ПРАВЛІННЯ НАЦІОНАЛЬНОГО БАНКУ УКРАЇНИ
ПОСТАНОВА
| 10 жовтня 2024 року № 123 |
Про затвердження Положення про вимоги до системи управління надавача фінансових платіжних послуг
( Із змінами, внесеними згідно з Постановами Національного банку № 73 від 02.07.2025 № 158 від 24.12.2025 № 72 від 30.06.2026 )
Відповідно до статей 7, 15, 55-1, 56 Закону України "Про Національний банк України", статей 15, 19, 26, 66, 81 Закону України "Про платіжні послуги",статті 21 Закону України "Про фінансові послуги та фінансові компанії", з метою встановлення вимог до системи управління надавачів фінансових платіжних послуг Правління Національного банку України постановляє:
1. Затвердити Положення про вимоги до системи управління надавача фінансових платіжних послуг (далі - Положення), що додається.
2. Платіжні установи (крім малих платіжних установ), установи електронних грошей, оператори поштового зв’язку, які мають право надавати фінансові платіжні послуги, філії іноземних платіжних установ та філії іноземних установ електронних грошей (далі - надавачі фінансових платіжних послуг) зобов’язані привести свою діяльність у відповідність до вимог Положення у терміни, установлені в графіку, що додається.
3. Департаменту методології регулювання діяльності небанківських фінансових установ (Сергій Савчук) після офіційного опублікування довести до відома надавачів фінансових платіжних послуг інформацію про прийняття цієї постанови.
4. Постанова набирає чинності з дня, наступного за днем її офіційного опублікування.
| Голова | А. ПИШНИЙ |
Інд. 33
Додаток
до постанови Правління
Національного банку України
10 жовтня 2024 року № 123
Графік
приведення діяльності надавача фінансових платіжних послуг у відповідність до вимог Положення про вимоги до системи управління надавача фінансових платіжних послуг
ЗАТВЕРДЖЕНО
Постанова Правління
Національного банку України
10 жовтня 2024 року № 123
Положення
про вимоги до системи управління надавача фінансових платіжних послуг
I. Загальні положення
1. Основні положення та терміни
1. Це Положення розроблене відповідно до вимог Закону України "Про Національний банк України", Закону України "Про платіжні послуги" (далі - Закон про платіжні послуги), Закону України "Про фінансові послуги та фінансові компанії" (далі - Закон про фінансові послуги) з метою організації та забезпечення належного функціонування системи корпоративного управління, системи внутрішнього контролю та системи управління ризиками (далі - система управління):
1) платіжної установи (крім малої платіжної установи);
2) установи електронних грошей;
3) оператора поштового зв’язку, який має право надавати фінансові платіжні послуги;
4) філії іноземної платіжної установи та філії іноземної установи електронних грошей (далі - філія іноземної платіжної установи).
2. Терміни в цьому Положенні вживаються в такому значенні:
1) агрегування даних щодо ризиків - виявлення, збір та оброблення даних про ризики, включаючи класифікацію, сегментацію, об’єднання чи розподіл даних про ризики, з урахуванням вимог щодо складання звітності про ризики, що дає змогу оцінити діяльність надавача фінансових платіжних послуг з урахуванням ризик-апетиту;
2) бізнес-процес - сукупність взаємопов’язаних або взаємозалежних видів діяльності, спрямованих на створення певного продукту або послуги;
3) високий (помаранчевий) рівень критичності - один із критеріїв істотності операційних інцидентів, кіберінцидентів та інцидентів безпеки, який встановлюється до події, що безпосередньо загрожує здійсненню операційної діяльності надавача фінансових платіжних послуг, сталому функціонуванню інформаційної інфраструктури, що використовується для надання платіжних послуг, безпеці (захищеності) критичних даних, внаслідок чого прогнозується значний вплив на національну безпеку і оборону, соціальну сферу, національну економіку та її окремі галузі, припинення виконання функцій та/або надання послуг критичною інфраструктурою, подія може мати транскордонний вплив;
4) внутрішні документи - документи, затверджені або видані уповноваженим органом управління надавача фінансових платіжних послуг у межах його компетенції з урахуванням вимог законодавства України, включаючи політику за окремими напрямами діяльності, положення, стандарти, інструкції, методики, правила, стратегії, розпорядження, рішення, накази або документи, розроблені в іншій формі;
4-1) внутрішньогруповий ТРSP-постачальник (англійською мовою intragroup TPSP - intragroup Third-Party Service Provider) - ТРSP-постачальник, який входить до визнаної Національним банком фінансової групи та надає послуги іншим учасникам цієї фінансової групи;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 4-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
5) декларація схильності до ризиків - внутрішній документ, який визначає сукупну величину ризик-апетиту, види ризиків, які надавач фінансових платіжних послуг прийматиме або уникатиме з метою виконання свого плану діяльності, та рівень ризик-апетиту щодо кожного з таких ризиків (індивідуальний рівень);
5-1) договір з ТРSP-постачальником - укладений у письмовій формі договір між надавачем фінансових платіжних послуг і ТРSP-постачальником про надання надавачу фінансових платіжних послуг однієї або кількох послуг, включаючи договори аутсорсингу, договори з надання послуг внутрішньогруповим ТРSP-постачальником, договори про надання послуг з підтримки діяльності надавача фінансових платіжних послуг, договори про виконання функцій технологічного оператора платіжних послуг відповідно до Закону про платіжні послуги та не включаючи операції з надання фінансових платіжних послуг між надавачами фінансових платіжних послуг та їхніми користувачами, працівниками або контрагентами, а також не включаючи договори між ТРSP-постачальником та будь-якою стороною в ланцюгу постачання;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 5-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
6) допустимий рівень ризику - максимальна величина ризику, яку надавач фінансових платіжних послуг у змозі прийняти за всіма видами ризиків з огляду на здатність адекватно та ефективно управляти ризиками, а також з урахуванням обмежень, установлених законодавством України;
7) інформаційна інфраструктура - програмне забезпечення та/або технічні засоби в інформаційній, інформаційно-комунікаційній та комунікаційній системах, що використовуються надавачем фінансових платіжних послуг для здійснення платіжних операцій;
8) інцидент безпеки - подія або низка пов’язаних подій, що виникли під час надання платіжних послуг / виконання платіжних операцій та не були заплановані надавачем фінансових платіжних послуг, що мали або ймовірно матимуть негативний вплив на конфіденційність, цілісність, доступність інформації та/або безперервність надання платіжних послуг;
9) істотний технічний збій або істотні інші невідворотні обставини - неспроможність надавача фінансових платіжних послуг своєчасно та ефективно надавати фінансові платіжні послуги протягом 24 годин поспіль з моменту настання технічного збою або інших невідворотних обставин, що призвело до порушення надавачем фінансових платіжних послуг вимог законодавства України, включаючи вимогу щодо безперервності надання фінансових платіжних послуг;
10) ключові процеси - дії, операції, завдання, що виконуються структурними підрозділами, окремими працівниками надавача фінансових платіжних послуг, інформаційними системами (включаючи функції, передані на аутсорсинг), що мають безпосередній та істотний вплив на досягнення цілей діяльності надавача фінансових платіжних послуг, та порушення здійснення контрольних заходів щодо таких дій, операцій, завдань може завдати істотних збитків надавачу фінансових платіжних послуг або його користувачам та/або може призвести до порушення вимог законодавства України;
11) комплаєнс-ризик - ризик виникнення збитків та/або санкцій, додаткових втрат або недоотримання запланованих доходів, або втрати репутації внаслідок невиконання надавачем фінансових платіжних послуг вимог законодавства України про діяльність та регулювання діяльності на ринку фінансових послуг, включаючи законодавство України, що регулює діяльність на платіжному ринку, ринкових стандартів, правил добросовісної конкуренції та корпоративної етики, правил платіжних систем, а також внутрішніх документів надавача фінансових платіжних послуг, виникнення конфлікту інтересів або невідповідності діяльності надавача фінансових платіжних послуг таким вимогам;
12) кредитний ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок невиконання боржником / контрагентом узятих на себе зобов’язань відповідно до умов договору;
13) критична функція - функція, припинення чи переривання якої суттєво погіршить фінансову ефективність надавача фінансових платіжних послуг або надійність, або безперервність надання його послуг;
( Підпункт 13 пункту 2 глави 1 розділу I із змінами, внесеними згідно з Постановою Національного банку № 72 від 30.06.2026 )
13-1) критична послуга - послуга, що надається надавачу фінансових платіжних послуг одним критичним TPSP-постачальником або кількома TPSP-постачальниками, що мають спільного кінцевого бенефіціарного власника або керівником яких є одна й та сама фізична особа, відмова або збій / переривання у наданні якої може мати суттєвий вплив на спроможність надавача фінансових платіжних послуг забезпечувати безперервність надання платіжних послуг, виконувати критичні функції, дотримуватися вимог законодавства України;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 13-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
13-2) критичний договір - договір між надавачем фінансових платіжних послуг та ТРSP-постачальником, що передбачає надання такому надавачу фінансових платіжних послуг однієї чи більше критичних послуг;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 13-2 згідно з Постановою Національного банку № 72 від 30.06.2026 )
13-3) критичний ТРSP-постачальник - ТРSP-постачальник, який уклав критичний договір;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 13-3 згідно з Постановою Національного банку № 72 від 30.06.2026з )
14) критичний (червоний) рівень критичності - один із критеріїв істотності операційних інцидентів, кіберінцидентів та інцидентів безпеки, який встановлюється до події, що безпосередньо загрожує здійсненню операційної діяльності надавача фінансових платіжних послуг, сталому функціонуванню інформаційної інфраструктури, що використовується для надання платіжних послуг, безпеці (захищеності) критичних даних, внаслідок чого виникають реальні загрози для національної безпеки, обороноздатності, економічної безпеки, зовнішніх відносин, створюється реальна загроза обмеження в наданні основних послуг населенню надавачем фінансових платіжних послуг;
15) культура управління ризиками - дотримання визначених надавачем фінансових платіжних послуг принципів, правил, норм надавача фінансових платіжних послуг, спрямованих на поінформованість усіх працівників надавача фінансових платіжних послуг щодо прийняття ризиків та управління ризиками;
15-1) ланцюг постачання - сукупність суб’єктів господарювання, включаючи ТРSP-постачальника, які здійснюють діяльність з надання послуг, постачання матеріальних / нематеріальних активів, інших ресурсів, що прямо чи опосередковано використовуються ТРSP-постачальником для надання послуг надавачу фінансових платіжних послуг;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 15-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
16) ліміти (обмеження) щодо ризиків надавача фінансових платіжних послуг (далі - ліміт ризику) - обмеження (якісні та/або кількісні, єдиним значенням або діапазоном чи межами), установлені для контролю за величиною ризиків, на які наражається надавач фінансових платіжних послуг протягом своєї діяльності, з метою дотримання затвердженого рівня ризик-апетиту;
17) надавачі фінансових платіжних послуг - платіжні установи (крім малих платіжних установ), установи електронних грошей, оператори поштового зв’язку, які мають право надавати фінансові платіжні послуги, філії іноземних платіжних установ;
18) надзвичайний (чорний) рівень критичності - один із критеріїв істотності операційних інцидентів, кіберінцидентів та інцидентів безпеки, який встановлюється до події, що безпосередньо загрожує здійсненню операційної діяльності надавача фінансових платіжних послуг, сталому функціонуванню інформаційної інфраструктури, що використовується для надання платіжних послуг, безпеці (захищеності) критичних даних, внаслідок чого відбувається невідворотний вплив на повноцінне функціонування держави;
19) некритичний (білий) рівень критичності - один із критеріїв істотності операційних інцидентів, кіберінцидентів та інцидентів безпеки, який встановлюється до події, що не загрожує здійсненню операційної діяльності надавача фінансових платіжних послуг, сталому функціонуванню інформаційної інфраструктури, що використовується для надання платіжних послуг, безпеці (захищеності) критичних даних;
20) низький (зелений) рівень критичності - один із критеріїв істотності операційних інцидентів, кіберінцидентів та інцидентів безпеки, який встановлюється до події, що безпосередньо загрожує здійсненню операційної діяльності надавача фінансових платіжних послуг, сталому функціонуванню інформаційної інфраструктури, що використовується для надання платіжних послуг, але не загрожує порушенню конфіденційності, цілісності та доступності критичних даних;
21) операційний ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок виникнення під час надання платіжних послуг / виконання платіжних операцій недоліків або помилок в організації внутрішніх процесів, навмисних або ненавмисних дій працівників надавача фінансових платіжних послуг або інших осіб, збоїв у роботі систем надавача фінансових платіжних послуг або внаслідок впливу зовнішніх факторів;
22) орган управління надавача фінансових платіжних послуг - загальні збори учасників (акціонерів) надавача фінансових платіжних послуг (далі - загальні збори), наглядова рада надавача фінансових платіжних послуг (далі - рада) (у разі її створення), одноосібний / колегіальний виконавчий орган надавача фінансових платіжних послуг (далі - виконавчий орган);
23) передавання ризику - використання надавачем фінансових платіжних послуг ресурсів інших осіб для покриття ризику за винагороду зі збереженням наявного рівня ризику;
24) підрозділ внутрішнього аудиту - постійно діючий підрозділ, створений радою (якщо її немає - загальними зборами) (далі - відповідальний орган), який забезпечує виконання функцій внутрішнього аудиту, визначених законодавством України, або внутрішній аудитор / головний внутрішній аудитор;
25) підрозділ з управління ризиками - постійно діючий підрозділ, створений відповідальним органом, який забезпечує виконання функцій з управління ризиками, визначених законодавством України, або головний ризик-менеджер;
26) підрозділ контролю за дотриманням норм (комплаєнс) - постійно діючий підрозділ, створений відповідальним органом, який забезпечує виконання функцій контролю за дотриманням норм (комплаєнс), визначених законодавством України, або головний комплаєнс-менеджер [особа, на яку покладена функція контролю за дотриманням норм (комплаєнс)] (далі - головний комплаєнс-менеджер);
27) підрозділи контролю - підрозділ з управління ризиками, підрозділ контролю за дотриманням норм (комплаєнс), підрозділ внутрішнього аудиту;
28) пом’якшення або зниження ризиків - комплекс заходів, спрямованих на зменшення ймовірності прояву ризику та/або зменшення впливу ризику на результати діяльності надавача фінансових платіжних послуг;
29) посадові особи надавача фінансових платіжних послуг - одноосібний виконавчий орган або члени колегіального виконавчого органу та члени ради (далі - керівники), ключові особи надавача фінансових платіжних послуг (далі - ключова особа);
30) прийняття ризиків - утримання ризиків на рівні, що перебуває в межах визначеного надавачем фінансових платіжних послуг ризик-апетиту або визначеної схильності до ризиків та не створює загрози для користувачів, акціонерів / учасників надавача фінансових платіжних послуг та його фінансового стану;
31) ризик-апетит, або схильність до ризику, - сукупна величина за всіма видами ризиків та окремо за кожним із ризиків, визначена наперед та в межах допустимого рівня ризику, щодо яких надавач фінансових платіжних послуг прийняв рішення про доцільність / необхідність їх утримання з метою досягнення його стратегічних цілей та виконання плану діяльності;
32) ризик безпеки - ризик виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок виникнення під час надання платіжних послуг / виконання платіжних операцій подій, обставин, факторів, що можуть нести загрозу порушення виконання вимог щодо захисту інформації та персональних даних користувачів, автентифікації, зберігання, захисту, використання інформації, що становить таємницю надавача платіжних послуг;
33-1) ризик концентрації послуг - імовірність виникнення збитків або додаткових втрат або недоотримання доходів унаслідок залежності надавача фінансових платіжних послуг від однієї або кількох послуг, що надаються одним критичним TPSP-постачальником або кількома TPSP-постачальниками (прямо або опосередковано через співпрацю з однією і тією самою n-ю стороною), збій / переривання у наданні яких можуть мати негативний вплив на виконання надавачем фінансових платіжних послуг критичних функцій;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 33-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
33) ризик контрагента - імовірність невиконання контрагентом договірних зобов’язань;
34) ризик ліквідності - ризик виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок неспроможності надавача фінансових платіжних послуг забезпечувати фінансування зростання активів та/або виконання своїх зобов’язань у належні строки;
34-1) ризик третіх сторін (складова операційного ризику) - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок неналежного надання послуг надавачу фінансових платіжних послуг TPSP-постачальником (включаючи аутсорсинг) та/або n-ю стороною;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 34-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
35) ринковий ризик - імовірність виникнення збитків або додаткових втрат або недоотримання запланованих доходів унаслідок несприятливого впливу факторів ринкового ризику, включаючи курси іноземних валют, процентні ставки та/або інші фактори, на вартість / ціну фінансових інструментів;
36) середній (жовтий) рівень критичності - один із критеріїв істотності операційних інцидентів, кіберінцидентів та інцидентів безпеки, який встановлюється до події, що безпосередньо загрожує здійсненню операційної діяльності надавача фінансових платіжних послуг, сталому функціонуванню інформаційної інфраструктури, що використовується для надання платіжних послуг, внаслідок чого створюються передумови для порушення конфіденційності, цілісності та доступності критичних даних, виникають передумови для порушення безперервності надання платіжних послуг;
37) система внутрішнього контролю - сукупність заходів з внутрішнього аудиту, управління ризиками, комплаєнсу та інших елементів, визначених законодавством України, включаючи це Положення, а також політики, правил і заходів, які забезпечують функціонування, взаємозв’язок та підтримку таких заходів та елементів і спрямовані на досягнення визначених мети, цілей і вимог до діяльності надавача фінансових платіжних послуг та забезпечення безперервності надання платіжних послуг;
38) система стримувань та противаг - розподіл повноважень між органами управління та/або підрозділами надавача фінансових платіжних послуг, який забезпечує взаємну підконтрольність, а також унеможливлює (упереджує) можливість прийняття органами управління надавача фінансових платіжних послуг рішень, що можуть призвести до негативних наслідків у діяльності надавача фінансових платіжних послуг;
39) система управління ризиками - сукупність належним чином задокументованих, затверджених і виданих політики, методик і процедур управління ризиками, розпоряджень, рішень, наказів або документів, розроблених в іншій формі, з урахуванням вимог законодавства України, які визначають порядок дій, спрямованих на здійснення систематичного процесу виявлення, вимірювання, моніторингу, контролю, звітування та мінімізацію (зниження до контрольованого рівня) усіх суттєвих ризиків діяльності надавача фінансових платіжних послуг;
40) стрес-тестування - метод вимірювання (оцінки) потенційного впливу ризику як величини збитків, що можуть стати наслідком шокових змін різних факторів ризику, які відповідають виключним (екстремальним), але ймовірним подіям;
40-1) толерантність до збоїв - максимальний рівень наслідків від збоїв, який надавач фінансових платіжних послуг у змозі прийняти під час своєї діяльності без втрати спроможності забезпечувати безперервність надання платіжних послуг, без порушення встановлених законодавством України вимог, без створення загрози фінансовій стійкості, інтересам споживачів платіжних послуг та інших зацікавлених осіб унаслідок настання будь-якого типу подій операційного ризику в разі реалізації виключних (екстремальних), але ймовірних подій;
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 40-1 згідно з Постановою Національного банку № 72 від 30.06.2026 )
41) уникнення ризику - відмова від здійснення певних операцій або припинення ділових відносин, які наражають надавача фінансових платіжних послуг на ризик;
42) n-на сторона - постачальник послуг, який є частиною ланцюга постачання TPSP-постачальника, включаючи, але не обмежуючись особами, на яких покладено виконання послуг TPSP-постачальника (субпідрядниками);
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 42 згідно з Постановою Національного банку № 72 від 30.06.2026 )
43) TPSP-постачальник (англійською мовою TPSP - Third-Party Service Provider) - юридична або фізична особа, яка є суб’єктом господарювання, що надає послуги безпосередньо надавачу фінансових платіжних послуг.
( Пункт 2 глави 1 розділу I доповнено новим підпунктом 43 згідно з Постановою Національного банку № 72 від 30.06.2026 )
Термін "ключові особи" уживається в цьому Положенні в значенні, наведеному в Положенні про авторизацію надавачів фінансових послуг та умови здійснення ними діяльності з надання фінансових послуг, затвердженому постановою Правління Національного банку України від 29 грудня 2023 року № 199 (зі змінами) (далі - Положення про авторизацію надавачів фінансових послуг).
( Абзац п'ятдесят четвертий пункту 2 глави 1 розділу I із змінами, внесеними згідно з Постановою Національного банку № 72 від 30.06.2026 )
Термін "кіберризик" уживається в цьому Положенні в значенні, наведеному в абзаці другому частини першої статті 66 Закону про платіжні послуги.
Термін "кінцевий бенефіціарний власник" уживається в цьому Положенні в значенні, визначеному в Законі України "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення".
( Пункт 2 глави 1 розділу I доповнено новим абзацом п'ятдесят шостим згідно з Постановою Національного банку № 72 від 30.06.2026 )
Термін "уповноважена посадова особа Національного банку" уживається в цьому Положенні в значенні, наведеному в Положенні про здійснення Національним банком України безвиїзного нагляду на платіжному ринку за небанківськими надавачами платіжних послуг, надавачами обмежених платіжних послуг, затвердженому постановою Правління Національного банку України від 05 травня 2023 року № 60 (зі змінами) (далі - Положення про здійснення безвиїзного нагляду на платіжному ринку).
Інші терміни в цьому Положенні вживаються у значеннях, наведених у Законі про платіжні послуги, Законі про фінансові послуги, інших законах України та нормативно-правових актах Національного банку України (далі - Національний банк) з питань регулювання діяльності надавачів фінансових платіжних послуг.
3. Це Положення визначає:
1) вимоги до системи управління надавача фінансових платіжних послуг:
системи корпоративного управління відповідно до вимог, встановлених Законом про платіжні послуги та цим Положенням, включаючи вимоги щодо ключових осіб;
системи внутрішнього контролю, що включає систему управління ризиками, контроль за дотриманням норм (комплаєнс) та внутрішній аудит, згідно з вимогами, встановленими Законом про фінансові послуги, Законом про платіжні послуги та цим Положенням;
2) порядок здійснення контролю Національним банком за дотриманням надавачем фінансових платіжних послуг вимог до системи управління, включаючи порядок складання та подання звітів та іншої інформації до Національного банку щодо системи управління надавача фінансових платіжних послуг.
3-1. Вимоги цього Положення також поширюються на установи, зазначені впідпунктах 1, 2, 4 пункту 1 глави 1 розділу I цього Положення, які суміщають діяльність з надання фінансових платіжних послуг з наданням нефінансових платіжних послуг.
( Главу 1 розділу І доповнено пунктом 3-1 згідно з Постановою Національного банку № 73 від 02.07.2025 )
2. Організація системи управління надавача фінансових платіжних послуг
4. Система управління надавача фінансових платіжних послуг повинна відповідати вимогам, визначеним Законом про платіжні послуги, іншими законами України, цим Положенням та іншими нормативно-правовими актами Національного банку.
5. Надавач фінансових платіжних послуг зобов’язаний організувати та постійно забезпечувати ефективність своєї системи управління, належне функціонування системи корпоративного управління, системи внутрішнього контролю та належне управління ризиками з урахуванням особливостей виду діяльності, бізнес-моделі, характеру і видів послуг, які він надає, ризиків, притаманних такій діяльності, а також особливостей, встановлених законами з питань регулювання окремих ринків фінансових послуг, Законом України "Про товариства з обмеженою та додатковою відповідальністю" (далі - Закон про товариства з обмеженою та додатковою відповідальністю), Законом України "Про акціонерні товариства" (далі - Закон про акціонерні товариства), Положенням про порядок здійснення авторизації діяльності надавачів фінансових платіжних послуг та обмежених платіжних послуг, затвердженим постановою Правління Національного банку України від 07 жовтня 2022 року № 217 (зі змінами) (далі - Положення про авторизацію надавачів фінансових платіжних послуг), та цим Положенням.
6. Внутрішні документи надавача фінансових платіжних послуг щодо організації системи управління повинні відповідати вимогам законодавства України, включаючи вимоги цього Положення.
7. Порядок організації роботи виконавчого органу, включаючи чіткий розподіл повноважень між головою і членами колегіального виконавчого органу, а також порядок організації роботи ради та комітетів ради, ключових осіб (або осіб, які виконують такі функції) повинні визначатись у внутрішніх документах, що регламентують діяльність виконавчого органу, ради, комітетів ради та ключових осіб. Надавач фінансових платіжних послуг для забезпечення ефективності своєї системи управління переглядає внутрішні документи щодо потреби внесення змін до них не рідше одного разу на рік.
8. Надавач фінансових платіжних послуг (крім філії іноземної платіжної установи) зобов’язаний створити у своїй структурі окремі підрозділи внутрішнього аудиту, з управління ризиками та контролю за дотриманням норм (комплаєнс) або покласти виконання відповідних функцій на внутрішнього аудитора / головного внутрішнього аудитора, головного ризик-менеджера, головного комплаєнс-менеджера та забезпечити їх належними ресурсами для ефективного та належного виконання їхніх функцій.
9. Внутрішній аудитор / головний внутрішній аудитор, головний ризик-менеджер, головний комплаєнс-менеджер не мають права обіймати будь-які інші посади та виконувати будь-які інші обов’язки в цьому надавачі фінансових платіжних послуг та/або інших юридичних особах, крім випадку, передбаченого в пункті 10-1 глави 2 розділу I цього Положення.
( Пункт 9 глави 2 розділу I в редакції Постанови Національного банку № 158 від 24.12.2025 )
10. Вимоги, визначені в пункті 9 глави 2 розділу I цього Положення, не застосовуються до материнських та дочірніх компаній надавача фінансових платіжних послуг, компаній - учасників фінансової групи, до якої належить такий надавач фінансових платіжних послуг, професійних об’єднань на ринку фінансових платіжних послуг, юридичних осіб, кінцевим бенефіціарним власником в яких є кінцевий бенефіціарний власник такого надавача фінансових платіжних послуг.
10-1. Надавач фінансових платіжних послуг має право прийняти рішення про одночасне виконання функцій головного комплаєнс-менеджера та відповідального працівника надавача фінансових платіжних послуг за проведення фінансового моніторингу на умовах суміщення з урахуванням вимог цього Положення та Положення про авторизацію надавачів фінансових платіжних послуг.
( Главу 2 доповнено новим пунктом 10-1 згідно з Постановою Національного банку № 158 від 24.12.2025 )
II. Система корпоративного управління надавача фінансових платіжних послуг
3. Загальні збори надавача фінансових платіжних послуг
11. Загальні збори є вищим органом управління надавача фінансових платіжних послуг.
12. До виключної компетенції загальних зборів належить вирішення питань, віднесених Законом про товариства з обмеженою та додатковою відповідальністю або Законом про акціонерні товариства до виключної компетенції загальних зборів такого товариства.
13. До компетенції загальних зборів надавача фінансових платіжних послуг з урахуванням вимог законів України можуть бути віднесені інші питання діяльності, за винятком тих, які законом України або статутом надавача фінансових платіжних послуг віднесені до виключної компетенції ради, інших органів надавача фінансових платіжних послуг.
Загальні збори з урахуванням вимог законів України уповноважені розглядати і приймати рішення з питань, віднесених законом України або статутом надавача фінансових платіжних послуг до виключної компетенції ради, якщо радою прийнято рішення про внесення відповідного питання на розгляд загальних зборів.
14. Загальні збори з урахуванням вимог законів України, включаючи вимоги Закону про товариства з обмеженою та додатковою відповідальністю та Закону про акціонерні товариства:
1) визначають основні напрями діяльності надавача фінансових платіжних послуг;
2) затверджують / приймають рішення про застосування принципів (кодексу) корпоративного управління надавача фінансових платіжних послуг;
3) вирішують питання про обрання та припинення повноважень членів ради;
4) за відсутності ради вирішують питання про призначення та припинення повноважень (звільнення) голови та членів колегіального виконавчого органу, а також ключових осіб;
5) вирішують інші питання, віднесені до компетенції загальних зборів, відповідно до вимог законодавства України.
4. Рада надавача фінансових платіжних послуг
15. Рада несе відповідальність за забезпечення стратегічного управління надавача фінансових платіжних послуг.
16. Рада в межах своїх повноважень з урахуванням компетенції, визначеної відповідно законом України та статутом, несе відповідальність за:
1) безпеку та фінансову стійкість надавача фінансових платіжних послуг;
2) відповідність діяльності надавача фінансових платіжних послуг законодавству України;
3) упровадження стратегічних цілей надавача фінансових платіжних послуг відповідно до основних напрямів діяльності, визначених загальними зборами, та плану діяльності надавача фінансових платіжних послуг;
4) забезпечення ефективної організації корпоративного управління;
5) функціонування та контроль за ефективністю системи внутрішнього контролю, системи управління ризиками та контролю за дотриманням норм (комплаєнс), системи внутрішнього аудиту надавача фінансових платіжних послуг;
6) призначення голови та членів колегіального виконавчого органу, а також ключових осіб.
17. Рада затверджує організаційну структуру надавача фінансових платіжних послуг, що відповідає його потребам, розміру, особливостям діяльності надавача фінансових платіжних послуг, характеру й обсягам фінансових платіжних та інших послуг, профілю ризику надавача фінансових платіжних послуг, надає змогу раді та виконавчому органу виконувати свої обов’язки належним чином відповідно до вимог законодавства України та сприяє ефективному прийняттю рішень кожним з органів управління і належному управлінню надавачем фінансових платіжних послуг у цілому. Організаційна структура містить у собі визначення персонального розподілу функцій, обов’язків, відповідальності, повноважень членів ради, виконавчого органу, ключових осіб, їх підконтрольності та підзвітності, а також забезпечує наявність системи стримування і противаг.
18. Рада має право внести на розгляд загальних зборів питання, яке законом України або статутом надавача фінансових платіжних послуг віднесене до її виключної компетенції.
19. Рада має право утворювати постійні чи тимчасові комітети з числа осіб, які входять до її складу, для попереднього вивчення і підготовки до розгляду на засіданні питань, що належать до компетенції ради.
20. Рада має право утворити постійно діючі комітети (далі - комітети ради):
1) комітет з питань аудиту (аудиторський комітет) з урахуванням вимог до аудиторського комітету, передбачених Законом України "Про аудит фінансової звітності та аудиторську діяльність";
2) комітет з управління ризиками;
3) комітет з питань винагороди та призначень.
21. Рада в межах компетенції визначає обсяг повноважень комітетів ради, контролює та регулює їхню діяльність.
22. Загальні збори або орган, визначений статутом надавача фінансових платіжних послуг, здійснюють повноваження ради, якщо її не створено.
5. Виконавчий орган надавача фінансових платіжних послуг
23. До компетенції виконавчого органу належить вирішення всіх питань, пов’язаних з керівництвом поточною діяльністю надавача фінансових платіжних послуг, крім питань, що належать до виключної компетенції загальних зборів та ради.
Виконавчі або невиконавчі члени (директори) можуть обиратися до складу колегіального виконавчого органу. Невиконавчий член здійснює функції нагляду, управління ризиками та контролю за діяльністю товариства та виконавчих членів колегіального виконавчого органу.
24. Виконавчий орган у межах своїх повноважень відповідає за:
1) безпеку та фінансову стійкість надавача фінансових платіжних послуг;
2) безперервність надання платіжних послуг;
3) відповідність діяльності надавача фінансових платіжних послуг законодавству України;
4) забезпечення поточного управління надавачем фінансових платіжних послуг;
5) виконання рішень загальних зборів та ради;
6) щоденне управління та контроль за операціями надавача фінансових платіжних послуг;
7) реалізацію стратегії надавача фінансових платіжних послуг, плану діяльності надавача фінансових платіжних послуг;
8) відповідність діяльності надавача фінансових платіжних послуг декларації схильності до ризиків.
III. Система внутрішнього контролю
6. Загальні засади побудови системи внутрішнього контролю
25. Надавач фінансових платіжних послуг зобов’язаний створити комплексну, адекватну та ефективну систему внутрішнього контролю, що включає систему управління ризиками, контроль за дотриманням норм (комплаєнс) та внутрішній аудит, відповідно до вимог Закону про платіжні послуги, Положення про авторизацію надавачів фінансових платіжних послуг та цього Положення.
26. Система внутрішнього контролю повинна забезпечувати:
1) виконання функцій управління ризиками, контролю за дотриманням норм (комплаєнс) та внутрішнього аудиту з урахуванням розміру надавача фінансових платіжних послуг, складності, обсягів, видів, характеру здійснюваних надавачем фінансових платіжних послуг операцій, організаційної структури та профілю ризику надавача фінансових платіжних послуг;
2) досягнення надавачем фінансових платіжних послуг операційних, інформаційних цілей та комплаєнс-цілей, стратегічних цілей, визначених у його внутрішніх документах та плані діяльності.
27. Операційні цілі діяльності надавача фінансових платіжних послуг передбачають:
1) забезпечення спрямованості процедур контролю на ефективність управління активами, зобов’язаннями та позабалансовими позиціями надавача фінансових платіжних послуг з метою досягнення показників плану діяльності з одночасним уникненням або обмеженням втрат внаслідок впливу негативних внутрішніх та зовнішніх факторів;
2) здійснення систематичного процесу виявлення, вимірювання (оцінювання), моніторингу, контролю, звітування та мінімізації (зниження до контрольованого рівня) усіх видів ризиків у діяльності надавача фінансових платіжних послуг на всіх організаційних рівнях.
28. Інформаційні цілі діяльності надавача фінансових платіжних послуг можуть передбачати:
1) забезпечення цілісності, повноти та достовірності фінансової, управлінської та іншої інформації, що використовується для прийняття управлінських рішень;
2) забезпечення обміну інформацією як за вертикаллю, так і за горизонталлю організаційної структури надавача фінансових платіжних послуг.
29. Інформація, визначена в підпункті 1 пункту 28 глави 6 розділу III цього Положення, охоплює звітність надавача фінансових платіжних послуг з фінансових та нефінансових питань, що подається зовнішнім та внутрішнім користувачам.
30. Комплаєнс-цілі діяльності надавача фінансових платіжних послуг повинні передбачати забезпечення організації діяльності надавача фінансових платіжних послуг та виконання надавачем фінансових платіжних послуг вимог:
1) законодавства України про діяльність та регулювання діяльності на ринку фінансових послуг, включаючи законодавство України, що регулює діяльність на платіжному ринку;
2) ринкових стандартів;
3) правил добросовісної конкуренції та корпоративної етики;
4) правил платіжних систем;
5) щодо врегулювання конфлікту інтересів;
6) внутрішніх документів надавача фінансових платіжних послуг або відповідності діяльності надавача фінансових платіжних послуг таким вимогам.
31. Надавач фінансових платіжних послуг має право у своїх внутрішніх документах визначати додаткові цілі системи внутрішнього контролю.
32. Система внутрішнього контролю надавача фінансових платіжних послуг повинна містити такі компоненти:
1) контрольне середовище, вимоги до якого встановлені в пункті 37 глави 6 розділу III цього Положення;
2) система управління ризиками, вимоги до якої встановлені в пункті 39 глави 6 розділу III та в розділі VI цього Положення;
3) контрольна діяльність, вимоги до якої встановлені в главі 12 розділу III цього Положення;
4) контроль за інформаційними потоками та комунікаціями, вимоги до якого встановлені в главі 13 розділу III цього Положення;
5) моніторинг ефективності системи внутрішнього контролю, вимоги до якого встановлені в главі 14 розділу III цього Положення.
33. Надавач фінансових платіжних послуг визначає у своїх внутрішніх документах опис кожного з компонентів системи внутрішнього контролю, визначених у пункті 32 глави 6 розділу III цього Положення.
34. Надавач фінансових платіжних послуг запроваджує систему внутрішнього контролю шляхом:
1) прийняття внутрішніх документів із дотриманням вимог пунктів 53-57, 59 глави 10 розділу III цього Положення;
2) побудови організаційної структури надавача фінансових платіжних послуг з урахуванням вимог розділу III цього Положення;
3) впровадження компонентів системи внутрішнього контролю, визначених у пункті 32 глави 6 розділу III цього Положення.
35. Надавач фінансових платіжних послуг зобов’язаний після запровадження системи внутрішнього контролю забезпечувати її постійне та ефективне функціонування.
36. Суб’єктами внутрішнього контролю надавача фінансових платіжних послуг є:
1) відповідальний орган;
2) комітети ради;
3) виконавчий орган / невиконавчий член колегіального виконавчого органу;
4) підрозділи, безпосередньо залучені до процесу надання платіжних послуг (бізнес-підрозділи), та підрозділи підтримки діяльності надавача фінансових платіжних послуг;
5) підрозділ з управління ризиками;
6) підрозділ контролю за дотриманням норм (комплаєнс);
7) підрозділ внутрішнього аудиту.
37. Заходами, дотримання яких свідчить про належне впровадження та функціонування контрольного середовища як компонента системи внутрішнього контролю надавача фінансових платіжних послуг, є такі:
