача фінансових платіжних послуг щодо забезпечення безперервного надання платіжних послуг, пов’язаного зі збоями / перериваннями надання послуг ТРSP-постачальниками.
( Пункт 212 глави 35 розділу VII доповнено новим підпунктом згідно з Постановою Національного банку № 72 від 30.06.2026 )
212-1. Надавач фінансових платіжних послуг під час управління безперервністю надання платіжних послуг забезпечує:
1) періодичний перегляд та оновлення плану забезпечення безперервності надання платіжних послуг з урахуванням укладених договорів із ТРSP-постачальниками;
2) періодичне тестування плану забезпечення безперервності надання платіжних послуг або запровадження додаткового контролю, який забезпечуватиме дотримання ризик-апетиту та рівня толерантності до збоїв, із застосуванням таких сценаріїв:
залучення іншого / альтернативного ТРSP-постачальника;
використання одночасно кількох ТРSP-постачальників;
виконання надавачем фінансових платіжних послуг робіт самостійно за послугами, що надаються ТРSP-постачальником, використовуючи власну інфраструктуру;
3) урахування наслідків інцидентів, що були в минулому за договорами з ТРSP-постачальниками, та результати періодичного тестування надавачем фінансових платіжних послуг плану забезпечення безперервності надання платіжних послуг;
4) здійснення періодичної актуалізації переліку альтернативних ТРSP-постачальників, визначених надавачем фінансових платіжних послуг.
( Главу 35 розділу VII доповнено новим пунктом згідно з Постановою Національного банку № 72 від 30.06.2026 )
212-2. Надавач фінансових платіжних послуг під час управління безперервністю надання платіжних послуг додатково до вимог, визначених у пункті 212-1 глави 35 розділу VII цього Положення, щодо критичних договорів із ТРSP-постачальниками здійснює перевірку надійності процесів таких ТРSP-постачальників стосовно забезпечення безперервності їх діяльності.
( Главу 35 розділу VII доповнено новим пунктом згідно з Постановою Національного банку № 72 від 30.06.2026 )
213. Процедура аналізу впливу негативних факторів на бізнес-процеси надавача фінансових платіжних послуг (далі - аналіз впливу) включає визначення рівнів критичності бізнес-процесів, систем та сервісів інформаційно-комунікаційних технологій, інших ресурсів (працівники, приміщення, техніка) із урахуванням:
1) цільового часу на відновлення процесів та систем, що обслуговують цей процес, після збою / переривання діяльності (англійською мовою - recovery time objective);
2) максимально допустимого проміжку часу, за який можлива втрата критичних даних надавача фінансових платіжних послуг у разі збою / відмови систем та сервісів інформаційно-комунікаційних технологій (англійською мовою - recovery point objective).
214. Аналіз впливу повинен охоплювати всі процеси та підрозділи надавача фінансових платіжних послуг з урахуванням їх взаємозалежності.
215. Надавач фінансових платіжних послуг у межах здійснення аналізу впливу забезпечує послідовний та комплексний аналіз вразливості процесів, систем та сервісів інформаційно-комунікаційних технологій надавача фінансових платіжних послуг до різних типів імовірних сценаріїв переривання діяльності, включаючи сценарій кібератаки. Надавач фінансових платіжних послуг здійснює кількісну та якісну оцінку ймовірного фінансового, операційного та репутаційного впливу сценаріїв на діяльність надавача фінансових платіжних послуг, використовуючи внутрішні та зовнішні дані.
