ПРАВЛІННЯ НАЦІОНАЛЬНОГО БАНКУ УКРАЇНИ
ПОСТАНОВА
| 30 червня 2026 року № 70 |
Про затвердження Змін до Положення про організацію системи управління ризиками в банках України та банківських групах та про окремі питання діяльності банків України та банківських груп щодо управління ризиком третіх сторін
Відповідно до статей 7, 15, 55, 56 Закону України "Про Національний банк України", статей 44, 66, 67 Закону України "Про банки і банківську діяльність", з метою вдосконалення вимог до управління ризиками в банках України та банківських групах Правління Національного банку України постановляє:
1. Затвердити Зміни до Положення про організацію системи управління ризиками в банках України та банківських групах, затвердженого постановою Правління Національного банку України від 11 червня 2018 року № 64 (зі змінами) (далі - Зміни до Положення № 64), що додаються.
2. Банкам України / відповідальним особам банківських груп:
1) розробити / доопрацювати та запровадити внутрішньобанківські / внутрішньогрупові документи з питань управління ризиками з урахуванням Змін до Положення № 64 - не пізніше 30 червня 2027 року;
2) визначити перелік критичних юридичних або фізичних осіб, які є суб’єктами господарювання, що надають послуги безпосередньо банку / учаснику банківської групи (далі - TPSP-постачальник), відповідно до установлених у внутрішньобанківських / внутрішньогрупових документах критеріїв визначення критичних послуг, які надаються TPSP-постачальниками, та критеріїв визначення критичних функцій, які підтримуються послугами TPSP-постачальників, - не пізніше 30 червня 2027 року;
3) забезпечити дотримання вимог Змін до Положення № 64:
щодо критичних TPSP-постачальників - не пізніше ніж з 01 липня 2027 року;
щодо TPSP-постачальників, які не визначені критичними, - не пізніше ніж з 30 червня 2028 року;
4) забезпечити щодо критичних TPSP-постачальників, договори з якими банком укладені до 01 липня 2027 року та які залишатимуться чинними після 01 липня 2027 року, здійснення моніторингу, передбаченого в підпункті 2 пункту 290-54 глави 45-7 розділу VI Положення про організацію системи управління ризиками в банках України та банківських групах, затвердженого постановою Правління Національного банку України від 11 червня 2018 року № 64 (зі змінами) (далі - Положення № 64), - не пізніше 01 жовтня 2027 року та в подальшому з періодичністю, визначеною у підпункті 2 пункту 290-54 глави 45-7 розділу VI Положення № 64.
3. Банкам України за договорами / угодами про рівень сервісу / обслуговування (далі - договори), укладеними з TPSP-постачальниками до дня набрання чинності цією постановою, не пізніше 31 грудня 2026 року:
1) провести аналіз дотримання банком у відносинах з TPSP-постачальниками вимог, обмежень і заборон, установлених законами України, нормативно-правовими актами Національного банку України (далі - Національний банк) та інших державних органів України, вимоги яких застосовуються до TPSP-постачальників у відповідній сфері (далі - законодавство), щодо:
наявності у TPSP-постачальника та/або його кінцевих бенефіціарних власників громадянства чи податкового резидентства держави-агресора та/або постійного проживання на території держави-агресора;
застосування до TPSP-постачальника, його кінцевих бенефіціарних власників Україною, іноземними державами (крім держав, які здійснюють збройну агресію проти України), міждержавними об’єднаннями або міжнародними організаціями санкцій (застосовується протягом строку дії санкцій і протягом трьох років після їх скасування або закінчення строку, на який їх було введено);
включення TPSP-постачальника, його кінцевих бенефіціарних власників до переліку осіб, пов’язаних із провадженням терористичної діяльності або стосовно яких застосовано міжнародні санкції (застосовується протягом строку перебування особи в переліку та протягом 10 років після виключення з нього);
перевірки TPSP-постачальника, його кінцевих бенефіціарних власників щодо належності до осіб, пов’язаних із державою-агресором, що зазначені в абзацах другому - п’ятому підпункту 1 пункту 1 постанови Кабінету Міністрів України від 03 березня 2022 року № 187 "Про забезпечення захисту національних інтересів за майбутніми позовами держави Україна у зв’язку з військовою агресією Російської Федерації" (зі змінами);
2) за результатами аналізу, проведеного відповідно до підпункту 1 пункту 3 цієї постанови, надати Національному банку за встановленою ним формою інформацію про TPSP-постачальників, у відносинах з якими виявлено невідповідність вимогам, обмеженням, заборонам, установленим законодавством;
3) прийняти щодо кожного з TPSP-постачальників, у відносинах з якими виявлено невідповідність вимогам, обмеженням, заборонам, установленим законодавством, на підставі обґрунтованого судження одне з таких рішень:
про припинення у найкоротший строк договірних відносин з TPSP-постачальником;
про розроблення плану поетапного скорочення обсягу отримуваних від TPSP-постачальника послуг та припинення договірних відносин із ним (далі - План поетапного припинення договірних відносин);
4) повідомити про прийняті банком згідно з підпунктом 3 пункту 3 цієї постанови рішення щодо TPSP-постачальників у довільній формі Національний банк.
4. Банк у разі прийняття рішення про розроблення Плану поетапного припинення договірних відносин не пізніше 31 березня 2027 року затверджує:
1) радою банку - План поетапного припинення договірних відносин з критичним TPSP-постачальником;
2) відповідним колегіальним органом банку - План поетапного припинення договірних відносин із TPSP-постачальником, який не визначений критичним.
5. Банкам України / відповідальним особам банківських груп починаючи з 01 липня 2027 року до дня припинення договірних відносин із критичним TPSP-постачальником, щодо якого затверджено План поетапного припинення договірних відносин:
1) визначати рівень ризику третіх сторін за договором із таким критичним TPSP-постачальником як високий;
2) враховувати такий ризик під час здійснення стрес-тестування ризику третіх сторін за базовим сценарієм згідно з підходами, установленими у внутрішньобанківських / внутрішньогрупових документах для критичних TPSP-постачальників;
3) здійснювати оцінку потенційного впливу повного призупинення надання критичним TPSP-постачальником послуг банку на безперервність діяльності та профіль ризику банку.
6. Департаменту методології регулювання діяльності банків (Оксана Присяженко) після офіційного опублікування довести до відома банків України інформацію про прийняття цієї постанови.
7. Постанова набирає чинності з дня, наступного за днем її офіційного опублікування.
| Голова | Андрій ПИШНИЙ |
Інд. 22
ЗАТВЕРДЖЕНО
Постанова Правління
Національного банку України
30 червня 2026 року № 70
Зміни
до Положення про організацію системи управління ризиками в банках України та банківських групах
( Див. текст )
1. У розділі I:
1) у пункті 3 глави 1:
підпункти 5-2, 5-3замінити трьома новими підпунктами 5-2-5-4 такого змісту:
"5-2) внутрішньогруповий TPSP-постачальник (англійською мовою intragroup TPSP - intragroup Third-Party Service Provider) - постачальник, який є учасником банківської групи згідно зі статтею 2 Закону України "Про банки і банківську діяльність" та надає послуги іншим учасникам цієї банківської групи;
5-3) головний ризик-менеджер (CRO) - головна посадова особа банку, відповідальна за управління ризиками;
5-4) головний комплаєнс-менеджер (CCO) - головна посадова особа банку, відповідальна за здійснення контролю за дотриманням норм (комплаєнс);";
пункт після підпункту 7 доповнити новим підпунктом 7-1 такого змісту:
"7-1) договір з TPSP-постачальником - укладений в письмовій формі договір між банком / учасником банківської групи та TPSP-постачальником про надання банку / учаснику банківської групи однієї або кількох послуг, а саме:
включає договір з аутсорсером, договір з надання послуг внутрішньогруповим TPSP-постачальником, договір про надання послуг з підтримки діяльності банку / учасника банківської групи та договір про виконання функцій технологічного оператора платіжних послуг відповідно до Закону України "Про платіжні послуги";
не включає:
операцій з надання банківських послуг / фінансових послуг / платіжних послуг / здійснення іншої діяльності, що здійснюється банком / учасником банківської групи на підставі ліцензії / дозволу, наданого органом, який здійснює державне регулювання ринків фінансових послуг;
операцій, які здійснюються між банками, іншими учасниками ринку фінансових послуг, банками / учасниками банківської групи з їх працівниками, банками / учасниками банківської групи за дорученням їх клієнтів або контрагентів, включаючи страхування, надання / отримання послуг інфраструктури фінансового ринку, зокрема клірингові послуги, послуги розрахунків, послуги центрального депозитарію цінних паперів;
договори між TPSP-постачальником і будь-якою стороною в ланцюгу постачання (n-ю стороною для банку / учасника банківської групи);";
пункт після підпункту 12 доповнити двома новими підпунктами 12-1, 12-2 такого змісту:
"12-1) інфраструктура фінансового ринку - багатостороння система взаємодії учасників фінансового ринку, організаторів торгівлі, центрального депозитарію цінних паперів, платіжних, клірингових, розрахункових і депозитарних установ, а також інформаційних та технологічних систем, діяльність яких спрямована на забезпечення функціонування фінансового ринку шляхом укладання договорів, обліку, виконання розрахунків за фінансовими операціями та фінансовими інструментами;
12-2) карта взаємозв’язків і взаємозалежностей між TPSP-постачальниками - внутрішньобанківський / внутрішньогруповий документ, що містить інформацію про ділові відносини між TPSP-постачальниками, спільних власників TPSP-постачальників, ключові n-і сторони TPSP-постачальників та іншу інформацію, що свідчить про наявність / відсутність взаємозв’язків і взаємозалежностей між TPSP-постачальниками;";
пункт після підпункту 13 доповнити новим підпунктом 13-1 такого змісту:
"13-1) ключова n-на сторона - n-на сторона в ланцюгу постачання, яка має опосередкований вплив на підтримання / надання критичної послуги TPSP-постачальником банку / учаснику банківської групи;";
пункт після підпункту 16 доповнити чотирма новими підпунктами 16-1-16-4 такого змісту:
"16-1) критична послуга - послуга, що надається банку / учаснику банківської групи одним критичним TPSP-постачальником або кількома TPSP-постачальниками, які не є критичними та мають спільного кінцевого бенефіціарного власника або керівником яких є одна й та сама фізична особа, відмова або збій / переривання у наданні якої/яких може мати суттєвий вплив на його бізнес-модель, здатність забезпечувати безперервну діяльність, виконувати критичні функції, дотримуватися вимог законодавства України;
16-2) критична функція - вид діяльності / процес / персонал / допоміжні активи, включаючи технології, інформацію та обладнання, необхідні для виконання такої функції банком / учасником банківської групи, порушення / зупинення / припинення яких матиме суттєвий негативний вплив на фінансовий стан, безперервність діяльності, дотримання банком / учасником банківської групи вимог законодавства України, та/або може загрожувати фінансовій стабільності, та/або мати суттєвий негативний вплив на економіку або на окремі галузеві / регіональні сегменти економіки України через розмір або частку банку / учасника банківської групи на ринку / у регіоні, складність / унікальність / обсяги здійснюваних ним операцій, ступінь фінансових взаємозв’язків, включаючи транскордонну діяльність банку / учасника банківської групи;
16-3) критичний договір з TPSP-постачальником - договір, на підставі якого критичний TPSP-постачальник надає одну чи більше критичних послуг банку / учаснику банківської групи;
16-4) критичний TPSP-постачальник - TPSP-постачальник, який надає банку / учаснику банківської групи критичну послугу;";
пункт після підпункту 17 доповнити новим підпунктом 17-1 такого змісту:
"17-1) ланцюг постачання - сукупність суб’єктів господарювання, включаючи TPSP-постачальника, що здійснюють діяльність з надання послуг, постачання матеріальних / нематеріальних активів, інших ресурсів, діяльність яких прямо чи опосередковано використовуються TPSP-постачальником для надання послуг банку / учаснику банківської групи;";
пункт після підпункту 33-2 доповнити новим підпунктом 33-3 такого змісту:
"33-3) ризик концентрації послуг - імовірність виникнення збитків або додаткових втрат або недоотримання доходів унаслідок залежності банку / учасника банківської групи / банківської групи (у випадках, коли це релевантно) від однієї або кількох послуг, що надаються одним критичним TPSP-постачальником або кількома TPSP-постачальниками, які не є критичними (прямо або опосередковано через співпрацю з однією і тією самою n-ю стороною), збій / переривання у наданні яких можуть мати негативний вплив на виконання банком / учасником банківської групи критичних функцій;";
пункт після підпункту 37 доповнити новим підпунктом 37-1 такого змісту:
"37-1) ризик третіх сторін (складова операційного ризику) - імовірність виникнення збитків або додаткових втрат, або недоотримання запланованих доходів унаслідок неналежного надання послуг TPSP-постачальником (включаючи аутсорсинг) та/або n-ю стороною;";
пункт після підпункту 42-1 доповнити новим підпунктом 42-2 такого змісту:
"42-2) толерантність до збоїв - максимальний рівень наслідків від збоїв, який банк / учасник банківської групи в змозі прийняти під час своєї діяльності без втрати здатності забезпечувати безперервну діяльність, діяльність без порушення вимог законодавства України, без створення загрози фінансовій стійкості, інтересам клієнтів, вкладників та інших кредиторів унаслідок настання будь-якого типу подій операційного ризику в разі реалізації екстремальних, однак реалістичних сценаріїв;";
пункт після підпункту 44-2 доповнити новим підпунктом 44-3 такого змісту:
"44-3) угода про рівень сервісу / обслуговування (англійською мовою SLA - Service Level Agreement) - договір / умови договору з TPSP-постачальником, що визначає / визначають рівень якості, доступності та ефективності послуг / обслуговування, їх характеристики, які банк / учасник банківської групи очікує отримати від TPSP-постачальника, включаючи вимоги до строків та обсягів надання послуг / обслуговування, контрольні показники якості, які щонайменше мають включати допустимі середній час між збоями, середній час ремонту, середній час відновлення надання послуг / обслуговування, оперативність вирішення проблем за першим викликом та час виконання робіт / усунення проблем, а також відповідальність сторін за неналежне виконання умов договору;";
пункт після підпункту 49 доповнити двома новими підпунктами такого змісту:
"50) n-на сторона - постачальник послуг, який є частиною ланцюга постачання TPSP-постачальника, включаючи, але не обмежуючись особами, на яких покладено виконання послуг TPSP-постачальника (субпідрядниками);
51) TPSP-постачальник (англійською мовою TPSP - Third-Party Service Provider) - юридична або фізична особа, яка є суб’єктом господарювання, включаючи внутрішньогрупового TPSP-постачальника, що надає послуги безпосередньо банку / учаснику банківської групи.";
пункт після абзацу дев’яносто шостого доповнити новим абзацом дев’яносто сьомим такого змісту:
"Термін "кінцевий бенефіціарний власник" уживається в цьому Положенні в значенні, визначеному в Законі України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення".".
У зв’язку з цим абзац дев’яносто сьомий уважати абзацом дев’яносто восьмим;
2) пункт 36 глави 6 після підпункту 7 доповнити новим підпунктом такого змісту:
"8) розробляє та впроваджує процеси та процедури, визначає функції, обов’язки, повноваження та відповідальність працівників щодо управління відносинами за договорами з TPSP-постачальниками на кожному з етапів життєвого циклу відносин банку з TPSP-постачальником.";
3) друге речення пункту 65 глави 10 замінити двома новими реченнями другим та третім такого змісту: "Рада банку під час визначення стратегії та складання бізнес-плану банку враховує величину ризик-апетиту, зазначену в декларації схильності до ризиків. Рада банку також ураховує визначений рівень ризик-апетиту та рівень толерантності до збоїв у разі прийняття рішення щодо збільшення обсягів активів у результаті розширення діючих видів діяльності, запровадження нових продуктів та значних змін у діяльності банку, укладення нових / унесення суттєвих змін до діючих критичних договорів із TPSP-постачальниками.";
4) пункт 78 глави 11 після підпункту 4-1 доповнити новим підпунктом 4-2 такого змісту:
"4-2) укладення / припинення (розірвання) / унесення суттєвих змін до критичного договору з TPSP-постачальником;".
2. У розділі VI:
1) у главі 44:
пункт 277 викласти в такій редакції:
"277. Банк самостійно визначає перелік кількісних показників ризик-апетиту до операційного ризику, які обов’язково повинні включати показники ризик-апетиту до ризику третіх сторін. Такий перелік повинен обов'язково включати показник максимального обсягу втрат від подій операційного ризику протягом наступних 12 місяців у цілому та в розрізі ризиків, які є складовими операційного ризику.";
главу після пункту 277 доповнити новим пунктом 277-1такого змісту:
"277-1. Банк визначає ризик-апетит з урахуванням ризиків, пов’язаних з послугами, які банк отримує від TPSP-постачальників, та рівня толерантності до збоїв.
Оцінка ризиків, пов’язаних з послугами, які банк отримує від TPSP-постачальників, має бути орієнтованою на перспективу та враховувати стрес-тестування таких ризиків включно з використанням методу сценарного аналізу.";
2) главу 45 після пункту 282 доповнити новим пунктом 282-1 такого змісту:
"282-1. Банк створює ефективні механізми управління ризиком третіх сторін, які є частиною системи управління операційним ризиком банку, з урахуванням впливу ризику третіх сторін на інші ризики, що притаманні його діяльності.";
3) розділ після глави 45-1 доповнити сімома новими главами 45-2-45-8 такого змісту:
"45-2. Загальні підходи до управління ризиком третіх сторін
290-10. Банк забезпечує управління ризиком третіх сторін дотримуючись моделі трьох ліній захисту:
1) на першій лінії захисту - приймає ризик третіх сторін, несе відповідальність за нього, здійснює поточне управління ризиком третіх сторін, включаючи управління відносинами за договорами з TPSP-постачальниками, подає звіти щодо поточного управління таким ризиком;
2) на другій лінії захисту - здійснює управління та контроль за ризиком третіх сторін з урахуванням ризиків, пов’язаних із послугами, які банк отримує від TPSP-постачальників;
3) на третій лінії захисту - здійснює перевірку та оцінку ефективності стратегії / стратегій, політики, процесів, процедур управління ризиком третіх сторін.
290-11. Банк для цілей управління ризиком третіх сторін відповідно до цього Положення має право не враховувати таких послуг, що надаються TPSP-постачальниками:
1) послуги, отримання яких вимагається законодавством України, включаючи послуги зовнішнього аудитора;
2) послуги глобальної карткової мережевої інфраструктури;
3) клірингові послуги, виконання функцій центрального контрагента, послуги центрального депозитарію цінних паперів та послуги розрахунків, що надаються кліринговими установами, центральними контрагентами, центральним депозитарієм цінних паперів та розрахунковими установами, включаючи надання таких послуг у державних платіжних системах;
4) послуги міжнародних міжбанківських систем передавання інформації та здійснення платежів;
5) послуги банків-кореспондентів;
6) послуги, які не мають впливу на профіль ризику банку та операційну діяльність (включаючи: послуги архітектора; юридичні, медичні, туристичні послуги; послуги з прибирання, озеленення та обслуговування приміщень, службових автомобілів банку; послуги з громадського харчування; послуги торгових автоматів, пошти, секретарів та операторів розподільних щитів, комутаторів; канцелярські послуги).
Банк за послугами, що отримуються від TPSP-постачальників, визначеними в пункті 290-11 глави 45-2 розділу VI цього Положення, зобов’язаний здійснювати управління ризиками, пов’язаними з отриманням таких послуг.
290-12. Банк за послугами, що отримуються від TPSP-постачальника, регулювання та нагляд за діяльністю якого здійснюється державним органом, уповноваженим відповідно до законодавства України встановлювати обов’язкові до виконання правила діяльності у визначеній сфері, а також здійснювати контроль за дотриманням такого законодавства та застосовувати заходи впливу, включаючи такі сфери, як електропостачання, газопостачання, постачання теплової енергії, водопостачання та водовідведення, телефонний зв’язок і передача даних (далі - регульований TPSP-постачальник / регульована послуга TPSP-постачальника), здійснює оцінку ризику третіх сторін з урахуванням судження щодо співставності вимог, установлених уповноваженим державним органом щодо діяльності такого TPSP-постачальника, з вимогами, установленими в цьому Положенні, з урахуванням специфіки діяльності TPSP-постачальника.
290-13. Банк формує та супроводжує перелік договорів, укладених з TPSP-постачальниками, включаючи угоди про рівень сервісу / обслуговування (SLA) (далі - Перелік договорів).
Банк уносить до Переліку договорів інформацію, яка щонайменше має містити дані, які вносяться до переліку договорів, укладених з TPSP-постачальниками, включаючи угоди про рівень сервісу / обслуговування (SLA), що наведені в додатку 7 до цього Положення.
Банк оновлює інформацію в Переліку договорів не пізніше 90 календарного дня від дня:
1) укладення договору з новим TPSP-постачальником, нового договору з наявним TPSP-постачальником;
2) унесення суттєвих змін до умов договору з TPSP-постачальником;
3) припинення договору з TPSP-постачальником;
4) визначення банком суттєвої зміни рівня ризиків за послугами, що надаються TPSP-постачальником;
5) зміни визначеного банком рівня критичності послуги, що надається TPSP-постачальником;
6) зміни юрисдикції та/або географічного місця розташування, з якого відбувається надання послуги TPSP-постачальником;
7) реорганізації TPSP-постачальника;
8) зміни ключової n-ї сторони в ланцюгу постачання TPSP-постачальника.
290-14. Банк несе відповідальність за ризики, пов’язані з укладенням договору з TPSP-постачальником та відносинами, що виникають на підставі такого договору.
Укладення банком договору з TPSP-постачальником не звільняє банк від відповідальності за недотримання вимог законодавства України, поточних зобов’язань перед вкладниками та кредиторами внаслідок реалізації / нереалізації такого договору.
Договір банку з TPSP-постачальником не повинен ускладнювати / унеможливлювати оцінку уповноваженими працівниками Національного банку системи управління ризиками банку.
290-15. Банк під час встановлення відносин із TPSP-постачальником, укладання нових / унесення змін до діючих договорів, продовження або поновлення дії договорів та/або угод про рівень сервісу (SLA) і протягом терміну дії таких договорів / угод зобов’язаний враховувати вимоги, обмеження та заборони, установлені законодавством України, нормативно-правовими актами Національного банку та інших державних органів України, вимоги яких застосовуються до TPSP-постачальників у відповідній сфері, включаючи, але не обмежуючись таким:
1) наявності в TPSP-постачальника та/або його кінцевих бенефіціарних власників громадянства чи податкового резидентства держави-агресора та/або постійного проживання на території держави-агресора;
2) застосування до TPSP-постачальника, його кінцевих бенефіціарних власників Україною, іноземними державами (крім держав, які здійснюють збройну агресію проти України), міждержавними об’єднаннями або міжнародними організаціями санкцій (застосовується протягом строку дії санкцій і протягом трьох років після їх скасування або закінчення строку, на який їх було введено);
3) включення TPSP-постачальника, його кінцевих бенефіціарних власників до переліку осіб, пов’язаних із провадженням терористичної діяльності або стосовно яких застосовано міжнародні санкції (застосовується протягом строку перебування особи в переліку та протягом 10 років після виключення з нього);
4) перевірки TPSP-постачальника, його кінцевих бенефіціарних власників щодо належності до осіб, пов’язаних із державою-агресором, що зазначені в абзацах другому - п’ятому підпункту 1 пункту 1 постанови Кабінету Міністрів України від 03 березня 2022 року № 187 "Про забезпечення захисту національних інтересів за майбутніми позовами держави Україна у зв’язку з військовою агресією Російської Федерації" (зі змінами).
45-3. Політика залучення TPSP-постачальників, політика, порядок та процедури управління ризиком третіх сторін
290-16. Банк розробляє та періодично (не рідше одного разу на рік) переглядає політику залучення TPSP-постачальників, політику, порядок та процедури управління ризиком третіх сторін, включаючи обрані банком для виконання на умовах аутсорсингу окремі функції банку.
290-17. Політика залучення TPSP-постачальників може бути складовою стратегії / стратегій управління ризиками або окремим документом.
290-18. Політика залучення TPSP-постачальників повинна обов’язково містити:
1) цілі банку щодо отримання послуг від TPSP-постачальників;
2) критерії, за якими банк визначає доцільність / необхідність отримання послуг від TPSP-постачальників;
3) перелік послуг, які банк визначив потенційно прийнятними для отримання від TPSP-постачальників;
4) види операцій / послуг банку, щодо здійснення / надання яких банк визначив неприйнятним залучення TPSP-постачальників;
5) критерії / вимоги до критичних TPSP-постачальників, включаючи вимоги до організації системи корпоративного управління, ділової репутації, кваліфікації персоналу, наявності активів, достатніх для здійснення таким TPSP-постачальником операційної діяльності, надання послуг банку;
6) принципи та підходи до визначення прийнятного співвідношення ризиків та переваг банку, пов’язаних із залежністю від одного або кількох TPSP-постачальників;
7) підходи до аналізу ризиків та переваг банку у зв’язку з використанням TPSP-постачальниками нових технологій;
8) умови, наслідком яких є прийняття банком рішення про припинення договору / відмову від укладення договору з критичним TPSP-постачальником, включаючи встановлення ознак невідповідності ділової репутації такого TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, ознакам, визначеним у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення про ліцензування банків, затвердженого постановою Правління Національного банку України від 22 грудня 2018 року № 149 (зі змінами) (далі - Положення № 149), та іншим ознакам, установленим у внутрішньобанківських документах щодо управління ризиком третіх сторін;
9) вимоги до договорів з TPSP-постачальниками.
Банк не включає до політики залучення TPSP-постачальників послуги, визначені в пункті 290-11 глави 45-2розділу VI цього Положення.
290-19. Політика, порядок та процедури управління ризиком третіх сторін повинні відповідати стратегії / стратегіям управління ризиками та політиці залучення TPSP-постачальників.
290-20. Політика, порядок та процедури управління ризиком третіх сторін можуть бути складовими політики, порядку та процедур управління операційним ризиком або окремими документами.
290-21. Політика управління ризиком третіх сторін повинна обов’язково містити:
1) мету, завдання та принципи управління ризиком третіх сторін;
2) організаційну структуру процесу управління ризиком третіх сторін з урахуванням розподілу функціональних обов’язків між учасниками процесу, їх повноваження, відповідальність та порядок взаємодії;
3) перелік лімітів для контролю за рівнем ризику третіх сторін та порядок їх установлення;
4) підходи щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом’якшення ризику третіх сторін, включаючи підходи до оцінки та моніторингу:
відсутності щодо критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
відповідності укладених договорів умовам, визначеним у пунктах 290-49, 290-50 глави 45-6 розділу VI цього Положення, та/або дотримання TPSP-постачальником / критичним TPSP-постачальником таких умов під час виконання договору;
5) підходи до здійснення стрес-тестування ризику третіх сторін за базовим та несприятливим сценаріями;
6) перелік та формат (інформаційне наповнення) форм управлінської звітності щодо ризику третіх сторін, порядок і періодичність / терміни їх подання суб’єктам системи управління ризиками.
290-22. Банк з метою дотримання встановлених лімітів ризику третіх сторін, ризик-апетиту щодо операційного ризику, ризик-апетиту щодо ризику третіх сторін, рівня толерантності до збоїв уживає таких заходів:
1) визначає альтернативних TPSP-постачальників; та / або
2) поєднує використання власної інфраструктури з послугами TPSP-постачальника; та/або
3) забезпечує / зберігає можливість використання виключно власної інфраструктури для виконання робіт самостійно за послугами, що надаються TPSP-постачальником.
290-23. Порядок та процедури управління ризиком третіх сторін повинні обов’язково містити:
1) процедури щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом’якшення ризику третіх сторін, включаючи процедури оцінки та моніторингу:
відсутності щодо критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
відповідності укладених договорів умовам, визначеним у пунктах 290-49, 290-50 глави 45-6 розділу VI цього Положення, та/або дотримання TPSP-постачальником / критичним TPSP-постачальником таких умов під час виконання договору;
2) процедури ескалації інформації та звітування про встановлені факти невідповідності ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознакам щодо ділової репутації, критеріям операційної та фінансової спроможності, умовам критичного договору згідно зі встановленими внутрішньобанківськими документами, включаючи форму та порядок інформування про такі порушення ради банку, комітету з управління ризиками, правління банку та його комітетів;
3) порядок обміну інформацією між учасниками процесу управління ризиком третіх сторін, включаючи види, форми і строки надання інформації;
4) програму проведення стрес-тестування ризику третіх сторін за базовим та несприятливим сценаріями;
5) процедури управління ризиком ланцюга постачання;
6) підхід до вимірювання та контролю ризику третіх сторін на рівні окремого договору з TPSP-постачальником;
7) критерії визначення критичних послуг, які надаються TPSP-постачальником;
8) критерії визначення критичних функцій, які підтримуються послугами TPSP-постачальників;
9) підхід до моніторингу інцидентів у діяльності TPSP-постачальників, звітування та реагування на них;
10) порядок формування судження щодо співставності встановлених уповноваженим державним органом вимог до діяльності TPSP-постачальників з вимогами, установленими цим Положенням, з урахуванням специфіки діяльності TPSP-постачальників;
11) порядок формування судження про неспроможність TPSP-постачальника забезпечувати надання послуги банку, яка відповідає визначеному в договорі рівню якості, доступності та ефективності, підхід до вимірювання та контролю ризику третіх сторін на рівні окремого договору з TPSP-постачальником.
290-24. Порядок та процедури управління ризиком третіх сторін повинні охоплювати всі етапи життєвого циклу відносин банку з TPSP-постачальником.
Етапами життєвого циклу відносин банку з TPSP-постачальником є:
1) оцінка ризику третіх сторін та вразливості банку до такого ризику;
2) здійснення комплексної перевірки критичного TPSP-постачальника перед установленням договірних відносин;
3) укладення договору з TPSP-постачальником;
4) початок договірних відносин із TPSP-постачальником і моніторинг виконання умов договору;
5) припинення договірних відносин із TPSP-постачальником.
Кожний етап життєвого циклу відносин із TPSP-постачальником має відповідати стратегії банку, політиці залучення TPSP-постачальників, політиці, порядкам та процедурам управління ризиком третіх сторін.
290-25. Банк здійснює управління ризиком третіх сторін та оцінку вразливості банку до такого ризику на всіх етапах життєвого циклу відносин із TPSP-постачальником з урахуванням:
1) критичності TPSP-постачальника, послуги, що надається TPSP-постачальником, та договору / договорів, укладеного / укладених із таким TPSP-постачальником;
2) оцінки ризику концентрації послуг за договорами з TPSP-постачальником, ураховуючи, що кілька некритичних договорів із TPSP-постачальником можуть становити для банку вищий ризик, ніж один критичний договір із таким TPSP-постачальником;
3) адекватності механізмів управління ризиком третіх сторін розміру банку, його бізнес-моделі, масштабу діяльності, видам, складності операцій, профілю ризиків, діяльності банку, що здійснюється за кордоном, рівню ризиків та критичності договорів з TPSP-постачальниками;
4) оцінки ризику третіх сторін за договорами з внутрішньогруповим TPSP-постачальником.
Банк здійснює управління ризиком третіх сторін за договорами з внутрішньогруповим TPSP-постачальником, який включений до системи управління ризиками в банківській групі, у межах системи управління ризиками в банківській групі, організованої відповідальною особою банківської групи згідно з вимогами цього Положення.
Банк, якщо відповідальною особою банківської групи згідно з пунктом 18-1 глави 2 розділу I цього Положення система управління ризиками в банківській групі організована без урахування учасника банківської групи, який є TPSP-постачальником, здійснює управління ризиком третіх сторін за договорами з таким TPSP-постачальником згідно з вимогами цього Положення, установленими для TPSP-постачальника, який не є внутрішньогруповим TPSP-постачальником;
5) оцінки здатності TPSP-постачальника забезпечити належне виконання своїх зобов’язань за всіма договорами перед банком, включаючи оцінку залежності виконання таких зобов’язань від виконання умов договорів n-ми сторонами в ланцюгу постачання послуги для банку TPSP-постачальником та здатності такого TPSP-постачальника управляти ризиком ланцюга постачання.
Процедури управління ризиком ланцюга постачання повинні бути адекватними рівням ризиків та критичності послуг, що надаються.
Банк здійснює аналіз ланцюга постачання за:
TPSP-постачальниками;
n-ми сторонами, які є другою та третьою сторонами в ланцюгу постачання. Першою стороною в ланцюгу постачання є сам TPSP-постачальник, другою та третьою сторонами - є відповідно наступні сторони, які є постачальниками послуг для TPSP-постачальника в ланцюгу постачання.
Банк має право не здійснювати аналізу ланцюга постачання за n-ми сторонами, які є наступними сторонами після третьої сторони в ланцюгу постачання послуг для TPSP-постачальника, якщо банк на підставі судження довів відсутність впливу такої n-ї сторони на здатність TPSP-постачальника забезпечувати належне виконання своїх зобов’язань перед банком за всіма договорами.
Банк визначає ключові n-ні сторони в ланцюгу постачання критичних TPSP-постачальників.
Банк включає інформацію про ключові n-ні сторони до карти взаємозв’язків і взаємозалежностей між TPSP-постачальниками та враховує її під час оцінки ризику третіх сторін, включаючи оцінку ризику концентрації послуг;
6) впливу розвитку нових технологій на підвищення залежності банку від TPSP-постачальника.
Банк забезпечує наявність кваліфікованих і досвідчених працівників, здатних забезпечити належне управління ризиком третіх сторін, пов’язаним із розвитком нових технологій, створенням нових / зміною діючих продуктів / сервісів із використанням таких технологій;
7) іншої інформації (за наявності), яка забезпечує додаткову впевненість банку щодо рівня організації системи внутрішнього контролю в діяльності критичного TPSP-постачальника / його ключової n-ї сторони на належному рівні, включаючи:
результати перевірки зовнішнім аудитором або іншим незалежним суб’єктом, який проводить незалежну професійну діяльність, критичного TPSP-постачальника / його ключової n-ї сторони;
відповідність діяльності критичного TPSP-постачальника / його ключової n-ї сторони вимогам національних стандартів України (ДСТУ) та міжнародних стандартів (ISO).
290-26. Банк оновлює (за потреби) порядок та процедури управління ризиком третіх сторін на кожному з етапів життєвого циклу відносин із TPSP-постачальником з урахуванням інформації, отриманої на інших етапах життєвого циклу відносин із таким TPSP-постачальником.
45-4. Оцінка ризику третіх сторін та вразливості банку до такого ризику
290-27. Банк під час оцінки ризику третіх сторін здійснює оцінку:
1) внутрішніх та зовнішніх факторів ризику третіх сторін;
2) ризиків, на які наражатиметься / наражається банк унаслідок укладення договору з TPSP-постачальником;
3) критичності послуги, яка надаватиметься / надається банку TPSP-постачальником.
290-28. Банк під час оцінки ризиків, на які наражатиметься / наражається банк унаслідок укладення договору з TPSP-постачальником, ураховує:
1) ризик концентрації послуг;
2) ризик, пов’язаний з довгими ланцюгами постачання;
3) ризик, пов’язаний з розвитком нових технологій;
4) вплив ризику третіх сторін на інші ризики, притаманні діяльності банку, та безперервність його діяльності.
Довгим ланцюгом постачання для цілей управління ризиком третіх сторін є ланцюг постачання, який містить три та більше сторін.
Ланцюг постачання обмежується послугами, що надаються банку / учаснику банківської групи в межах договору з TPSP-постачальником.
290-29. Банк під час оцінки критичності послуги, яка надаватиметься / надається банку TPSP-постачальником, ураховує:
1) потенційний вплив (позитивний та негативний) від укладення нового / унесення змін до діючого договору з TPSP-постачальником на операції банку, системи, дані, безперервність його діяльності;
2) рівень толерантності банку до збоїв;
3) характер даних та інформації, якими обмінюватиметься / обмінюється банк із TPSP-постачальником;
4) можливість та складність заміни TPSP-постачальника.
290-30. Банк з урахуванням результатів оцінки ризику третіх сторін:
1) оцінює адекватність процедур внутрішнього контролю щодо своєчасності та якості отримання банком послуг за укладеними договорами з TPSP-постачальниками;
2) визначає механізми моніторингу, звітування та ескалації інформації про ризик третіх сторін;
3) визначає заходи щодо пом’якшення ризику третіх сторін;
4) запроваджує процедури інформування ради, правління, відповідних підрозділів, включаючи підрозділ з управління ризиками, з урахуванням розподілу обов’язків та повноважень, щодо очікуваного впливу від укладання нових договорів, унесення змін до діючих договорів із TPSP-постачальниками на процеси та діяльність банку;
5) розробляє процедури визначення умов договорів із TPSP-постачальниками з урахуванням специфіки послуг, що надаються TPSP-постачальниками, та їх впливу на процеси та діяльність банку.
290-31. Банк забезпечує належний рівень документування процесу і результатів оцінки ризиків за договорами з TPSP-постачальниками.
45-5. Здійснення комплексної перевірки критичного TPSP-постачальника перед установленням договірних відносин
290-32. Банк перед укладенням критичного договору з TPSP-постачальником здійснює комплексну перевірку критичного TPSP-постачальника.
290-33. Банк з метою комплексної перевірки критичного TPSP-постачальника здійснює:
1) збір та аналіз інформації, необхідної для визначення відповідності критичного TPSP-постачальника політиці залучення TPSP-постачальників;
2) оцінку відповідності критичного TPSP-постачальника вимогам, визначеним у пункті 290-15 глави 45-2 розділу VI цього Положення;
3) оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
4) оцінку відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
5) аналіз ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником;
6) оцінку спроможності банку належно управляти ризиком третіх сторін, пов’язаним з укладенням договору з критичним TPSP-постачальником;
7) обґрунтування фінансової та операційної доцільності укладення договору з критичним TPSP-постачальником.
290-34. Банк з метою визначення відповідності критичного TPSP-постачальника політиці залучення TPSP-постачальників здійснює аналіз отриманої від критичного TPSP-постачальника інформації про:
1) проведену критичним TPSP-постачальником власну оцінку ефективності системи внутрішнього контролю та управління ризиками, включаючи управління ризиком ICT, кіберризиком та іншими операційними ризиками за критеріями, визначеними для регульованих TPSP-постачальників / регульованої послуги TPSP-постачальника - уповноваженим державним органом, для інших критичних TPSP-постачальників - банком з урахуванням вимог цього Положення;
2) наявність у критичного TPSP-постачальника достатньої кількості кваліфікованих і досвідчених працівників для забезпечення безперервного надання послуг банку, включаючи доступність таких послуг під час збоїв у роботі критичного TPSP-постачальника;
3) спроможність критичного TPSP-постачальника управляти ризиком ланцюга постачання, включаючи спроможність виявляти ключові n-ні сторони;
4) операційну та технічну спроможність критичного TPSP-постачальника забезпечувати власну безперебійну діяльність;
5) спроможність критичного TPSP-постачальника надавати банку послуги, що забезпечують:
дотримання банком політики залучення TPSP-постачальників;
досягнення банком стратегічних цілей щодо розширення діяльності із застосуванням сучасних технологій;
дотримання банком вимог законодавства України та встановлених обмежень (за наявності);
здійснення банком безперервної діяльності з урахуванням визначеного рівня толерантності до збоїв, включаючи реалізацію заходів із відновлення систем та сервісів ICT після збоїв;
6) готовність оперативно надавати банку на його запит необхідну інформацію.
290-35. Банк здійснює оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефеціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін.
290-36. Банк включає до ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників щонайменше такі ознаки:
1) щодо фізичної особи - ознаки, установлені в пункті 65 глави 6 розділу II Положення № 149;
2) щодо юридичної особи - ознаки, установлені в пункті 69 глави 7 розділу II Положення № 149.
290-37. Банк додатково до ознак, установлених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, установлює у внутрішньобанківських документах щодо управління ризиком третіх сторін ознаки небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, включаючи відсутність підтверджених фактів вчинення кримінальних правопорушень проти власності, корупційних кримінальних правопорушень / кримінальних правопорушень, пов’язаних із корупцією, кримінальних правопорушень у сфері господарської діяльності, з метою комплексної, своєчасної та адекватної оцінки ризиків, на які може наражатися банк унаслідок установлення / підтримання відносин із критичним TPSP-постачальником.
290-38. Банк з метою здійснення оцінки ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників надсилає критичному TPSP-постачальнику запит про отримання документів та/або інформації, необхідних / необхідної для підтвердження їх ділової репутації.
Банк здійснює оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників шляхом:
1) перевірки достовірності поданих / наданої критичним TPSP-постачальником документів та/або інформації;
2) перевірки відсутності в критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін.
290-39. Банк визначає наявність ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників на підставі судження, сформованого з урахуванням інформації, отриманої від критичного TPSP-постачальника, а також інформації, що є в державних реєстрах, інформаційних системах органів державної влади, медіа, інших відкритих джерелах.
290-40. Банк здійснює аналіз операційної спроможності критичного TPSP-постачальника надавати послуги відповідно до умов договору на відповідність щонайменше таким критеріям:
1) наявність щодо критичного TPSP-постачальника документального підтвердження:
належного (релевантного) досвіду протягом не менше 12 місяців поспіль, що передують такому аналізу, виконання ним укладених договорів / угод про рівень сервісу / обслуговування (SLA);
спроможності забезпечувати виконання зобов’язань, включаючи наявність кваліфікованих і досвідчених працівників, необхідних для виконання таким TPSP-постачальником умов договору / договорів із банком;
2) наявність у критичного TPSP-постачальника у власності або довгостроковій оренді / лізингу активів, достатніх для здійснення операційної діяльності, надання послуг, належного та своєчасного виконання умов договору / договорів із банком;
3) немає судових спорів щодо невиконання / неналежного виконання критичним TPSP-постачальником умов договору / договорів / угод про рівень сервісу / обслуговування (SLA), які за обґрунтованим судженням банку можуть негативно вплинути на належне виконання критичним TPSP-постачальником договору з банком.
Банк під час здійснення аналізу операційної спроможності критичного TPSP-постачальника на відповідність критеріям, визначеним у пункті 290-40 глави 45-5розділу VI цього Положення, має право враховувати результати перевірки критичного TPSP-постачальника зовнішнім аудитором або іншим незалежним суб’єктом, який проводить незалежну професійну діяльність, а також відповідність критичного TPSP-постачальника вимогам національних стандартів України (ДСТУ), міжнародних стандартів (ISO) за відповідними напрямами діяльності критичного TPSP-постачальника, підтверджену діючими станом на дату здійснення аналізу сертифікатами.
