290-41. Банк здійснює аналіз фінансової спроможності критичного TPSP-постачальника надавати послуги відповідно до умов договору на відповідність щонайменше таким критеріям:
1) відповідність значень показників фінансового стану критичного TPSP-постачальника, визначених банком у внутрішньобанківських документах щодо управління ризиком третіх сторін;
2) немає негативного розміру власного капіталу критичного TPSP-постачальника, що підтверджується фінансовою звітністю за останній звітний період;
3) немає невиконаних критичним TPSP-постачальником понад 180 календарних днів фінансових зобов’язань перед кредиторами / контрагентами та/або органами державної влади на суму, що перевищує 50 тисяч гривень, або 10% від сукупної суми зобов’язань за договором, укладеним з таким TPSP-постачальником. Банк у разі наявності факту щодо невиконаних критичним TPSP-постачальником фінансових зобов’язань на підставі сформованого судження має право прийняти рішення про те, що такий факт не має негативного впливу на належне виконання критичним TPSP-постачальником договору з банком.
290-42. Аналіз ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником, повинен включати щонайменше оцінку:
1) розподілу відповідальності між банком і критичним TPSP-постачальником згідно з умовами договору щодо забезпечення безпеки, включаючи інформаційну безпеку та кіберзахист, а також стабільності під час надання послуг;
2) прозорості структури власності критичного TPSP-постачальника. Структура власності TPSP-постачальника є непрозорою, якщо неможливо визначити всіх кінцевих бенефіціарних власників TPSP-постачальника через, але не виключно, наявність ознак номінального володіння, використання трастів або інших подібних правових утворень, офшорних зон, неповне розкриття або відмову в розкритті, або надання TPSP-постачальником недостовірної / неповної інформації, або інші обставини, що унеможливлюють встановлення кінцевих бенефіціарних власників;
3) ризику концентрації послуг;
4) ризиків, пов’язаних з географічним регіоном фактичного розташування критичного TPSP-постачальника, які, серед іншого, пов’язані зі стихійними лихами, економічною, соціальною, політичною сферами, правовим та регуляторним середовищем країни, з території якої надаватиметься відповідна послуга;
5) наявності потенційного конфлікту інтересів між банком та критичним TPSP-постачальником, включаючи ключові n-ні сторони;
6) усієї доступної інформації щодо діяльності критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, включаючи наявність або відсутність поточних, нещодавно завершених чи незавершених процесів чи обставин, що можуть свідчити про підвищений операційний, включаючи юридичний / репутаційний ризик або комплаєнс-ризик критичного TPSP-постачальника, включаючи, але не обмежуючись результатами нещодавно завершених регуляторних перевірок, застосованих заходів впливу [штрафів, приписів, зупинення повністю або частково (тимчасове призупинення) або припинення (анулювання) ліцензій, обмеження діяльності], результатами внутрішніх розслідувань, адміністративних, цивільних або кримінальних проваджень;
7) доступності альтернативних критичних TPSP-постачальників;
8) інших фактів, подій, обставин, що можуть свідчити про наявність ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником.
290-43. Банк оцінює ризик концентрації послуг під час здійснення комплексного аналізу критичного TPSP-постачальника та протягом усього життєвого циклу відносин з ним.
Ризик концентрації послуг є щонайменше в разі наявності одного або кількох із таких випадків:
1) надання одним TPSP-постачальником кількох критичних послуг або кількох некритичних послуг, які в сукупності є критичними для безперервності діяльності банку;
2) надання послуг критичним TPSP-постачальником, який є єдиним на ринку, якщо немає альтернативних критичних TPSP-постачальників;
3) наявність концентрації критичних послуг або кількох некритичних послуг, що надаються одним або кількома TPSP-постачальниками та/або в одному географічному регіоні, які в сукупності є критичними для безперервності діяльності банку;
4) наявність залежності від однієї ключової n-ї сторони кількох критичних TPSP-постачальників, що надають критичні послуги, або кілька некритичних послуг, які в сукупності є критичними для безперервності діяльності банку.
Банк здійснює оцінку ризику концентрації послуг з урахуванням інформації, яка міститься в Переліку договорів та в карті взаємозв’язків і взаємозалежностей між TPSP-постачальниками.
290-44. Банк з метою обґрунтування фінансової та операційної доцільності укладення договору з критичним TPSP-постачальником здійснює щонайменше оцінку:
1) переваг та недоліків для банку від укладення договору;
2) витрат, які банку необхідно здійснити відповідно до умов договору;
3) потенційних ризиків, на які може наражатися банк унаслідок укладення / неукладення договору, включаючи ризик несвоєчасної заміни застарілих систем та сервісів, необхідності найму та утримання кваліфікованих та досвідчених працівників;
4) спроможності банку достроково розірвати критичний договір з критичним TPSP-постачальником (включаючи одностороннє припинення договірних відносин за ініціативою банку), ураховуючи фінансові, юридичні та репутаційні наслідки такого розірвання, а також ураховуючи вартість, строки та можливість укладення договору з аналогічним предметом регулювання з іншим альтернативним критичним TPSP-постачальником або можливість здійснення такої діяльності без залучення TPSP-постачальника, або із застосуванням іншого визначеного банком варіанта;
5) спроможності банку запроваджувати нові технології, а також потенційних ризиків банку, пов’язаних із використанням / застосуванням таких технологій.
290-45. Банк у разі виявлення невідповідності критичного TPSP-постачальника вимогам пункту 290-15 глави 45-2 розділу VI цього Положення приймає рішення про відмову від встановлення договірних відносин із таким TPSP-постачальником.
290-46. Банк у разі виявлення щодо критичного TPSP-постачальника ознак небездоганної ділової репутації, установлених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак небездоганної ділової репутації, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін, та/або невідповідності критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5розділу VI цього Положення, приймає рішення про доцільність встановлення або відмову від встановлення договірних відносин із таким TPSP-постачальником.
Банк у разі прийняття рішення про встановлення договірних відносин із критичним TPSP-постачальником починаючи з дня укладення договору та до дня забезпечення критичним TPSP-постачальником усунення ознак небездоганної ділової репутації, забезпечення відповідності критеріям операційної та фінансової спроможності:
1) визначає рівень ризику третіх сторін за договором із таким TPSP-постачальником як високий;
2) ураховує такий ризик під час здійснення стрес-тестування ризику третіх сторін за базовим сценарієм;
3) здійснює оцінку потенційного впливу повного припинення надання таким TPSP-постачальником послуг банку на безперервність діяльності та профіль ризику банку.
45-6. Укладення договору з TPSP-постачальником
290-47. Банк укладає договір з TPSP-постачальником у письмовій (електронній) формі з накладанням електронного підпису або підпису, прирівняного до власноручного підпису відповідно до Закону України "Про електронну ідентифікацію та електронні довірчі послуги", та з урахуванням вимог, визначених цим Положенням.
290-48. Умови договору з TPSP-постачальником повинні:
1) узгоджуватися з політикою залучення TPSP-постачальників, політикою, порядками та процедурами банку щодо управління ризиком третіх сторін;
2) ураховувати критичність послуги, а також вимоги законодавства країн, в яких банк і TPSP-постачальник здійснюють свою діяльність.
290-49. Банк у договорі з TPSP-постачальником визначає щонайменше:
1) ключові умови щодо рівня сервісу / обслуговування (SLA), якщо не укладено окрему угоду про рівень сервісу / обслуговування (SLA);
2) обов’язок TPSP-постачальника надавати банку точну, повну та своєчасну інформацію про наявність вимог, обмежень та заборон, зазначених у пункті 290-15 глави 45-2 розділу VI цього Положення, а в разі ненадання такої інформації та/або встановлення невідповідності TPSP-постачальника вимогам пункту 290-15 глави 45-2 розділу VI цього Положення - право банку розірвати договір в односторонньому порядку;
3) обов’язок TPSP-постачальника надавати банку точну, повну та своєчасну інформацію, яка впливає на виконання та/або пов’язана з виконанням умов договору, включаючи інформацію про управління TPSP-постачальником ризиком третіх сторін, інциденти TPSP-постачальника;
4) права TPSP-постачальника щодо отримання від банку необхідної інформації / даних згідно з угодою про рівень сервісу / обслуговування (SLA), дотримання банком встановлених технічних вимог та забезпечення банком доступу TPSP-постачальнику до об’єктів, пов’язаних із наданням послуг, у встановленому банком порядку (за потреби);
5) зобов’язання TPSP-постачальника щодо забезпечення безперервності діяльності щодо надання послуг банку та відповідальність за невиконання таких зобов’язань;
6) вартість послуг, включаючи можливість / умови диференціації їх вартості залежно від обсягу використання послуги банком;
7) права власності, доступу та використання логічних активів, включаючи дані, додатки, інтерфейси прикладного програмування (API), моделі, права інтелектуальної власності, та фізичних активів, включаючи обладнання, документацію, приміщення, а також особливості передавання таких активів (необхідний час та формат), включаючи в разі припинення діяльності;
8) зобов’язання та відповідальність, пов’язані з безпекою, включаючи інформаційну безпеку та кіберзахист, стабільність / надійність надання послуг;
9) місце (регіон, країна), з якого надаватимуться послуги TPSP-постачальником, та місцезнаходження (регіон, країна) центрів обробки та збереження даних TPSP-постачальником;
10) уникнення ризику змішування TPSP-постачальником інформації банку з інформацією інших його клієнтів;
11) право банку на отримання відшкодування від TPSP-постачальника, обставини, умови та порядок отримання банком такого відшкодування;
12) порядок розгляду скарг клієнтів банку, пов’язаних з отриманням послуг від TPSP-постачальника, та вирішення спорів;
13) дії сторін у разі дострокового розірвання договору з TPSP-постачальником через невиконання / неналежне виконання сторонами зобов’язань за договором, включаючи вимоги щодо попереднього повідомлення про наміри дострокового розірвання договору та мінімальні строки для такого повідомлення;
14) положення про вибір права та підсудності в разі виникнення спорів між банком і TPSP-постачальником, за винятком виключної підсудності (з наданням переваги застосуванню права України та підсудності справам судам України);
15) умови щодо підтримки TPSP-постачальником виходу банку з відносин у разі дострокового розірвання договору з таким TPSP-постачальником;
16) наявність зобов’язань TPSP-постачальника про нерозголошення інформації (англійською мовою NDA - Non-disclosure Agreement), публічне розкриття якої матиме суттєвий негативний вплив на конкурентну ринкову позицію банку та/або його клієнтів / контрагентів на ринку;
17) згоду TPSP-постачальника на надання банком Національному банку на його запит інформації (за винятком інформації щодо вартості послуг та порядку її визначення), отриманої банком під час укладення та виконання договору;
18) підстави, порядок перегляду умов договору, унесення до нього змін, включаючи зміни, пов’язані зі змінами в законодавстві України, та припинення його дії, включаючи розірвання.
290-50. Банк у договорі з критичним TPSP-постачальником визначає щонайменше умови, визначені в пункті 290-49 глави 45-6 розділу VI цього Положення, а також:
1) обов’язок критичного TPSP-постачальника надавати банку точну, повну та своєчасну інформацію про:
ключових n-х сторін, включаючи повідомлення про використання / зміну ключової n-ї сторони;
суттєві зміни в послугах, що надаються критичним TPSP-постачальником;
повідомлення про інциденти в ключової n-ї сторони, що впливають / можуть мати вплив на надання критичним TPSP-постачальником послуг банку;
2) обов’язок критичного TPSP-постачальника передбачати в договорах, які укладаються з ключовими n-ми сторонами, згоду ключових n-х сторін на надання банку на його запит інформації щодо ключової n-ї сторони (за винятком інформації щодо вартості послуг ключової n-ї сторони та порядку її визначення), яка впливає на виконання та/або пов’язана з виконанням такою стороною умов договору;
3) обов’язок критичного TPSP-постачальника надавати банку інформацію про діяльність ключової n-ї сторони, визначену в підпункті 7 пункту 290-25 глави 45-3 розділу VI цього Положення;
4) зобов’язання критичного TPSP-постачальника щодо забезпечення безперервності діяльності щодо надання послуг банку, а також його участі в тестуванні плану забезпечення безперервної діяльності банку та відповідальність за невиконання таких зобов’язань;
5) установлення додаткових показників ефективності виконання критичним TPSP-постачальником умов договору, включаючи інформацію про результати проведених критичним TPSP-постачальником тестування власного плану забезпечення безперервної діяльності, оцінку ефективності внутрішнього контролю, наявність скарг від його клієнтів;
6) право банку на доступ до приміщень критичного TPSP-постачальника, проведення перевірок діяльності критичного TPSP-постачальника, включаючи незалежними сторонами, та отримання інформації про діяльність критичного TPSP-постачальника, визначеної в підпункті 7 пункту 290-25 глави 45-3розділу VI цього Положення;
7) зобов’язання критичного TPSP-постачальника щодо визначення ним у плані забезпечення безперервної діяльності:
мінімального часу безперервної роботи та максимального часу простою в наданні послуг;
максимального часового інтервалу, протягом якого втрата даних банку в разі значного інциденту / збою / відмови систем та сервісів до моменту їх відновлення вважаються допустимими для критичних бізнес-процесів та функцій банку, не перевищуючи критичного рівня втрат (англійською мовою recovery point objective) (далі - RPO);
цільового часового інтервалу на відновлення процесів і систем, що обслуговують цей бізнес-процес, після інциденту / збою / переривання діяльності (англійською мовою recovery time objective) (далі - RTO);
8) зобов’язання критичного TPSP-постачальника щодо своєчасного надання банку інформації / повідомлення про інциденти в його діяльності та/або діяльності ключової n-ї сторони, які впливають на спроможність виконувати зобов’язання, визначені в договорі, включаючи вимоги до мінімального змісту інформації, яку необхідно повідомляти, та строку її надання;
9) запровадження критичним TPSP-постачальником процесів виявлення, розслідування та усунення інцидентів, пов’язаних із послугами, що надаються банку.
290-51. Банк у разі укладення договору з TPSP-постачальником, що є надавачем хмарних послуг, керується умовами та вимогами, що визначені в главі IV Положення про порядок застосування технології хмарних обчислень, затвердженого постановою Правління Національного банку України від 25 серпня 2025 року № 99.
290-52. Банк у разі укладення нового договору / унесення змін до діючого договору з TPSP-постачальником оновлює карту взаємозв’язків і взаємозалежностей між TPSP-постачальниками.
45-7. Початок договірних відносин з TPSP-постачальником та моніторинг виконання умов договору
290-53. Банк для виконання умов договору з TPSP-постачальником забезпечує належну комунікацію з TPSP-постачальником та надає йому необхідну інформацію з дотриманням вимог законодавства України та внутрішньобанківських документів з метою розуміння TPSP-постачальником особливостей діяльності та бізнес-процесів банку, пов’язаних із послугами, що надаватимуться таким постачальником.
Така інформація може включати політику банку, вимоги внутрішньобанківських документів до ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників і керівників, інформацію про процеси, технології та обладнання банку.
290-54. Банк після укладення договору з TPSP-постачальником з метою прийняття своєчасних та адекватних управлінських рішень щодо пом’якшення ризику третіх сторін і зменшення пов’язаних із таким ризиком втрат (збитків) здійснює:
1) на постійній основі моніторинг:
дотримання вимог пункту 290-15 глави 45-2 розділу VI цього Положення;
відсутності ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;
можливості отримання послуг від іншого альтернативного TPSP-постачальника;
оцінки критичності послуг, що надаються TPSP-постачальником;
2) не рідше одного разу на рік моніторинг:
відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення;
відповідності укладеного договору умовам, визначеним у пунктах 290-49, 290-50 глави 45-6 розділу VI цього Положення, та дотримання TPSP-постачальником / критичним TPSP-постачальником таких умов під час виконання договору.
290-55. Банк під час здійснення моніторингу виконання критичним TPSP-постачальником умов договору та його діяльності:
1) перевіряє наявність у критичного TPSP-постачальника процедур внутрішнього контролю та оцінює його спроможність виконувати договірні зобов’язання;
2) здійснює моніторинг системи внутрішнього контролю критичного TPSP-постачальника, якщо укладений з таким TPSP-постачальником договір передбачає розподіл відповідальності за надання банку послуг з іншими TPSP-постачальниками, ключовими n-ми сторонами;
3) розробляє заходи реагування на проблеми, пов’язані з неналежним виконанням критичним TPSP-постачальником умов договору;
4) здійснює аналіз відповідності діяльності критичного TPSP-постачальника політиці управління безперервною діяльністю банку;
5) здійснює моніторинг інцидентів у діяльності критичного TPSP-постачальника;
6) здійснює аналіз розроблених критичним TPSP-постачальником заходів реагування на такі інциденти та результати усунення їх наслідків;
7) здійснює моніторинг переліку ключових n-х сторін критичного TPSP-постачальника, які мають опосередкований вплив на підтримання / надання критичної послуги TPSP-постачальником банку;
8) здійснює оцінку діяльності критичного TPSP-постачальника, включаючи аналіз планових та фактичних показників діяльності, які є релевантними для врахування під час оцінки ризику третіх сторін;
9) перевіряє відповідність умов договору вимогам законодавства України та країни, з території якої надаватиметься відповідна послуга TPSP-постачальником.
290-56. Моніторинг виконання TPSP-постачальником умов договору повинен узгоджуватися із:
1) системою управління ризиками банку;
2) ризиками, які були оцінені та враховані банком під час укладення договору з TPSP-постачальником;
3) новими ризиками, які виникли після укладення договору з TPSP-постачальником;
4) зобов’язаннями TPSP-постачальника згідно з укладеним з банком договором;
5) рівнем залежності критичного TPSP-постачальника від ключових n-х сторін під час надання послуг банку.
290-57. Банк здійснює моніторинг виконання TPSP-постачальником умов договору, оцінку стану виконання умов договору, перегляд умов договору (за потреби) на регулярній основі, але не рідше одного разу на рік та в разі значних змін:
1) у внутрішньому операційному середовищі банку, включаючи організаційні зміни, наявність конфлікту інтересів;
2) у внутрішньому операційному середовищі критичного TPSP-постачальника, включаючи організаційні зміни, зміни місця (регіону, країни), з якого надаються послуги, упровадження нових технологій;
3) у зовнішньому середовищі, включаючи політичну, економічну, соціальну, правову та фінансову сфери, перешкоди щодо здійснення діяльності банком та критичним TPSP-постачальником.
290-58. Банк у разі встановлення за результатами моніторингу невідповідності TPSP-постачальника вимогам пункту 290-15 глави 45-2 розділу VI цього Положення приймає рішення про припинення у найкоротший строк договірних відносин із таким TPSP-постачальником.
290-59. Банк у разі встановлення за результатами моніторингу щодо критичного TPSP-постачальника ознак небездоганної ділової репутації, установлених у пункті 65 глави 6, пункті 69 глави 7 розділу II Положення № 149, та інших ознак небездоганної ділової репутації, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін, та/або невідповідності критеріям операційної та фінансової спроможності, визначеним у пунктах 290-40, 290-41 глави 45-5 розділу VI цього Положення, та/або невідповідності укладених договорів умовам, визначеним у пунктах 290-49, 290-50 глави 45-6 розділу VI цього Положення, та/або порушення критичним TPSP-постачальником таких умов під час виконання договору приймає одне з таких рішень про:
1) продовження договірних відносин із таким TPSP-постачальником;
2) розроблення плану поетапного скорочення обсягу отримуваних послуг від такого TPSP-постачальника та припинення договірних відносин із ним. Такий план повинен затверджуватися радою банку.
290-60. Банк із дня встановлення за результатами моніторингу фактів, визначених в абзаці першому пункту 290-59 глави 45-6 розділу VI цього Положення, до дня їх виправлення (усунення) / припинення договірних відносин із критичним TPSP-постачальником:
1) визначає рівень ризику третіх сторін за договором із таким TPSP-постачальником як високий;
2) ураховує такий ризик під час здійснення стрес-тестування ризику третіх сторін за базовим сценарієм;
3) здійснює оцінку потенційного впливу повного припинення надання таким TPSP-постачальником послуг банку на безперервність діяльності та профіль ризику банку.
290-61. Банк у разі встановлення фактів, що можуть свідчити про підвищення ризику концентрації послуг критичних TPSP-постачальників та ключових n-х сторін, збільшує частоту (періодичність) здійснення моніторингу виконання TPSP-постачальниками умов договорів.
290-62. Банк для отримання впевненості у відповідності послуг, що надаються TPSP-постачальником, умовам договору має право враховувати результати зовнішніх перевірок діяльності TPSP-постачальника.
Банк для отримання впевненості у відповідності послуг, що надаються критичним TPSP-постачальником, умовам договору враховує результати перевірок (за наявності) критичного TPSP-постачальника зовнішнім аудитором або іншим незалежним суб’єктом, який проводить незалежну професійну діяльність, а також відповідність критичного TPSP-постачальника вимогам національних стандартів України (ДСТУ), міжнародних стандартів (ISO) за відповідними напрямами діяльності критичного TPSP-постачальника, підтверджену діючими станом на дату здійснення аналізу сертифікатами.
290-63. Банк під час прийняття рішення про продовження / поновлення / припинення дії договору з TPSP-постачальником ураховує інформацію про виконання TPSP-постачальником умов попереднього договору.
45-8. Припинення договірних відносин з TPSP-постачальником
290-64. Банк здійснює управління процесом припинення договірних відносин з TPSP-постачальником з урахуванням:
1) закінчення строку дії договору з TPSP-постачальником;
2) наявних фактів порушення умов договору TPSP-постачальником;
3) наявних фактів невиконання / порушення TPSP-постачальником вимог законодавства України;
4) наміру банку замінити TPSP-постачальника на альтернативного TPSP-постачальника;
5) наміру банку виконувати роботи самостійно за послугами, що надаються TPSP-постачальником, використовуючи власну інфраструктуру;
6) припинення банком здійснення діяльності, для якої залучався TPSP-постачальник;
7) установлення ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників;
8) установлення невідповідності операційної та фінансової спроможності критичного TPSP-постачальника.
Банк у межах припинення договірних відносин із критичним TPSP-постачальником уживає заходів для забезпечення безперервності своєї діяльності.
290-65. Банк щодо кожного критичного TPSP-постачальника розробляє та періодично (не рідше одного разу на рік) оновлює:
1) план очікуваного (запланованого) припинення отримання критичної послуги від критичного TPSP-постачальника;
2) оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника.
290-66. План очікуваного (запланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен ураховувати:
1) можливість заміни критичного TPSP-постачальника, який надає банку критичну послугу;
2) наявні можливості / ресурси в банку для припинення отримання критичної послуги від критичного TPSP-постачальника, включаючи наявність та доступність фінансових ресурсів (бюджету) і технічної інфраструктури.
290-67. План очікуваного (запланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен визначати:
1) часовий проміжок для повного припинення отримання послуг і поетапний графік такого припинення;
2) заходи, спрямовані на забезпечення дотримання прав, визначених у договорі з критичним TPSP-постачальником, включаючи збереження та доступність результатів перевірок, обробки конфіденційних даних, архівування, збереження або знищення даних, відкликання доступу до систем;
3) розподіл обов’язків і повноважень щодо управління виходом з відносин із критичним TPSP-постачальником;
4) процеси для своєчасного передавання до банку / нового TPSP-постачальника логічних активів у відповідному форматі, фізичних активів і персоналу (консультантів, працівників за контрактом);
5) заходи, необхідні для забезпечення узгодженості у взаємодії між підрозділами банку [включаючи підрозділ з управління персоналом, юридичний підрозділ, підрозділ контролю за дотриманням норм (комплаєнс), підрозділ інформаційних технологій] та зовнішніми зацікавленими сторонами, включаючи нового критичного TPSP-постачальника (за наявності).
290-68. Оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен ураховувати залучення такого TPSP-постачальника до надання критичних послуг та замінність таких послуг.
Оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен ґрунтуватися на реалістичних сценаріях та обґрунтованих припущеннях.
290-69. Оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен містити:
1) часовий проміжок для повного припинення отримання послуг і поетапний графік такого припинення;
2) процеси для своєчасного передавання до банку / нового критичного TPSP-постачальника логічних активів у відповідному форматі, фізичних активів і персоналу (консультантів, працівників за контрактом);
3) затверджену та актуалізовану інформацію про працівників банку, які повинні мати відповідні повноваження, достатню кваліфікацію та навички у здійсненні діяльності з управління кризовими ситуаціями, та є відповідальними за моніторинг та ескалацію інформації щодо критичного TPSP-постачальника;
4) процес оперативного затвердження бюджету / використання резервного фонду для покриття неочікуваних додаткових витрат, пов’язаних із виходом з відносин із критичним TPSP-постачальником, включаючи залучення зовнішніх працівників і консультантів, необхідних для переходу на інші послуги, залучення альтернативного критичного TPSP-постачальника.";
4) главу 47 після пункту 299-1доповнити новим пунктом 299-2 такого змісту:
"299-2. Банк забезпечує узгодженість внутрішньобанківських документів щодо аутсорсингу з політикою залучення TPSP-постачальників і політикою, порядками та процедурами управління ризиком третіх сторін.";
5) у главі 48:
пункт 301 доповнити новим підпунктом такого змісту:
"5) принципи та підходи банку щодо забезпечення безперервної діяльності в разі збоїв / переривання у наданні послуг TPSP-постачальниками.";
у пункті 302:
у підпункті 1 слова "recovery time objective" замінити літерами "RTO";
у підпункті 2 слова "recovery point objective" замінити літерами "RPO";
главу після пункту 302 доповнити двома новими пунктами 302-1, 302-2 такого змісту:
"302-1. Банк під час управління безперервною діяльністю забезпечує:
1) періодичний перегляд та оновлення плану забезпечення безперервної діяльності з урахуванням укладених договорів із TPSP-постачальниками;
2) періодичне тестування плану забезпечення безперервної діяльності, розглядаючи різні заходи відновлення діяльності для критичних процесів банку або запровадження додаткового контролю, що забезпечує дотримання ризик-апетиту та рівня толерантності до збоїв, із застосуванням таких сценаріїв:
залучення іншого / альтернативного TPSP-постачальника;
використання одночасно кількох TPSP-постачальників;
виконання банком робіт самостійно за послугами, що надаються TPSP-постачальником, використовуючи власну інфраструктуру;
3) ураховувати наслідки інцидентів, що мали місце в минулому за договорами з TPSP-постачальниками, та результати періодичного тестування банком плану забезпечення безперервної діяльності;
4) здійснювати періодичну актуалізацію переліку визначених альтернативних TPSP-постачальників.
302-2. Банк під час управління безперервністю діяльності додатково до вимог, визначених у пункті 302-1 глави 48 розділу VI цього Положення, щодо критичних договорів із TPSP-постачальниками, здійснює:
1) отримання від TPSP-постачальника підтвердження, що він розробляє, періодично переглядає та оновлює план забезпечення безперервної своєї діяльності, в якому встановлено чіткі та вимірювані показники, що узгоджуються з толерантністю банку до збоїв, включаючи (RTO) та (RPO);
2) перевірку надійності процесів забезпечення безперервності діяльності TPSP-постачальника.";
пункт 303 доповнити новим підпунктом такого змісту:
"6) заходи, спрямовані на забезпечення безперервності надання послуг критичними TPSP-постачальниками послуг банку, якщо немає альтернативних TPSP-постачальників для надання таких послуг.";
главу після пункту 303 доповнити новим пунктом 303-1 такого змісту:
"303-1. Банк розробляє та тестує план забезпечення безперервної діяльності із залученням критичних TPSP-постачальників або із залученням незалежних сторін або здійснює симуляцію залучення критичних TPSP-постачальників (якщо немає змоги їх залучити).";
6) у главі 50:
пункт 314 викласти в такій редакції:
"314. Головний ризик-менеджер / підрозділ з управління ризиками не пізніше наступного робочого дня після виявлення ризику інформує раду банку, комітет з управління ризиками (у разі його створення), правління банку, комітет з управління операційним ризиком (у разі його створення) про:
1) значне підвищення операційних ризиків з метою прийняття своєчасних та адекватних управлінських рішень;
2) установлення за результатами моніторингу виконання TPSP-постачальником умов договору та його діяльності ознак підвищеного ризику в співпраці з TPSP-постачальником, включаючи суттєве погіршення показників діяльності критичного TPSP-постачальника, порушення безпеки, втрати даних, інциденти / збої / переривання в наданні послуг, факти, що можуть вплинути на належне виконання TPSP-постачальником умов договору, інші ознаки підвищеного ризику, установлення ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників.".
3. У додатках до Положення:
1) таблицю додатка 2 після рядка 5 доповнити новим рядком 6 такого змісту:
"
| 1 | 2 | 3 | 4 | 5 | 6 | 7 |
| 6 | Політика залучення TPSP-постачальників | Затверджує | Бере участь у розробленні | Забезпечує розроблення | Бере участь у розробленні | Бере участь у розробленні |
".
У зв’язку з цим рядки 6-26 уважати відповідно рядками 7-27;
2) Положення після додатка 6 доповнити новим додатком 7, виклавши його в такій редакції:
"Додаток 7
до Положення про організацію
системи управління ризиками
в банках України
та банківських групах
(пункт 290-13 глави 45-2 розділу VI)
Дані,
які вносяться до переліку договорів, укладених з TPSP-постачальниками, включаючи угоди про рівень сервісу / обслуговування (SLA)
Таблиця
| № з/п | Дата укладення договору | Дата початку дії договору | Дата закінчення строку дії договору | Найменування TPSP-постачальника | Код TPSP-постачальника | Критичність договору |
| 1 | 2 | 3 | 4 | 5 | 6 | 7 |
Продовження таблиці
Продовження таблиці
Продовження таблиці
1. Пояснення щодо заповнення таблиці:
1) у колонці 6 зазначається код за даними з Єдиного державного реєстру юридичних осіб, фізичних осіб-підприємців та громадських формувань (для TPSP-постачальника, який є резидентом України) або ідентифікаційний / реєстраційний номер / код офіційного документа, виданого уповноваженим органом іноземної країни, що підтверджує реєстрацію TPSP-постачальника в країні, у якій зареєстровано її головний офіс (для TPSP-постачальника, який є нерезидентом України);
2) у колонці 7 зазначається "критичний" / "некритичний";
3) у колонці 10 зазначається перелік найменувань альтернативних TPSP-постачальників, які визначені банком;
4) у колонці 11 зазначається про обмін з TPSP-постачальником інформацією, публічне розкриття якої матиме суттєвий негативний вплив на конкурентну ринкову позицію банку та/або його клієнтів / контрагентів на ринку;
5) у колонці 14 зазначається перелік n-х сторін, які є другими та третіми сторонами (третьою стороною в ланцюгу постачання є постачальник послуг для другої сторони в ланцюгу постачання; другою стороною - є постачальник послуг для TPSP-постачальника).".
У зв’язку з цим додатки 7-10 уважати відповідно додатками 8-11.
4. У тексті Положення посилання на додатки 7-10 замінити посиланнями відповідно на додатки 8-11.
