68. Установа, розробляє та контролює виконання внутрішніх документів, що встановлюють:
1) види, періодичність та порядок здійснення заходів із контролю;
2) підрозділи / працівників, відповідальні / відповідальних за проведення заходів із контролю;
3) облікову політику Установи;
4) правила здійснення контролю за повнотою і точністю облікової інформації та достовірністю звітності Установи (фінансової та регуляторної), звітів у межах системи внутрішнього контролю, їх види, періодичність та порядок підготовки;
5) періодичність та порядок розгляду звітів;
6) осіб / органи управління Установи, уповноважених / уповноважені здійснювати розгляд звітів;
7) регламенти / порядки складання звітів у межах системи внутрішнього контролю;
8) перелік інформації з обмеженим доступом, порядок використання та розкриття такої інформації, включаючи порядок та процедури захисту та обробки персональних даних працівників Установи;
9) порядок реєстрації, розгляду та опрацювання звернень громадян, юридичних осіб, фізичних осіб-підприємців, громадських формувань, органів державної влади та місцевого самоврядування;
10) види, періодичність та порядок здійснення заходів із контролю, підрозділи / працівників, відповідальні / відповідальних за проведення заходів із контролю, види, періодичність та порядок підготовки звітів, періодичність, порядок та осіб, уповноважених здійснювати розгляд звітів;
11) перелік та опис способів здійснення моніторингу та контролю за функціями, що виконуються аутсорсерами.
69. Установа здійснює заходи з контролю з метою запобігання, виявлення та усунення порушень законодавства України та внутрішніх документів.
70. Установа застосовує заходи, дотримання яких свідчить про впровадження та ефективне функціонування контрольної діяльності як компонента системи внутрішнього контролю Установи, якими щонайменше є:
1) затвердження внутрішніх документів щодо системи внутрішнього контролю та доведення їх змісту до відома всіх суб’єктів внутрішнього контролю (у межах їх компетенції);
2) визначення у внутрішніх документах Установи видів контрольної діяльності за інформаційними та обліковими системами й технологіями (за потреби).
VI. Контроль за інформаційними потоками та комунікаціями
71. Установа визначає у внутрішньому документі / внутрішніх документах порядок здійснення суб’єктами внутрішнього контролю зовнішніх та внутрішніх комунікацій, порядок використання та отримання інформації з урахуванням установлення вимог до:
1) порядку роботи із зовнішньою / внутрішньою кореспонденцією, визначення відповідальних за адміністрування вхідної кореспонденції (права доступу, періодичність і терміни опрацювання);
2) процедури визначення кінцевих отримувачів та відповідальних за підготовку відповідей на вхідну кореспонденцію;
3) установлення обмежень на поширення інформації за межі Установи, надісланої Установі Національним банком як цільовому респонденту;
4) порядку дій суб’єктів внутрішнього контролю в разі виникнення технічних збоїв інформаційно-комунікаційних систем, що використовуються для отримання, обробки або передавання інформації, включаючи визначення резервних каналів комунікації, відповідальних осіб за інформування керівництва та зацікавлених підрозділів, а також порядку фіксації та документування таких випадків.
72. Установа зобов’язана запровадити критерії, які свідчать про забезпечення якості інформації, що створюється, використовується та отримується Установою у діяльності, якими щонайменше є:
1) актуальність, що полягає у внесенні змін до інформації та повідомленні заінтересованих осіб про такі зміни протягом розумного строку з моменту настання обставин, що спричинили необхідність їх унесення;
2) коректність, що полягає в забезпеченні достовірності та повноти інформації;
3) цілісність, що полягає у вжитті заходів із метою захисту інформації, включно з використанням інформаційних систем і технологій, спрямованих на захист інформації від спотворення, пошкодження, втрати або знищення;
4) збереження, що полягає в збереженні інформації протягом усього строку її використання Установою, але не менше строків, визначених законодавством України та внутрішніми документами;
5) доступність, що полягає у визначенні у внутрішньому / внутрішніх документі / документах переліків інформації, яка є:
загальнодоступною;
з обмеженим доступом - може бути отримана та/або використана суб’єктами внутрішнього контролю виключно в межах їх повноважень;
6) достатність, що полягає у відповідності рівня деталізації інформації потребам внутрішніх та зовнішніх користувачів.
73. Установа зобов’язана визначити у внутрішньому документі / внутрішніх документах порядок проведення перевірки якості інформації, достовірність джерела походження такої інформації.
Перевірка якості інформації має проводитись уповноваженими суб’єктами внутрішнього контролю.
74. Установа зобов’язана забезпечити суб’єктів внутрішнього контролю можливістю використовувати інформаційні системи та технології, функціональні можливості яких дають змогу проводити перевірки дотримання критеріїв якості інформації.
75. Установа має право запроваджувати внутрішню систему повідомлення працівниками (включаючи конфіденційно) про виявлені ризики порушення вимог законодавства України та внутрішніх документів.
Порядок роботи такої системи в разі її запровадження повинен бути визначений у внутрішніх документах та доведений до відома всіх працівників.
76. Установа визначає у внутрішніх документах заходи з контролю під час здійснення зовнішньої комунікації, включаючи порядок отримання інформації від зовнішніх користувачів, її перевірки та передавання цієї інформації в межах організаційної структури Установи.
77. Суб’єкти внутрішнього контролю, уповноважені здійснювати зовнішні комунікації, зобов’язані дотримуватися вимог законодавства України та внутрішніх документів Установи щодо нерозголошення інформації з обмеженим доступом.
78. Установа зобов’язана дотримуватися критеріїв якості інформації, визначених у пункті 72 розділу VI цього Положенням, під час здійснення внутрішньої та зовнішньої комунікації.
79. Установа має право встановити у внутрішніх документах порядок проведення оцінки якості та ефективності внутрішніх та зовнішніх комунікацій, їх впливу на ефективне функціонування системи внутрішнього контролю та на досягнення цілей діяльності.
VII. Моніторинг ефективності системи внутрішнього контролю
80. Установа здійснює моніторинг ефективності системи внутрішнього контролю відповідно до вимог цього Положення та внутрішніх документів із метою:
1) оцінки якості роботи системи внутрішнього контролю за певний період часу;
2) визначення здатності системи внутрішнього контролю забезпечити досягнення цілей діяльності Установи, включаючи визначення ймовірності виникнення та оцінку суттєвості потенційно можливих недоліків системи внутрішнього контролю, що можуть спричинити негативний вплив на досягнення цілей;
3) розроблення заходів, спрямованих на мінімізацію негативного впливу ризиків з метою вдосконалення системи внутрішнього контролю.
81. Установа обирає види заходів із моніторингу системи внутрішнього контролю, включаючи моніторинг ефективності процедур із контролю та оцінку ефективності системи внутрішнього контролю як комбінацію поточних та періодичних заходів із моніторингу з урахуванням установлених цілей діяльності, кількості та складності видів контролю, ймовірності виникнення недоліків, а також кваліфікації та досвіду працівників.
82. Установа має право визначати у внутрішніх документах, крім суб’єктів третьої лінії захисту, й інших суб’єктів першої й другої ліній захисту, уповноважених здійснювати моніторинг ефективності внутрішнього контролю.
83. Установа зобов’язана запровадити заходи, дотримання яких свідчить про впровадження та функціонування моніторингу ефективності системи внутрішнього контролю як компонента системи внутрішнього контролю Установи, якими щонайменше є:
1) установлення у внутрішніх документах Установи порядку здійснення поточних і періодичних перевірок відповідності законодавству України та внутрішнім документам, якості та ефективності системи внутрішнього контролю;
2) забезпечення належного здійснення уповноваженими суб’єктами внутрішнього контролю оцінок компонентів системи внутрішнього контролю та своєчасне повідомлення про виявлені недоліки системи внутрішнього контролю та/або допущені суб’єктами внутрішнього контролю порушення та причини їх вчинення, відповідальних за прийняття рішення про здійснення заходів для усунення виявлених недоліків, порушень та/або внесення змін до внутрішніх документів.
84. Суб’єкти третьої лінії захисту Установи зобов’язані здійснювати не рідше одного разу на рік загальну оцінку ефективності системи внутрішнього контролю відповідно до вимог законодавства України.
85. Установа здійснює обов’язкові поточні та періодичні заходи з моніторингу ефективності системи внутрішнього контролю.
Поточні заходи з моніторингу здійснюються з метою оперативного виявлення та усунення недоліків системи внутрішнього контролю. Відповідальність за проведення таких заходів несуть суб’єкти першої та другої ліній захисту в межах повноважень.
Періодичні заходи з моніторингу, включаючи оцінку ефективності системи внутрішнього контролю, здійснюються суб’єктами третьої лінії захисту з метою виявлення недоліків після факту події.
86. Підрозділ внутрішнього аудиту Установи зобов’язаний за результатами здійснення моніторингу ефективності системи внутрішнього контролю складати звіти, що подаються на розгляд Наглядової ради.
87. Звіти, що подаються на розгляд Наглядової ради, мають містити інформацію про виявлені недоліки системи внутрішнього контролю та порушення (за наявності), аналіз причин їх виникнення, ймовірні наслідки, до яких можуть призвести ці недоліки, рекомендації / пропозиції щодо підвищення ефективності функціонування системи внутрішнього контролю, процес контролю за станом виконання рекомендацій / пропозицій, затверджених раніше.
88. Установа забезпечує подання звітів щодо результатів моніторингу ефективності системи внутрішнього контролю також працівникам, які відповідають за здійснення заходів коригування, та керівникам у межах визначених повноважень.
VIII. Контроль за умовами співпраці з партнерськими установами
89. Установа розробляє та затверджує в порядку, визначеному Законом про Національну установу розвитку, внутрішні документи щодо контролю за умовами співпраці з партнерськими установами, в яких визначає критерії відбору партнерських установ, з урахуванням щонайменше оцінки фінансової стійкості, регуляторної надійності, операційної спроможності партнерської установи, а також рівня репутаційного ризику.
90. Критерії відбору партнерських установ повинні бути вимірюваними, прозорими, порівнюваними, обґрунтованими та забезпечувати об’єктивність відбору, рівність умов участі та недопущення дискреційних, необґрунтовано дискримінаційних рішень під час відбору партнерських установ та подальшої співпраці з ними.
91. Установа:
1) визначає у внутрішніх документах процедури та заходи з контролю щодо:
перевірки партнерських установ на відповідність умовам співпраці та критеріям відбору партнерських установ, що є вимірюваними, прозорими, порівнюваними, обґрунтованими та забезпечують об’єктивність відбору, рівність умов участі та недопущення дискреційних, необґрунтовано дискримінаційних рішень під час відбору партнерських установ та подальшої співпраці з ними;
дотримання з партнерськими установами умов співпраці;
2) встановлює порядок припинення відносин з партнерськими установами в разі їх невідповідності умовам співпраці та/або порушення ними умов співпраці.
IX. Аутсорсинг
92. Установа має право залучати інших осіб на договірній основі для виконання окремих функцій та/або окремих завдань / процесів у межах цих функцій на умовах аутсорсингу відповідно до частини десятої статті 12 Закону про Національну установу розвитку.
93. Установа має право передати окремі функції та/або окремі завдання / процеси в межах цих функцій на аутсорсинг з урахуванням обмежень, визначених Законом про Національну установу розвитку, за умови дотримання вимог, встановлених у частині десятій статті 12 Закону про Національну установу розвитку, та призначення штатного працівника Установи, відповідального за контроль за аутсорсингом у разі аутсорсингу функцій Установи (крім аутсорсингу виконання окремих завдань та процесів у межах таких функцій).
94. Внутрішні документи Установи щодо аутсорсингу повинні щонайменше містити:
1) перелік операцій, функцій та/або окремих завдань / процесів у межах цих функцій, до виконання яких можуть залучатися аутсорсери, з урахуванням обмежень, установлених Законом про Національну установу розвитку;
2) порядок та особливості здійснення внутрішнього контролю та управління ризиками щодо функцій та/або окремих завдань / процесів у межах функцій, які реалізовуватимуть аутсорсери;
3) порядок передавання функцій та/або окремих завдань / процесів у межах функцій на аутсорсинг та розірвання договорів з аутсорсерами;
4) порядок організації роботи Установи з аутсорсерами та припинення роботи з ними;
5) порядок ведення обліку договорів аутсорсингу;
6) вимоги до договору аутсорсингу.
95. Установа має право включити до договору аутсорсингу:
1) перелік функцій та/або окремих завдань / процесів у межах цих функцій, які передаються на аутсорсинг відповідно до такого договору;
2) строк виконання функцій та/або окремих завдань / процесів у межах цих функцій;
3) порядок розірвання договору, включаючи за умови надходження вимоги Національного банку щодо припинення такого договору;
4) порядок врегулювання конфлікту інтересів (у разі його виникнення);
5) забезпечення аутсорсерами захисту інформації, отриманої під час виконання функцій, які передано на аутсорсинг;
6) відповідальність за розголошення персональних даних клієнтів;
7) забезпечення аутсорсерами доступу Установі до інформації, обладнання, облікових систем, що використовуються нею для виконання функцій та/або окремих завдань / процесів у межах цих функцій, переданих Установою на аутсорсинг, з метою перевірки виконання зобов’язань, визначених у договорі аутсорсингу.
96. Установа несе відповідальність за ризики, пов’язані з передаванням функцій та/або окремих завдань / процесів у межах цих функцій на аутсорсинг та виконанням аутсорсерами переданих на аутсорсинг функцій та/або окремих завдань / процесів у межах цих функцій.
97. Передавання Установою функцій та/або завдань / процесів у межах цих функцій на аутсорсинг не звільняє від відповідальності Установу та/або керівників Установи за невиконання нею / ними вимог, установлених законодавством України.
98. Установа зобов’язана письмово повідомити Національний банк у довільній формі про залучення аутсорсерів протягом трьох робочих днів із дня укладення договору з такими аутсорсерами щодо передавання ключових функцій та/або окремих завдань / процесів у межах ключових функцій на аутсорсинг.
99. Повідомлення в довільній формі про залучення аутсорсерів, визначене в пункті 98 розділу IX цього Положення, містити інформацію про:
1) особу, яка виконуватиме окремі ключові функції та/або окремі завдання / процеси в межах ключових функцій;
2) для юридичної особи - повне та скорочене найменування, місцезнаходження, код за Єдиним державним реєстром підприємств та організацій України (для резидентів) або витяг із торговельного, банківського, судового реєстру або іншого офіційного документа, виданого уповноваженим органом іноземної країни, що підтверджує реєстрацію компанії в країні, у якій зареєстровано її головний офіс, і містить інформацію про ідентифікаційний / реєстраційний номер / код (для нерезидентів);
3) для фізичної особи-підприємця - прізвище, власне ім’я та по батькові (за наявності), відомості про місце проживання або місце перебування, реєстраційний номер облікової картки платника податків або серія та номер / номер паспорта у формі ID-картки (для фізичних осіб, які через свої релігійні переконання відмовляються від прийняття реєстраційного номера платника податків, повідомили про це відповідний контролюючий орган і мають відмітку в паспорті), дату та номер запису в Єдиному державному реєстрі про проведення державної реєстрації;
4) дату початку надання послуг аутсорсера;
5) дату припинення надання послуг аутсорсера.
100. Установа має право одночасно залучати кількох осіб для виконання функцій та/або окремих завдань / процесів у межах функцій за умови дотримання вимог щодо управління конфліктом інтересів.
