( Пункт 272 глави 43 розділу V із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 )
273. Головний ризик-менеджер/підрозділ з управління ризиками в разі значного підвищення ринкового ризику (наближення фактичних показників ринкового ризику до встановлених значень лімітів або порушення/потенційного порушення лімітів) не пізніше наступного робочого дня інформує про це раду банку, комітет з управління ризиками, правління банку та комітет з управління активами і пасивами. Інформація про причини таких порушень та пропозиції щодо заходів для усунення порушень надаються з урахуванням вимог пункту 93 глави 12 розділу I цього Положення.
( Пункт 273 глави 43 розділу V в редакції Постанови Національного банку № 172 від 29.12.2020 )
274. Банк розробляє управлінську звітність щодо ринкового ризику, яка повинна обов'язково включати звіти щодо:
1) величини ринкового ризику та кожного з його видів з описовою частиною, що визначає активи, зобов'язання, позабалансові позиції, грошові потоки та продукти, що є головними з точки зору схильності до ринкового ризику;
( Підпункт 1 пункту 274 глави 43 розділу V із змінами, внесеними згідно з Постановою Національного банку № 40 від 30.03.2023 )
2) порушень банком установлених лімітів ринкового ризику та авторизованих перевищень лімітів;
2-1) доходів та витрат за інструментами, що управляються трейдинг-деск;
( Пункт 274 глави 43 розділу V доповнено новим підпунктом 2-1 згідно з Постановою Національного банку № 40 від 30.03.2023 )
3) результатів здійснення стрес-тестування ринкового ризику.
VI. Управління операційним ризиком
44. Загальні підходи до управління операційним ризиком
275. Банк створює ефективну систему управління операційним ризиком, що має повністю інтегруватися в загальну систему управління ризиками банку.
276. Банк оцінює операційний ризик з урахуванням його взаємозв'язку та впливу на інші ризики, що притаманні діяльності банку.
277. Банк самостійно визначає перелік кількісних показників ризик-апетиту до операційного ризику, які обов’язково повинні включати показники ризик-апетиту до ризику третіх сторін. Такий перелік повинен обов'язково включати показник максимального обсягу втрат від подій операційного ризику протягом наступних 12 місяців у цілому та в розрізі ризиків, які є складовими операційного ризику.
( Пункт 277 глави 44 розділу VI в редакції Постанови Національного банку № 70 від 30.06.2026 )
277-1. Банк визначає ризик-апетит з урахуванням ризиків, пов’язаних з послугами, які банк отримує від TPSP-постачальників, та рівня толерантності до збоїв.
Оцінка ризиків, пов’язаних з послугами, які банк отримує від TPSP-постачальників, має бути орієнтованою на перспективу та враховувати стрес-тестування таких ризиків включно з використанням методу сценарного аналізу.
( Главу 44 розділу VI доповнено новим пунктом 277-1 згідно з Постановою Національного банку № 70 від 30.06.2026 )
45. Політика та процедури управління операційним ризиком
278. Банк розробляє та періодично переглядає (не рідше одного разу на рік) політику, порядки управління операційним ризиком з метою забезпечення їх ефективності та відповідності рівню ризик-апетиту до цього ризику.
279. Політика управління операційним ризиком повинна обов'язково містити:
1) мету, завдання та принципи управління операційним ризиком;
2) організаційну структуру процесу управління операційним ризиком з урахуванням розподілу функціонала відповідно до трьох ліній захисту учасників процесу, їх повноважень, відповідальності та порядку взаємодії;
3) підходи щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом'якшення операційного ризику;
4) критеріїв визначення значних подій операційного ризику, порядок їх дослідження та ескалації інформації щодо таких подій керівникам банку;
( Підпункт 4 пункту 279 глави 45 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 )
5) політику страхування (якщо стратегія з управління ризиками передбачає такий підхід щодо передавання ризику);
6) підходи щодо здійснення стрес-тестування операційного ризику;
7) перелік та формат (інформаційне наповнення) форм управлінської звітності щодо операційного ризику, порядок і періодичність/терміни їх надання суб'єктам системи управління ризиками;
8) критерії звітування для подій операційного ризику та обґрунтування таких критеріїв.
280. Порядок та процедури управління операційним ризиком повинні обов'язково містити:
1) процедури щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом'якшення операційного ризику, уключаючи інструменти/індикатори, що використовуються;
1-1) процедури контролю за повнотою та якістю даних про події операційного ризику, уключаючи інструменти, що використовуються для такого контролю;
( Пункт 280 глави 45 розділу VI доповнено новим підпунктом 1-1 згідно з Постановою Національного банку № 172 від 29.12.2020 )
2) порядок та критерії класифікації подій операційного ризику за типами подій, бізнес-лініями;
3) критерії ідентифікації, класифікації та методологію розрахунку збитків від подій операційного ризику, пов'язаних із кредитним ризиком;
4) критерії визначення груп пов'язаних операційних подій;
5) опис основних інструментів, що використовуються під час управління операційним ризиком, та порядок їх використання;
6) порядок управління операційним ризиком, що властивий процесу співпраці з аутсорсерами;
7) чітке розмежування функцій управління операційним ризиком та комплаєнс-ризиком з метою уникнення їх дублювання;
8) порядок обміну інформацією між учасниками процесу управління операційним ризиком, уключаючи види, форми і терміни подання інформації;
9) програма проведення стрес-тестування операційного ризику;
10) порядок складання та перевірки достовірності статистичної звітності щодо операційного ризику, що подається до Національного банку.
280-1. Банк розробляє та впроваджує процедури контролю за повнотою та якістю даних про події операційного ризику банку, що передбачають:
1) розподіл обов'язків та відповідальності між підрозділами банку щодо контролю за повнотою та якістю даних про події операційного ризику банку під час їх збору, унесення до бази внутрішніх подій операційного ризику та подальшої перевірки;
2) заходи поточного (під час збору та внесення даних до бази внутрішніх подій операційного ризику) та подальшого контролю за повнотою та якістю даних про події операційного ризику, уключаючи автоматизовані та/або ручні перевірки щодо відсутності помилок та суперечливості даних, відповідності обліковим, фінансовим, статистичним даним та даним управлінської звітності банку.
( Главу 45 розділу VI доповнено новим пунктом 280-1 згідно з Постановою Національного банку № 172 від 29.12.2020 )
281. Банк забезпечує управління операційним ризиком, дотримуючись моделі трьох ліній захисту:
1) на першій лінії захисту перебувають бізнес-підрозділи та підрозділи підтримки банку. Вони є власниками всіх операційних ризиків, що виникають у сфері їх відповідальності. Зазначені підрозділи відповідають за виявлення та оцінювання операційних ризиків, ужиття управлінських заходів та звітування щодо таких ризиків. На першій лінії захисту банк призначає в рамках підрозділів працівників, відповідальних за внутрішній контроль операційного ризику - ризик-координаторів. До їх функцій у сфері управління операційним ризиком належать:
участь у побудові карт процесів (технологічних карт), власниками яких є підрозділи, які також використовуються для організації здійснення цих процесів, а також для побудови та впровадження ефективної системи внутрішнього контролю;
взаємодія з підрозділом з управління ризиками;
взаємодія з керівником свого підрозділу з питань дотримання політики, порядків та процедур з управління операційним ризиком;
координація з питань навчання і забезпечення обізнаності працівників підрозділу щодо політики, порядків і процедур з управління операційним ризиком;
забезпечення виявлення подій операційного ризику на рівні підрозділу та інформування ризик-координатором про такі події;
повний і своєчасний збір та внесення інформації про події операційного ризику до бази внутрішніх подій операційного ризику та контроль за якістю і повнотою внесеної інформації;
( Абзац восьмий пункту 281 глави 45 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 )
сприяння підрозділу з управління ризиками у формуванні переліку та розрахунку значень ключових індикаторів ризику для моніторингу операційного ризику, забезпечення здійснення постійного моніторингу та звітування підрозділу з управління ризиками щодо динаміки їх значень у підрозділі;
участь у створенні сценаріїв для сценарного аналізу операційного ризику, організація проведення підрозділом, у межах якого вони призначені як ризик-координатори, сценарного аналізу за підтримки підрозділом з управління ризиками або забезпечення участі працівників підрозділу у проведенні сценарного аналізу іншими підрозділами;
( Абзац десятий пункту 281 глави 45 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 )
участь у проведенні стрес-тестування операційного ризику;
забезпечення проведення підрозділом ідентифікації та оцінки операційних ризиків, притаманних новим продуктам/значним змінам у діяльності банку;
проведення самооцінки операційних ризиків;
забезпечення складання підрозділом управлінської звітності щодо операційного ризику.
Структурні підрозділи банку відповідають за дотримання вимог політики, процедур та використання інструментів управління операційними ризиками під час здійснення своєї діяльності;
2) на другій лінії захисту підрозділ з управління ризиками виконує такі функції в частині управління операційним ризиком:
розроблення, упровадження та постійний розвиток системи управління операційним ризиком;
оцінка величини операційного ризику банку, уключаючи оцінку на основі інформації, що надається ризик-координаторами підрозділів першої лінії захисту;
консультування структурних підрозділів банку з питань управління операційним ризиком;
проведення навчання і забезпечення обізнаності працівників банку щодо управління операційними ризиками;
формування зведеної звітності про результати управління операційним ризиком у банку;
контроль за виконанням заходів щодо уникнення, передавання та пом'якшення операційного ризику;
участь у розробленні карт процесів;
супровід та підтримка бази внутрішніх подій операційного ризику, уключаючи збір, накопичення і аналіз даних щодо внутрішніх подій операційного ризику, верифікації подій, унесених до бази, дослідження значних подій;
розроблення разом з підрозділами першої лінії захисту переліку специфікацій ключових індикаторів операційного ризику, порядку їх розрахунку та визначення граничних значень;
контроль за дотриманням граничних значень ключових індикаторів операційного ризику та аналіз причин порушень;
планування, контроль за проведенням та погодженням результатів сценарного аналізу;
( Абзац двадцять сьомий пункту 281 глави 45 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 )
координація або контроль за розробленням плану забезпечення безперервної діяльності залежно від обраної моделі управління процесом;
координація проведення та аналіз результатів самооцінки операційних ризиків;
надання експертного висновку, погодження результатів аналізу та оцінки операційних ризиків, притаманних новим продуктам/значним змінам у діяльності банку/переданим на аутсорсинг функціям, проведених підрозділами першої лінії захисту;
( Абзац тридцятий пункту 281 глави 45 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 )
аналіз операційних ризиків за функціями, що передаються на аутсорсинг;
( Абзац тридцять перший пункту 281 глави 45 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 )
формування пропозицій щодо політики страхування ризиків банку;
3) на третій лінії захисту підрозділ внутрішнього аудиту здійснює оцінку ефективності системи управління операційним ризиком підрозділами першого та другого рівнів захисту, уключаючи оцінку ефективності системи внутрішнього контролю.
282. Правління банку має право створити комітет з управління операційним ризиком, що є складовою організаційної структури системи управління ризиками і забезпечує виконання визначених функцій та повноважень щодо управління операційним ризиком.
282-1. Банк створює ефективні механізми управління ризиком третіх сторін, які є частиною системи управління операційним ризиком банку, з урахуванням впливу ризику третіх сторін на інші ризики, що притаманні його діяльності.
( Г лаву 45 розділу VI доповнено новим пунктом 282-1 згідно з Постановою Національного банку № 70 від 30.06.2026 )( Пункт 283 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )( Пункт 284 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )( Пункт 285 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )( Пункт 286 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )( Пункт 287 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )( Пункт 288 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )( Пункт 289 глави 45 розділу VI виключено на підставі Постанови Національного банку № 40 від 30.03.2023 )
290. Банк створює ефективні механізми управління модельним ризиком, який є частиною системи управління операційним ризиком банку з урахуванням вимог цього Положення щодо використання моделей для оцінки (вимірювання) ризиків.
( Пункт 290 глави 45 розділу розділу VI в редакції Постанови Національного банку № 9 від 22.01.2026 )
45-1. Ризики ІСТ та інформаційної безпеки
290-1. Банк створює ефективні механізми управління ризиком ІCT та ризиком інформаційної безпеки, які є частиною системи управління операційним ризиком банку з урахуванням впливу на інші ризики, притаманні діяльності банку.
290-2. Банк забезпечує управління ризиком ІCT та ризиком інформаційної безпеки, дотримуючись моделі трьох ліній захисту.
До першої лінії захисту належать усі структурні підрозділи банку, які під час здійснення своєї діяльності повинні забезпечувати дотримання вимог політики, процедур та використання інструментів управління ризиком ІCT та ризиком інформаційної безпеки, включаючи виявлення та оцінювання таких ризиків, а також ужиття управлінських заходів та звітування щодо них. Ризик-координатори, відповідальні за управління ризиком ІCT та ризиком інформаційної безпеки, призначаються зі складу підрозділів першої лінії захисту, функції яких полягають в управлінні інформаційно-комунікаційними технологіями та інформаційною безпекою відповідно.
До другої та третьої ліній захисту належать підрозділ з управління ризиками та підрозділ внутрішнього аудиту відповідно, які забезпечують виконання функцій, визначених цим Положенням щодо дотримання трьох ліній захисту під час управління операційним ризиком.
290-3. Банк розробляє та періодично переглядає політику, процедури, інструменти управління ризиком ІCT та ризиком інформаційної безпеки не рідше одного разу на рік.
290-4. Політика управління ризиком ІCT та ризиком інформаційної безпеки банку може бути складовою політики управління операційним ризиком або окремим документом та повинна обов’язково містити:
1) мету, завдання та принципи управління ризиком ІCT та ризиком інформаційної безпеки;
2) цілі банку щодо ризику ІCT та ризику інформаційної безпеки;
3) вплив ризику ІCT та ризику інформаційної безпеки на досягнення цілей банку: стратегічних, операційних, цілей у сфері підготовки фінансової та статистичної звітності, дотримання законодавства України;
4) організаційну структуру процесу управління ризиком ІCT та ризиком інформаційної безпеки з урахуванням розподілу функціонала учасників процесу відповідно до трьох ліній захисту, їх повноважень, відповідальності та порядку взаємодії;
5) порядок взаємодії між учасниками процесу управління ризиком ІCT та ризиком інформаційної безпеки;
6) підходи банку до управління ризиком ІCT та ризиком інформаційної безпеки.
290-5. Порядки та процедури управління ризиком ІCT та ризиком інформаційної безпеки повинні обов’язково містити:
1) визначення та опис основних інструментів та індикаторів, що використовуються банком в управлінні ризиком ІCT та ризиком інформаційної безпеки, та порядок їх використання;
2) методику оцінки ризику ІCT та ризику інформаційної безпеки;
3) правила визначення критеріїв значних подій ризику ІCT та ризику інформаційної безпеки, порядок їх класифікації (з урахуванням вимог цього Положення щодо класифікації подій операційного ризику), процедури їх оброблення, аналізу, дослідження, ескалації інформації та звітування керівництву банку;
4) порядок та процедури реагування на ризик ІCT та ризик інформаційної безпеки;
5) опис засобів контролю та порядок моніторингу ризику ІCT та ризику інформаційної безпеки;
6) порядок обміну інформацією між учасниками процесу управління ризиком ІCT та ризиком інформаційної безпеки, включаючи визначення видів, форм і строків подання управлінської звітності щодо ризику ІCT та ризику інформаційної безпеки.
290-6. Оцінка ризику ІCT та ризику інформаційної безпеки здійснюється банком за допомогою інструментів, визначених для оцінки операційного ризику із зазначеною для цих інструментів періодичністю, інструментів, що застосовуються банком у межах упровадженої системи управління інформаційною безпекою, або за допомогою інших інструментів, визначених банком, не рідше одного разу на рік.
290-7. Банк здійснює управління ризиком ІСТ з урахуванням вимог нормативно-правових актів Національного банку, які регламентують функціонування систем і сервісів ІСТ, та забезпечує впровадження задокументованих і затверджених процесів та процедур щодо:
1) забезпечення безперервності функціонування систем та сервісів ICT з урахуванням вимог глави 48 розділу VI цього Положення;
2) управління інцидентами/проблемами ІСТ для їх моніторингу та реєстрації, включаючи процедури визначення, відстеження, реєстрації, категоризації та класифікації за пріоритетом на основі критичності процесів, а також процедури реагування;
3) управління змінами для забезпечення контролю за всіма змінами в системах та сервісах ICТ, включаючи процедури реєстрації, тестування, оцінювання, затвердження, впровадження і верифікації змін.
290-8. Банк здійснює управління ризиком інформаційної безпеки з урахуванням вимог нормативно-правових актів Національного банку, які регламентують організацію заходів із забезпечення інформаційної безпеки і кіберзахисту, та забезпечує:
1) дотримання принципів забезпечення інформаційної безпеки і кіберзахисту та обов’язкових мінімальних вимог щодо організації заходів із забезпечення інформаційної безпеки та кіберзахисту;
2) запровадження ефективних заходів для забезпечення конфіденційності, цілісності та доступності інформації, її захисту від внутрішніх та зовнішніх загроз, включаючи кібератаки і загрози фізичної безпеки.
290-9. Банк створює та веде базу внутрішніх подій ризику ІCT та ризику інформаційної безпеки, здійснює аналіз накопиченої в ній інформації. Якщо банк веде базу внутрішніх подій ризику ІCT та ризику інформаційної безпеки окремо від бази внутрішніх подій операційного ризику, то він забезпечує реєстрацію в базі внутрішніх подій операційного ризику всіх подій ризику ІCT та ризику інформаційної безпеки, що підпадають під визначені банком критерії звітування щодо внутрішніх подій операційного ризику.
( Розділ VI доповнено новою главою 45-1 згідно з Постановою Національного банку № 40 від 30.03.2023 )
45-2. Загальні підходи до управління ризиком третіх сторін
290-10. Банк забезпечує управління ризиком третіх сторін дотримуючись моделі трьох ліній захисту:
1) на першій лінії захисту - приймає ризик третіх сторін, несе відповідальність за нього, здійснює поточне управління ризиком третіх сторін, включаючи управління відносинами за договорами з TPSP-постачальниками, подає звіти щодо поточного управління таким ризиком;
2) на другій лінії захисту - здійснює управління та контроль за ризиком третіх сторін з урахуванням ризиків, пов’язаних із послугами, які банк отримує від TPSP-постачальників;
3) на третій лінії захисту - здійснює перевірку та оцінку ефективності стратегії / стратегій, політики, процесів, процедур управління ризиком третіх сторін.
290-11. Банк для цілей управління ризиком третіх сторін відповідно до цього Положення має право не враховувати таких послуг, що надаються TPSP-постачальниками:
1) послуги, отримання яких вимагається законодавством України, включаючи послуги зовнішнього аудитора;
2) послуги глобальної карткової мережевої інфраструктури;
3) клірингові послуги, виконання функцій центрального контрагента, послуги центрального депозитарію цінних паперів та послуги розрахунків, що надаються кліринговими установами, центральними контрагентами, центральним депозитарієм цінних паперів та розрахунковими установами, включаючи надання таких послуг у державних платіжних системах;
4) послуги міжнародних міжбанківських систем передавання інформації та здійснення платежів;
5) послуги банків-кореспондентів;
6) послуги, які не мають впливу на профіль ризику банку та операційну діяльність (включаючи: послуги архітектора; юридичні, медичні, туристичні послуги; послуги з прибирання, озеленення та обслуговування приміщень, службових автомобілів банку; послуги з громадського харчування; послуги торгових автоматів, пошти, секретарів та операторів розподільних щитів, комутаторів; канцелярські послуги).
Банк за послугами, що отримуються від TPSP-постачальників, визначеними в пункті 290-11 глави 45-2 розділу VI цього Положення, зобов’язаний здійснювати управління ризиками, пов’язаними з отриманням таких послуг.
290-12. Банк за послугами, що отримуються від TPSP-постачальника, регулювання та нагляд за діяльністю якого здійснюється державним органом, уповноваженим відповідно до законодавства України встановлювати обов’язкові до виконання правила діяльності у визначеній сфері, а також здійснювати контроль за дотриманням такого законодавства та застосовувати заходи впливу, включаючи такі сфери, як електропостачання, газопостачання, постачання теплової енергії, водопостачання та водовідведення, телефонний зв’язок і передача даних (далі - регульований TPSP-постачальник / регульована послуга TPSP-постачальника), здійснює оцінку ризику третіх сторін з урахуванням судження щодо співставності вимог, установлених уповноваженим державним органом щодо діяльності такого TPSP-постачальника, з вимогами, установленими в цьому Положенні, з урахуванням специфіки діяльності TPSP-постачальника.
290-13. Банк формує та супроводжує перелік договорів, укладених з TPSP-постачальниками, включаючи угоди про рівень сервісу / обслуговування (SLA) (далі - Перелік договорів).
Банк уносить до Переліку договорів інформацію, яка щонайменше має містити дані, які вносяться до переліку договорів, укладених з TPSP-постачальниками, включаючи угоди про рівень сервісу / обслуговування (SLA), що наведені в додатку 7 до цього Положення.
Банк оновлює інформацію в Переліку договорів не пізніше 90 календарного дня від дня:
1) укладення договору з новим TPSP-постачальником, нового договору з наявним TPSP-постачальником;
2) унесення суттєвих змін до умов договору з TPSP-постачальником;
3) припинення договору з TPSP-постачальником;
4) визначення банком суттєвої зміни рівня ризиків за послугами, що надаються TPSP-постачальником;
5) зміни визначеного банком рівня критичності послуги, що надається TPSP-постачальником;
6) зміни юрисдикції та/або географічного місця розташування, з якого відбувається надання послуги TPSP-постачальником;
7) реорганізації TPSP-постачальника;
8) зміни ключової n-ї сторони в ланцюгу постачання TPSP-постачальника.
290-14. Банк несе відповідальність за ризики, пов’язані з укладенням договору з TPSP-постачальником та відносинами, що виникають на підставі такого договору.
Укладення банком договору з TPSP-постачальником не звільняє банк від відповідальності за недотримання вимог законодавства України, поточних зобов’язань перед вкладниками та кредиторами внаслідок реалізації / нереалізації такого договору.
Договір банку з TPSP-постачальником не повинен ускладнювати / унеможливлювати оцінку уповноваженими працівниками Національного банку системи управління ризиками банку.
290-15. Банк під час встановлення відносин із TPSP-постачальником, укладання нових / унесення змін до діючих договорів, продовження або поновлення дії договорів та/або угод про рівень сервісу (SLA) і протягом терміну дії таких договорів / угод зобов’язаний враховувати вимоги, обмеження та заборони, установлені законодавством України, нормативно-правовими актами Національного банку та інших державних органів України, вимоги яких застосовуються до TPSP-постачальників у відповідній сфері, включаючи, але не обмежуючись таким:
1) наявності в TPSP-постачальника та/або його кінцевих бенефіціарних власників громадянства чи податкового резидентства держави-агресора та/або постійного проживання на території держави-агресора;
2) застосування до TPSP-постачальника, його кінцевих бенефіціарних власників Україною, іноземними державами (крім держав, які здійснюють збройну агресію проти України), міждержавними об’єднаннями або міжнародними організаціями санкцій (застосовується протягом строку дії санкцій і протягом трьох років після їх скасування або закінчення строку, на який їх було введено);
3) включення TPSP-постачальника, його кінцевих бенефіціарних власників до переліку осіб, пов’язаних із провадженням терористичної діяльності або стосовно яких застосовано міжнародні санкції (застосовується протягом строку перебування особи в переліку та протягом 10 років після виключення з нього);
4) перевірки TPSP-постачальника, його кінцевих бенефіціарних власників щодо належності до осіб, пов’язаних із державою-агресором, що зазначені в абзацах другому - п’ятому підпункту 1 пункту 1 постанови Кабінету Міністрів України від 03 березня 2022 року № 187 "Про забезпечення захисту національних інтересів за майбутніми позовами держави Україна у зв’язку з військовою агресією Російської Федерації" (зі змінами).
( Розділ VI доповнено новою главою 45-2 згідно з Постановою Національного банку № 70 від 30.06.2026 )
45-3. Політика залучення TPSP-постачальників, політика, порядок та процедури управління ризиком третіх сторін
290-16. Банк розробляє та періодично (не рідше одного разу на рік) переглядає політику залучення TPSP-постачальників, політику, порядок та процедури управління ризиком третіх сторін, включаючи обрані банком для виконання на умовах аутсорсингу окремі функції банку.
290-17. Політика залучення TPSP-постачальників може бути складовою стратегії / стратегій управління ризиками або окремим документом.
290-18. Політика залучення TPSP-постачальників повинна обов’язково містити:
1) цілі банку щодо отримання послуг від TPSP-постачальників;
2) критерії, за якими банк визначає доцільність / необхідність отримання послуг від TPSP-постачальників;
3) перелік послуг, які банк визначив потенційно прийнятними для отримання від TPSP-постачальників;
4) види операцій / послуг банку, щодо здійснення / надання яких банк визначив неприйнятним залучення TPSP-постачальників;
5) критерії / вимоги до критичних TPSP-постачальників, включаючи вимоги до організації системи корпоративного управління, ділової репутації, кваліфікації персоналу, наявності активів, достатніх для здійснення таким TPSP-постачальником операційної діяльності, надання послуг банку;
6) принципи та підходи до визначення прийнятного співвідношення ризиків та переваг банку, пов’язаних із залежністю від одного або кількох TPSP-постачальників;
7) підходи до аналізу ризиків та переваг банку у зв’язку з використанням TPSP-постачальниками нових технологій;
8) умови, наслідком яких є прийняття банком рішення про припинення договору / відмову від укладення договору з критичним TPSP-постачальником, включаючи встановлення ознак невідповідності ділової репутації такого TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, ознакам, визначеним у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення про ліцензування банків, затвердженого постановою Правління Національного банку України від 22 грудня 2018 року № 149 (зі змінами) (далі - Положення № 149), та іншим ознакам, установленим у внутрішньобанківських документах щодо управління ризиком третіх сторін;
9) вимоги до договорів з TPSP-постачальниками.
Банк не включає до політики залучення TPSP-постачальників послуги, визначені в пункті 290-11 глави 45-2розділу VI цього Положення.
290-19. Політика, порядок та процедури управління ризиком третіх сторін повинні відповідати стратегії / стратегіям управління ризиками та політиці залучення TPSP-постачальників.
290-20. Політика, порядок та процедури управління ризиком третіх сторін можуть бути складовими політики, порядку та процедур управління операційним ризиком або окремими документами.
290-21. Політика управління ризиком третіх сторін повинна обов’язково містити:
1) мету, завдання та принципи управління ризиком третіх сторін;
2) організаційну структуру процесу управління ризиком третіх сторін з урахуванням розподілу функціональних обов’язків між учасниками процесу, їх повноваження, відповідальність та порядок взаємодії;
3) перелік лімітів для контролю за рівнем ризику третіх сторін та порядок їх установлення;
4) підходи щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом’якшення ризику третіх сторін, включаючи підходи до оцінки та моніторингу:
відсутності щодо критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149 , та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
відповідності укладених договорів умовам, визначеним у пунктах 290-49, 290-50 глави 45-6 розділу VI цього Положення, та/або дотримання TPSP-постачальником / критичним TPSP-постачальником таких умов під час виконання договору;
5) підходи до здійснення стрес-тестування ризику третіх сторін за базовим та несприятливим сценаріями;
6) перелік та формат (інформаційне наповнення) форм управлінської звітності щодо ризику третіх сторін, порядок і періодичність / терміни їх подання суб’єктам системи управління ризиками.
290-22. Банк з метою дотримання встановлених лімітів ризику третіх сторін, ризик-апетиту щодо операційного ризику, ризик-апетиту щодо ризику третіх сторін, рівня толерантності до збоїв уживає таких заходів:
1) визначає альтернативних TPSP-постачальників; та / або
2) поєднує використання власної інфраструктури з послугами TPSP-постачальника; та/або
3) забезпечує / зберігає можливість використання виключно власної інфраструктури для виконання робіт самостійно за послугами, що надаються TPSP-постачальником.
290-23. Порядок та процедури управління ризиком третіх сторін повинні обов’язково містити:
1) процедури щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом’якшення ризику третіх сторін, включаючи процедури оцінки та моніторингу:
відсутності щодо критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149 , та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
відповідності укладених договорів умовам, визначеним у пунктах 290-49, 290-50 глави 45-6 розділу VI цього Положення, та/або дотримання TPSP-постачальником / критичним TPSP-постачальником таких умов під час виконання договору;
2) процедури ескалації інформації та звітування про встановлені факти невідповідності ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознакам щодо ділової репутації, критеріям операційної та фінансової спроможності, умовам критичного договору згідно зі встановленими внутрішньобанківськими документами, включаючи форму та порядок інформування про такі порушення ради банку, комітету з управління ризиками, правління банку та його комітетів;
3) порядок обміну інформацією між учасниками процесу управління ризиком третіх сторін, включаючи види, форми і строки надання інформації;
4) програму проведення стрес-тестування ризику третіх сторін за базовим та несприятливим сценаріями;
5) процедури управління ризиком ланцюга постачання;
6) підхід до вимірювання та контролю ризику третіх сторін на рівні окремого договору з TPSP-постачальником;
7) критерії визначення критичних послуг, які надаються TPSP-постачальником;
8) критерії визначення критичних функцій, які підтримуються послугами TPSP-постачальників;
9) підхід до моніторингу інцидентів у діяльності TPSP-постачальників, звітування та реагування на них;
10) порядок формування судження щодо співставності встановлених уповноваженим державним органом вимог до діяльності TPSP-постачальників з вимогами, установленими цим Положенням, з урахуванням специфіки діяльності TPSP-постачальників;
11) порядок формування судження про неспроможність TPSP-постачальника забезпечувати надання послуги банку, яка відповідає визначеному в договорі рівню якості, доступності та ефективності, підхід до вимірювання та контролю ризику третіх сторін на рівні окремого договору з TPSP-постачальником.
290-24. Порядок та процедури управління ризиком третіх сторін повинні охоплювати всі етапи життєвого циклу відносин банку з TPSP-постачальником.
Етапами життєвого циклу відносин банку з TPSP-постачальником є:
1) оцінка ризику третіх сторін та вразливості банку до такого ризику;
2) здійснення комплексної перевірки критичного TPSP-постачальника перед установленням договірних відносин;
3) укладення договору з TPSP-постачальником;
4) початок договірних відносин із TPSP-постачальником і моніторинг виконання умов договору;
5) припинення договірних відносин із TPSP-постачальником.
Кожний етап життєвого циклу відносин із TPSP-постачальником має відповідати стратегії банку, політиці залучення TPSP-постачальників, політиці, порядкам та процедурам управління ризиком третіх сторін.
290-25. Банк здійснює управління ризиком третіх сторін та оцінку вразливості банку до такого ризику на всіх етапах життєвого циклу відносин із TPSP-постачальником з урахуванням:
1) критичності TPSP-постачальника, послуги, що надається TPSP-постачальником, та договору / договорів, укладеного / укладених із таким TPSP-постачальником;
2) оцінки ризику концентрації послуг за договорами з TPSP-постачальником, ураховуючи, що кілька некритичних договорів із TPSP-постачальником можуть становити для банку вищий ризик, ніж один критичний договір із таким TPSP-постачальником;
3) адекватності механізмів управління ризиком третіх сторін розміру банку, його бізнес-моделі, масштабу діяльності, видам, складності операцій, профілю ризиків, діяльності банку, що здійснюється за кордоном, рівню ризиків та критичності договорів з TPSP-постачальниками;
4) оцінки ризику третіх сторін за договорами з внутрішньогруповим TPSP-постачальником.
Банк здійснює управління ризиком третіх сторін за договорами з внутрішньогруповим TPSP-постачальником, який включений до системи управління ризиками в банківській групі, у межах системи управління ризиками в банківській групі, організованої відповідальною особою банківської групи згідно з вимогами цього Положення.
Банк, якщо відповідальною особою банківської групи згідно з пунктом 18-1 глави 2 розділу I цього Положення система управління ризиками в банківській групі організована без урахування учасника банківської групи, який є TPSP-постачальником, здійснює управління ризиком третіх сторін за договорами з таким TPSP-постачальником згідно з вимогами цього Положення, установленими для TPSP-постачальника, який не є внутрішньогруповим TPSP-постачальником;
5) оцінки здатності TPSP-постачальника забезпечити належне виконання своїх зобов’язань за всіма договорами перед банком, включаючи оцінку залежності виконання таких зобов’язань від виконання умов договорів n-ми сторонами в ланцюгу постачання послуги для банку TPSP-постачальником та здатності такого TPSP-постачальника управляти ризиком ланцюга постачання.
Процедури управління ризиком ланцюга постачання повинні бути адекватними рівням ризиків та критичності послуг, що надаються.
Банк здійснює аналіз ланцюга постачання за:
TPSP-постачальниками;
n-ми сторонами, які є другою та третьою сторонами в ланцюгу постачання. Першою стороною в ланцюгу постачання є сам TPSP-постачальник, другою та третьою сторонами - є відповідно наступні сторони, які є постачальниками послуг для TPSP-постачальника в ланцюгу постачання.
Банк має право не здійснювати аналізу ланцюга постачання за n-ми сторонами, які є наступними сторонами після третьої сторони в ланцюгу постачання послуг для TPSP-постачальника, якщо банк на підставі судження довів відсутність впливу такої n-ї сторони на здатність TPSP-постачальника забезпечувати належне виконання своїх зобов’язань перед банком за всіма договорами.
Банк визначає ключові n-ні сторони в ланцюгу постачання критичних TPSP-постачальників.
Банк включає інформацію про ключові n-ні сторони до карти взаємозв’язків і взаємозалежностей між TPSP-постачальниками та враховує її під час оцінки ризику третіх сторін, включаючи оцінку ризику концентрації послуг;
6) впливу розвитку нових технологій на підвищення залежності банку від TPSP-постачальника.
Банк забезпечує наявність кваліфікованих і досвідчених працівників, здатних забезпечити належне управління ризиком третіх сторін, пов’язаним із розвитком нових технологій, створенням нових / зміною діючих продуктів / сервісів із використанням таких технологій;
7) іншої інформації (за наявності), яка забезпечує додаткову впевненість банку щодо рівня організації системи внутрішнього контролю в діяльності критичного TPSP-постачальника / його ключової n-ї сторони на належному рівні, включаючи:
результати перевірки зовнішнім аудитором або іншим незалежним суб’єктом, який проводить незалежну професійну діяльність, критичного TPSP-постачальника / його ключової n-ї сторони;
відповідність діяльності критичного TPSP-постачальника / його ключової n-ї сторони вимогам національних стандартів України (ДСТУ) та міжнародних стандартів (ISO).
290-26. Банк оновлює (за потреби) порядок та процедури управління ризиком третіх сторін на кожному з етапів життєвого циклу відносин із TPSP-постачальником з урахуванням інформації, отриманої на інших етапах життєвого циклу відносин із таким TPSP-постачальником.
( Розділ VI доповнено новою главою 45-3 згідно з Постановою Національного банку № 70 від 30.06.2026 )
45-4. Оцінка ризику третіх сторін та вразливості банку до такого ризику
290-27. Банк під час оцінки ризику третіх сторін здійснює оцінку:
1) внутрішніх та зовнішніх факторів ризику третіх сторін;
2) ризиків, на які наражатиметься / наражається банк унаслідок укладення договору з TPSP-постачальником;
3) критичності послуги, яка надаватиметься / надається банку TPSP-постачальником.
290-28. Банк під час оцінки ризиків, на які наражатиметься / наражається банк унаслідок укладення договору з TPSP-постачальником, ураховує:
1) ризик концентрації послуг;
2) ризик, пов’язаний з довгими ланцюгами постачання;
3) ризик, пов’язаний з розвитком нових технологій;
4) вплив ризику третіх сторін на інші ризики, притаманні діяльності банку, та безперервність його діяльності.
Довгим ланцюгом постачання для цілей управління ризиком третіх сторін є ланцюг постачання, який містить три та більше сторін.
Ланцюг постачання обмежується послугами, що надаються банку / учаснику банківської групи в межах договору з TPSP-постачальником.
290-29. Банк під час оцінки критичності послуги, яка надаватиметься / надається банку TPSP-постачальником, ураховує:
1) потенційний вплив (позитивний та негативний) від укладення нового / унесення змін до діючого договору з TPSP-постачальником на операції банку, системи, дані, безперервність його діяльності;
2) рівень толерантності банку до збоїв;
3) характер даних та інформації, якими обмінюватиметься / обмінюється банк із TPSP-постачальником;
4) можливість та складність заміни TPSP-постачальника.
290-30. Банк з урахуванням результатів оцінки ризику третіх сторін:
1) оцінює адекватність процедур внутрішнього контролю щодо своєчасності та якості отримання банком послуг за укладеними договорами з TPSP-постачальниками;
2) визначає механізми моніторингу, звітування та ескалації інформації про ризик третіх сторін;
3) визначає заходи щодо пом’якшення ризику третіх сторін;
4) запроваджує процедури інформування ради, правління, відповідних підрозділів, включаючи підрозділ з управління ризиками, з урахуванням розподілу обов’язків та повноважень, щодо очікуваного впливу від укладання нових договорів, унесення змін до діючих договорів із TPSP-постачальниками на процеси та діяльність банку;
5) розробляє процедури визначення умов договорів із TPSP-постачальниками з урахуванням специфіки послуг, що надаються TPSP-постачальниками, та їх впливу на процеси та діяльність банку.
290-31. Банк забезпечує належний рівень документування процесу і результатів оцінки ризиків за договорами з TPSP-постачальниками.
( Розділ VI доповнено новою главою 45-4 згідно з Постановою Національного банку № 70 від 30.06.2026 )
45-5. Здійснення комплексної перевірки критичного TPSP-постачальника перед установленням договірних відносин
290-32. Банк перед укладенням критичного договору з TPSP-постачальником здійснює комплексну перевірку критичного TPSP-постачальника.
290-33. Банк з метою комплексної перевірки критичного TPSP-постачальника здійснює:
1) збір та аналіз інформації, необхідної для визначення відповідності критичного TPSP-постачальника політиці залучення TPSP-постачальників;
2) оцінку відповідності критичного TPSP-постачальника вимогам, визначеним у пункті 290-15 глави 45-2 розділу VI цього Положення;
3) оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149 , та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
4) оцінку відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
5) аналіз ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником;
6) оцінку спроможності банку належно управляти ризиком третіх сторін, пов’язаним з укладенням договору з критичним TPSP-постачальником;
7) обґрунтування фінансової та операційної доцільності укладення договору з критичним TPSP-постачальником.
290-34. Банк з метою визначення відповідності критичного TPSP-постачальника політиці залучення TPSP-постачальників здійснює аналіз отриманої від критичного TPSP-постачальника інформації про:
1) проведену критичним TPSP-постачальником власну оцінку ефективності системи внутрішнього контролю та управління ризиками, включаючи управління ризиком ICT, кіберризиком та іншими операційними ризиками за критеріями, визначеними для регульованих TPSP-постачальників / регульованої послуги TPSP-постачальника - уповноваженим державним органом, для інших критичних TPSP-постачальників - банком з урахуванням вимог цього Положення;
2) наявність у критичного TPSP-постачальника достатньої кількості кваліфікованих і досвідчених працівників для забезпечення безперервного надання послуг банку, включаючи доступність таких послуг під час збоїв у роботі критичного TPSP-постачальника;
3) спроможність критичного TPSP-постачальника управляти ризиком ланцюга постачання, включаючи спроможність виявляти ключові n-ні сторони;
4) операційну та технічну спроможність критичного TPSP-постачальника забезпечувати власну безперебійну діяльність;
5) спроможність критичного TPSP-постачальника надавати банку послуги, що забезпечують:
дотримання банком політики залучення TPSP-постачальників;
досягнення банком стратегічних цілей щодо розширення діяльності із застосуванням сучасних технологій;
дотримання банком вимог законодавства України та встановлених обмежень (за наявності);
здійснення банком безперервної діяльності з урахуванням визначеного рівня толерантності до збоїв, включаючи реалізацію заходів із відновлення систем та сервісів ICT після збоїв;
6) готовність оперативно надавати банку на його запит необхідну інформацію.
290-35. Банк здійснює оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефеціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149 , та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін.
290-36. Банк включає до ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників щонайменше такі ознаки:
1) щодо фізичної особи - ознаки, установлені в пункті 65 глави 6 розділу II Положення № 149 ;
2) щодо юридичної особи - ознаки, установлені в пункті 69 глави 7 розділу II Положення № 149 .
290-37. Банк додатково до ознак, установлених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149 , установлює у внутрішньобанківських документах щодо управління ризиком третіх сторін ознаки небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, включаючи відсутність підтверджених фактів вчинення кримінальних правопорушень проти власності, корупційних кримінальних правопорушень / кримінальних правопорушень, пов’язаних із корупцією, кримінальних правопорушень у сфері господарської діяльності, з метою комплексної, своєчасної та адекватної оцінки ризиків, на які може наражатися банк унаслідок установлення / підтримання відносин із критичним TPSP-постачальником.
