Про затвердження Положення про нагляд (оверсайт) платіжних систем та систем розрахунків в Україні

Платіжна організація значущої платіжної системи, крім Національного банку, зобов'язана письмово попереджати Національний банк та органи державної влади в межах їх компетенції про виявлення фактів недотримання учасниками платіжної системи встановлених вимог щодо участі в платіжній системі, що призводять або можуть призвести до виникнення ризику, що виходить за межі ризиків, установлені платіжною організацією платіжної системи.

3. Платіжна організація значущої платіжної системи, організаційною структурою якої передбачена багаторівнева структура участі, зобов'язана:

1) ідентифікувати додатковий кредитний ризик та ризик ліквідності, що можуть виникати внаслідок багаторівневої структури участі, та здійснювати їх аналіз не рідше одного разу на рік та після змін у правилах платіжної системи щодо організаційної структури;

2) забезпечити, щоб невиконання зобов'язань прямим та/або непрямим учасником платіжної системи не впливало на остаточність розрахунків непрямих учасників платіжної системи.

4. Платіжна організація значущої платіжної системи, у якій передбачена багаторівнева структура участі, має право встановлювати умови, після виконання яких непрямий учасник платіжної системи зобов'язаний стати прямим учасником платіжної системи та привести свою діяльність у відповідність до вимог щодо умов участі, визначених платіжною організацією платіжної системи.

1. Платіжна організація значущої платіжної системи зобов'язана регулярно:

1) аналізувати ризики, які виникають у діяльності платіжної системи та які можуть призвести до виникнення ризиків у діяльності інших осіб, у тому числі учасників платіжної системи, розрахунковий(і) банк(и) (за наявності), операторів послуг платіжної інфраструктури тощо, та встановлювати допустимі межі ризиків;

2) виявляти внутрішні та зовнішні загрози, що можуть спричинити виникнення ризиків у платіжній системі, та їх джерела;

3) забезпечувати звітування особи(іб) та/або підрозділу(ів), відповідальної(их) за управління ризиками та забезпечення інформаційної безпеки в платіжній системі, про результати аналізу роботи перед керівними органами платіжної організації платіжної системи.

2. Платіжна організація значущої платіжної системи зобов'язана вживати заходів щодо мінімізації та усунення наслідків впливу ризиків, що виникають у платіжній системі.

1. Платіжна організація значущої платіжної системи зобов'язана здійснювати кількісну оцінку, моніторинг, управління та контроль за фінансовими ризиками.

2. Платіжна організація значущої платіжної системи, що здійснює відкладені нетто-розрахунки, зобов'язана в надзвичайній ситуації забезпечити покриття найбільшого сукупного кредитного ризику двох прямих учасників платіжної системи, з урахуванням кредитного ризику непрямих учасників платіжної системи, за дорученням яких діють зазначені прямі учасники платіжної системи.

Платіжна організація платіжної системи, що залучає для здійснення розрахунків у платіжній системі розрахунковий(і) банк(и), зобов'язана вимагати від нього(них) виконання вимог цього пункту.

3. Платіжна організація значущої платіжної системи зобов'язана диверсифікувати ліквідні активи за джерелами їх надходження та регулярно перевіряти доступність ліквідних активів.

4. Платіжна організація значущої платіжної системи, у якій передбачено розподіл непокритого дефіциту ліквідності між учасниками платіжної системи, зобов'язана узгодити з учасниками платіжної системи порядок розподілу непокритого дефіциту ліквідності між учасниками платіжної системи та довести його до відома учасників платіжної системи.

5. Платіжна організація значущої платіжної системи зобов'язана контролювати свої грошові потоки та операційні витрати.

6. Платіжна організація значущої платіжної системи не має права вкладати активи учасників платіжної системи у цінні папери учасників платіжної системи як прямих, так і непрямих та цінні папери їх афілійованих осіб.

7. Платіжна організація значущої платіжної системи не має права використовувати активи учасників платіжної системи для власної комерційної діяльності, у тому числі для надання кредитів.

8. Платіжна організація значущої платіжної системи зобов'язана не рідше одного разу на рік аналізувати потенційні зміни доходів та операційних витрат, а також можливість виникнення значних разових збитків, за умови підвищення загального комерційного ризику.

9. Платіжна організація значущої платіжної системи, що здійснює розрахунки через розрахунковий(і) банк(и), зобов'язана контролювати концентрацію поточного та потенційного майбутнього кредитних ризиків та ризику ліквідності, на які вона наражається в результаті такої взаємодії.

10. Платіжна організація значущої платіжної системи має право вимагати забезпечення від учасників платіжної системи для управління кредитним ризиком.

Платіжна організація значущої платіжної системи, що вимагає забезпечення, зобов'язана:

1) приймати у забезпечення тільки активи з низьким рівнем кредитного ризику, ризику ліквідності та ринкового ризику;

2) здійснювати аналіз потенційних змін вартості забезпечення та ринкової ситуації;

3) диверсифікувати активи, які вона приймає як забезпечення;

4) мінімізувати ризики, пов'язані з використанням активів, прийнятих у забезпечення, що виражені в іноземній валюті та/або розміщені за межами України, та/або емітовані нерезидентом України.

1. Платіжна організація значущої платіжної системи зобов'язана:

1) забезпечувати своєчасний остаточний розрахунок;

2) використовувати для розрахунків активи з мінімальним або нульовим кредитним ризиком та ризиком ліквідності.

2. Платіжна організація значущої платіжної системи, що уклала договір про здійснення розрахунків у платіжній системі з розрахунковим(и) банком(ами), зобов'язана узгодити строк здійснення остаточного розрахунку розрахунковим(и) банком(ами).

3. Платіжна організація значущої платіжної системи, що здійснює транскордонні перекази, зобов'язана забезпечувати своєчасний та ефективний обмін інформацією в платіжній системі з урахуванням міжнародних стандартів (правил та форматів передавання повідомлень і контрольних даних для ідентифікації фінансових інструментів, контрагентів тощо).

4. Платіжна організація значущої платіжної системи має право здійснювати розрахунки в платіжній системі самостійно з урахуванням вимог законодавства України або через один чи більше розрахункових банків.

1. Платіжна організація значущої платіжної системи-резидент для забезпечення кіберстійкості платіжної системи зобов'язана:

1) установити чіткий розподіл функцій, обов'язків, повноважень та відповідальності за забезпечення кіберстійкості платіжної системи та забезпечити належний рівень управління цим процесом;

2) аналізувати специфіку діяльності платіжної системи (операції/послуги, процеси, інформацію, персонал) і зовнішні взаємозв'язки та залежності, що можуть становити загрозу для кіберстійкості платіжної системи, за ступенем їх критичності для діяльності платіжної системи у разі кіберінциденту та/або кібератаки на неї;

3) вживати заходів для забезпечення захисту, виявлення, реагування на кіберзагрози, кібератаки та кіберінциденти, що можуть мати вплив на здійснення/надання критичних операцій/послуг платіжної системи, та оперативного відновлення після них;

4) вживати заходів для підвищення рівня обізнаності персоналу, що забезпечує діяльність платіжної системи, щодо наявних та потенційних кіберзагроз, що можуть мати вплив на безперервність діяльності платіжної системи, процедур повідомлення про виникнення кіберінцидентів і кібератак та реагування на них;

5) забезпечувати навчання та підвищення кваліфікації працівників, на яких покладено обов'язки, пов'язані з управлінням операційним ризиком та забезпеченням кіберстійкості платіжної системи;

6) здійснювати тестування ефективності заходів, передбачених платіжною організацією платіжної системи для забезпечення кіберстійкості платіжної системи не рідше одного разу на рік.

2. Платіжна організація значущої платіжної системи зобов'язана повідомити заінтересованим особам інформацію про порядок:

1) повідомлення заінтересованих осіб про виникнення надзвичайної ситуації;

2) взаємодії та комунікацій у надзвичайній ситуації між працівниками платіжної організації платіжної системи, а також платіжною організацією платіжної системи та заінтересованими особами;

3) дій щодо забезпечення виконання/надання критичних операцій/послуг у разі відмови телекомунікаційних мереж та/або окремих складових програмно -технічного забезпечення.

У разі оновлення інформації, зазначеної в цьому пункті, платіжна організація значущої платіжної системи зобов'язана повідомити заінтересованим особам оновлену інформацію не пізніше ніж через 15 календарних днів після затвердження змін до Плану заходів.

3. Платіжна організація значущої платіжної системи зобов'язана забезпечити незалежність виконання функцій та обов'язків щодо реалізації Плану заходів від конкретних працівників платіжної організації платіжної системи.

4. Платіжна організація значущої платіжної системи зобов'язана створити постійно діючу структурну одиницю або визначити посадову особу, у положенні/посадовій інструкції якої визначені обов'язки та відповідальність за розроблення, перегляд, оновлення та тестування Плану заходів.

5. Платіжна організація значущої платіжної системи зобов'язана в надзвичайній ситуації забезпечити створення тимчасової структурної одиниці, що формується на час надзвичайної ситуації та ліквідації її наслідків та відповідає за реалізацію Плану заходів, у тому числі проведення консультацій із заінтересованими особами та повідомлення про виникнення надзвичайної ситуації.

6. Платіжна організація платіжної системи має право визнати учасника значущої платіжної системи таким, від якого вона критично залежить та за потреби встановити до такого учасника платіжної системи додаткові вимоги щодо управління ризиками в платіжній системі, про що повідомляє цього учасника протягом п'яти робочих днів з моменту такого визнання.

7. Платіжна організація значущої платіжної системи зобов'язана забезпечувати наявність зв'язку для взаємодії між працівниками платіжної організації платіжної системи, а також між платіжною організацією платіжної системи та заінтересованими особами під час надзвичайної ситуації.

8 Платіжна організація значущої платіжної системи зобов'язана вести, постійно оновлювати та мати в наявності контактну інформацію про працівників, які забезпечують виконання/надання критичних операцій/послуг платіжної системи, а також контактних осіб заінтересованих осіб, у тому числі з їх резервних робочих зон (за їх наявності).

9. Платіжна організація значущої платіжної системи зобов'язана в разі настання надзвичайної ситуації мінімізувати передавання інформації фіксованим зв'язком і рухомим (мобільним) зв'язком, передбачити можливість передавання інформації через альтернативні канали зв'язку.

10. Платіжна організація значущої платіжної системи для забезпечення безперервності діяльності повинна здійснювати організаційні та технічні заходи, визначені в пункті 6 розділу XIII цього Положення, та забезпечити належний контроль за їх виконанням.

1. Платіжна організація системно важливої платіжної системи зобов'язана:

1) здійснювати розрахунки в режимі реального часу або забезпечувати завершення розрахунків упродовж операційного дня, у тому числі в надзвичайній ситуації;

2) відновити виконання/надання критичних операцій/послуг не пізніше ніж через дві години після виникнення події, що викликала настання надзвичайної ситуації;

3) забезпечувати наявність резервної робочої зони;

4) забезпечувати початок роботи резервної робочої зони одразу після виникнення надзвичайної ситуації, що несе загрозу для безперервності діяльності платіжної системи;

5) підтримувати в резервній робочій зоні достатні матеріальні та трудові ресурси до відновлення штатного режиму діяльності платіжної системи;

6) забезпечувати фізичну відокремленість каналів зв'язку основної та резервної робочих зон;

7) забезпечувати в надзвичайних ситуаціях надання послуг у платіжній системі на рівні, не нижчому, ніж планові показники операційної діяльності, визначені у внутрішніх документах.

2. Платіжна організація соціально важливої платіжної системи зобов'язана:

1) забезпечувати в надзвичайних ситуаціях надання послуг у платіжній системі на рівні, не нижчому, ніж планові операційні показники діяльності платіжної системи, визначені у документах платіжної системи;

2) інформувати заінтересованих осіб, а за потреби громадськість про основні рішення керівних органів платіжної організації платіжної системи.

1. Платіжна організація платіжної системи (крім внутрішньобанківської платіжної системи), її учасники та оператори послуг платіжної інфраструктури, які надають послуги в цій платіжній системі, діють відповідно до правил цієї платіжної системи, інших документів платіжної системи та вимог законодавства з питань діяльності платіжних систем та переказу коштів.

2. Платіжні організація платіжної систем-резидент, учасник платіжної системи зобов'язані вести реєстр пунктів приймання та виплати готівки, платіжних пристроїв та забезпечувати актуальність даних у ньому (у разі їх наявності).

3. Платіжні організація платіжної систем-резидент зобов'язана забезпечити зберігання інформації про кожну операцію з переказу коштів, здійснену в платіжній системі, у системі обліку платіжної організації, а учасник платіжної системи - у системі обліку платіжної організації та учасника платіжної системи, у встановленому ними порядку, з можливістю відновлення даних про дату здійснення операції (із зазначенням годин, хвилин та секунд), ініціатора та отримувача переказу, місця ініціювання та виплати переказу, суму та валюту переказу коштів, форму розрахунків (готівкова чи безготівкова).

4. Платіжна організація платіжної системи зобов'язана доводити інформацію, отриману від Національного банку, що стосується надання послуг учасниками та операторами послуг платіжної інфраструктури, до їх відома для використання в роботі.

5. Платіжні організації платіжних систем-резиденти та учасники платіжних систем для забезпечення безперервності діяльності повинні здійснювати організаційні та технічні заходи, визначені в підпунктах 1 - 6 пункту 6 розділу XIII цього Положення, та забезпечити належний контроль за їх виконанням.

6. Організаційні та технічні заходи для забезпечення безперервності діяльності:

1) створення детальної схеми комплексу програмно-апаратних засобів із описом функціонального призначення та взаємозв'язку його компонентів;

2) визначення переліку критично важливих компонентів комплексу програмно-апаратних засобів та особливо важливих даних, необхідних для надання послуг, та запровадження політики їх резервування та відновлення;

3) забезпечення роботи критично важливих компонентів комплексу програмно-апаратних засобів джерелами безперебійного електроживлення;

4) здійснення резервного копіювання баз даних та інших особливо важливих даних;

5) забезпечення моніторингу всіх компонентів комплексу програмно-апаратних засобів, реєстрації та аналізу інцидентів, пов'язаних із порушенням безперервності діяльності;

6) забезпечення дотримання вимог законодавства України у сфері інтелектуальної власності під час використання програмного забезпечення на всіх компонентах комплексу програмно-апаратних засобів;

7) зберігання електронних архівів, архівів особливо важливих даних, а також програмних засобів, що необхідні для відновлення змісту баз даних, на зовнішніх носіях щонайменше в одному примірнику в приміщенні за основним місцезнаходженням та додатковий примірник у приміщенні (кімнаті), територіально віддаленому(ній) від основного;

8) здійснення аналізу можливих загроз безперервному функціонуванню комплексу програмно-апаратних засобів, забезпечення мінімізації їх можливого впливу та планування дій для випадків їх можливої реалізації;

9) розроблення інструкцій дій обслуговуючого персоналу щодо попередження порушень у разі настання надзвичайної ситуації та відновлення функціонування комплексу програмно-апаратних засобів, їх аналіз та перегляд не рідше одного разу на рік;

10) забезпечення наявності інструкцій із супроводження та експлуатації комплексу програмно-апаратних засобів;

11) навчання обслуговуючого персоналу супроводженню та експлуатації комплексу програмно-апаратних засобів і діям для відновлення його функціонування;

12) визначення порядку внесення змін до програмного забезпечення та конфігурації всіх компонентів комплексу програмно-апаратних засобів;

13) забезпечення обслуговування та технічної підтримки [надання консультацій користувачам (включаючи проблеми, що виникли під час експлуатації), ремонт та заміна непрацюючого обладнання, установлення оновлень/нових версій та виправлень помилок програмного забезпечення] усіх компонентів комплексу програмно-апаратних засобів;

14) забезпечення взаємодії та комунікацій у надзвичайній ситуації з користувачами та заінтересованими особами.

Вимоги до резервного копіювання баз даних та інших особливо важливих даних, а також інші вимоги щодо забезпечення безпеки електронних платежів та захисту даних визначаються іншими нормативно-правовими актами Національного банку.

7. Платіжна організація платіжної системи-резидент, учасник платіжної системи та оператори послуг платіжної інфраструктури після виникнення кожного порушення безперервності діяльності зобов'язані документально зафіксувати інформацію про:

1) дату та час виникнення порушення безперервності діяльності платіжної системи;

2) тривалість порушення безперервності діяльності платіжної системи;

3) причини виникнення порушення безперервності діяльності платіжної системи;

4) види послуг, на безперервність яких вплинуло порушення;

5) заходи, ужиті для відновлення діяльності та недопущення надалі порушень безперервності діяльності платіжної системи, - для платіжної організації платіжної системи-резидента;

6) заходи, ужиті для відновлення діяльності та недопущення надалі порушень безперервності діяльності в платіжній системі, - для учасників платіжних систем та операторів послуг платіжної інфраструктури.

Платіжна організація платіжної системи-резидент, учасник платіжної системи та оператори послуг платіжної інфраструктури зобов'язані протягом трьох робочих днів після виникнення кожного порушення безперервності діяльності надавати Національному банку інформацію, зазначену в підпунктах 1 - 6 пункту 7 розділу XIII цього Положення.

Інформація про порушення безперервності діяльності платіжної системи за наведеними в підпунктах 1-6 пункту 7 розділу XIII цього Положення показниками надсилається Національному банку засобами системи електронної пошти Національного банку (у разі підключення)/на офіційну електронну поштову скриньку Національного банку або на паперовому носії засобами поштового зв'язку (у разі неможливості у наслідок порушення безперервності діяльності платіжної системи направлення повідомлення засобами системи електронної пошти Національного банку).

Національний банк визначає порядок обміну інформацією щодо порушення безперервності діяльності створених ним платіжних систем, для здійснення їх оверсайта у документах цих платіжних систем.

8. Платіжні організації платіжних систем-резиденти, учасники платіжних систем та оператори послуг платіжної інфраструктури зобов'язані здійснювати реєстрацію звернень користувачів з питань діяльності платіжної системи та переказу коштів, включаючи звернення щодо помилкових та неналежних переказів, шляхом унесення відомостей до журналу реєстрації звернень користувачів. Журнал ведеться в електронній формі та повинен містити:

1) порядковий номер;

2) дату надходження звернення;

3) дату звернення;

4) номер звернення;

5) прізвище, ім'я, по батькові особи, яка звертається;

6) вид звернення (усне чи письмове);

7) короткий зміст звернення;

8) прізвище, ім'я та по батькові відповідального працівника, який зареєстрував звернення;

9) рішення, прийняті за результатами звернення;

10) дату та номер вихідного документа (у разі надсилання відповіді в письмовій формі);

11) дату відповіді на звернення (якщо відповідь надається в телефонному режимі або електронною поштою).

Журнал реєстрації звернень користувачів ведеться із забезпеченням захисту інформації, що міститься в ньому, відповідно до законодавства України.

9. Платіжна організація платіжної системи-резидент, учасник платіжної системи та оператор послуг платіжної інфраструктури зобов'язані мати власний офіційний вебсайт та корпоративну електронну поштову скриньку.

10. Платіжна організація платіжної системи-резидент зобов'язана оприлюднювати на власному офіційному вебсайті таку актуальну інформацію:

1) відомості, що підтверджують унесення платіжної системи до Реєстру;

2) опис організаційної структури платіжної системи;

3) склад керівних органів платіжної організації платіжної системи;

4) умови участі в платіжній системі;

5) перелік учасників платіжної системи;

6) порядок припинення участі та виключення учасника платіжної системи, який порушує вимоги щодо участі в платіжній системі або більше їм не відповідає;

7) опис послуг, що надаються платіжною системою, включаючи всіх платні послуги;

8) вартість послуг, що надаються користувачам платіжної системи (розмір комісійної винагороди/плату за здійснення операції), крім систем міжбанківських розрахунків;

9) перелік прав і обов'язків платіжної організації платіжної системи та її учасників;

10) порядок вирішення спорів між учасниками та користувачами платіжної системи;

11) порядок (умови) здійснення переказу коштів;

12) місця розташування програмно-технічних комплексів самообслуговування, пунктів приймання та виплати готівки, які використовуються для здійснення переказів коштів у платіжній системі (за наявності);

13) інформацію щодо номера контактного телефону, поштової адреси та адреси корпоративної електронної поштової скриньки;

14) найменування валют переказу коштів;

15) курси обміну валют.

Вимоги підпунктів 2, 4 - 6, 9, 10 пункту 10 розділу XIII цього Положення не поширюються на платіжні організації внутрішньобанківських платіжних систем.

11. Учасник платіжної системи зобов'язаний оприлюднювати на власному офіційному вебсайті та моніторі платіжних пристроїв актуальну інформацію щодо:

1) свого найменування та місцезнаходження;

2) платіжних систем, учасниками яких вони є, а також найменування та місцезнаходження платіжних організацій зазначених платіжних систем;

3) послуг, які ними надаються;

4) порядку (умов) здійснення переказу коштів;

5) строків зарахування коштів отримувачам;

6) найменування отримувачів коштів, на користь яких здійснюються перекази коштів та з якими укладені відповідні договори (за наявності таких договорів);

7) вартості послуг з переказу коштів (розмір комісійної винагороди/плата за здійснення операції);

8) місця розташування програмно-технічних комплексів самообслуговування (за наявності);

9) порядку вирішення спорів між учасниками та користувачами платіжних систем;

10) номера контактного телефону, поштової адреси та адреси корпоративної електронної поштової скриньки;

11) найменувань валют переказу коштів.

Учасники платіжних систем зобов'язані оприлюднювати на власному офіційному вебсайті актуальну інформацію щодо пунктів приймання та виплати готівки, які використовуються ними для здійснення переказу коштів.

Учасники платіжних систем зобов'язані оприлюднювати на моніторі платіжних пристроїв актуальну інформацію щодо режиму роботи платіжних пристроїв.

Учасник платіжної системи, який крім власного офіційного вебсайта використовує для надання послуг з переказу коштів у платіжній(их) системі(ах) інший(і) вебсайт(и), зобов'язаний розміщувати на таких вебсайтах посилання на власний офіційний вебсайт.

12. Платіжні організації платіжної системи-резидент, учасник платіжної системи зобов'язані оприлюднювати в пунктах приймання та виплати готівки, які використовуються ними для здійснення переказу коштів (у разі їх наявності), інформацію щодо:

1) найменування платіжної системи;

2) найменування та місцезнаходження платіжної організації/учасника платіжної системи;

3) послуг, які ними надаються згідно з правилами платіжної системи, узгодженими Національним банком;

4) номера контактного телефону, поштової адреси та адреси електронної пошти;

5) режиму роботи.

Платіжні організації платіжних систем-резиденти, учасники платіжних систем зобов'язані в пунктах приймання та виплати готівки, які використовуються ними для здійснення переказу коштів, на вимогу клієнта надавати інформацію, визначену пунктом 11 розділу XIII цього Положення.

13. Платіжна організація платіжної системи зобов'язана надавати роз'яснення учасникам платіжної системи стосовно їх участі в платіжній системі та пов'язаних із цим ризиків та проводити консультації:

1) з новими учасниками платіжної системи - перед початком надання ними послуг у платіжній системі;

2) з діючими учасниками платіжної системи - не рідше одного разу на рік.

14. Учасники платіжних систем, які використовують комерційне найменування/торговельну марку/знак для товарів та послуг, що відрізняються від найменування платіжної системи, послуги якої надаються, зобов'язані під час надання послуг із переказу коштів та/або їх рекламування зазначати найменування платіжної системи перед комерційним найменуванням/торговельною маркою/знаком для товарів та послуг. Найменування платіжної системи подається шрифтом та/або розміром не менше половини розміру шрифту та/або розміру, яким подано комерційне найменування/торговельну марку/знак для товарів та послуг.

15. Платіжна організація платіжної системи зобов'язана надавати учасникам платіжної системи, розрахунковому банку платіжної системи, оператору послуг платіжної інфраструктури інформацію про порядок:

1) повідомлення заінтересованих осіб про виникнення надзвичайної ситуації;

2) взаємодії та комунікацій у надзвичайній ситуації між працівниками платіжної організації платіжної системи, а також платіжною організацією платіжної системи та заінтересованими особами;

3) дій щодо забезпечення виконання/надання критичних операцій/послуг у разі відмови телекомунікаційних мереж та/або окремих складових програмно-технічного забезпечення.

Платіжна організація платіжної системи зобов'язана надавати учасникам платіжної системи, розрахунковому банку платіжної системи, оператору послуг платіжної інфраструктури інформацію, необхідну для забезпечення безперервності діяльності платіжної системи та управління ризиками в платіжній системі.

16. Платіжна організація платіжної системи зобов'язана забезпечити збереження та нерозголошення інформації, що може загрожувати безпеці та цілісності платіжної системи, та інформації, що містить комерційну таємницю та/або конфіденційну інформацію про учасників платіжної системи.

17. Платіжна організація платіжної системи зобов'язана не рідше одного разу на рік здійснювати контроль за діяльністю своїх учасників та операторів послуг платіжної інфраструктури в межах послуг, що надаються ними в платіжній системі, та за дотриманням ними вимог правил платіжної системи і вимог, встановлених іншими документами платіжної системи (у разі їх наявності).

Платіжна організація міжнародної карткової платіжної системи зобов'язана виконувати вимоги, установлені в цьому пункті, щодо учасників, яким платіжною організацією цієї платіжної системи надано право проводити розрахунки за операціями інших учасників у цій платіжній системі.

18. Платіжна організація платіжної системи-резидент (крім Національного банку) зобов'язана фіксувати результати здійсненого контролю за учасниками та операторами послуг платіжної інфраструктури шляхом унесення відомостей до журналу реєстрації результатів контролю.

Журнал реєстрації результатів контролю ведеться в електронній формі та повинен містити:

1) порядковий номер;

2) повну назву учасника платіжної системи/оператора послуг платіжної інфраструктури, контроль за яким здійснено;

3) дату(и) здійснення контролю та період, за який здійснено контроль/дату виявлення порушення;

4) прізвище, ім'я, по батькові відповідального(их) працівника(ів), який(і) здійснював(ли) контроль/виявив (ли) порушення;

5) короткий опис заходів, вжитих платіжною організацією платіжної системи з метою здійснення контролю (у разі наявності);

6) короткий опис виявлених порушень (у разі наявності);

7) короткий опис заходів, вжитих за результатами здійсненого контролю у разі виявлення порушень.

Журнал реєстрації результатів контролю ведеться із дотриманням вимог щодо забезпечення захисту інформації, що міститься в ньому, відповідно до законодавства України.

19. Оператор послуг платіжної інфраструктури зобов'язаний:

1) виявляти та управляти операційними ризиками, що притаманні послугам, які надаються ним у платіжній системі;

2) забезпечувати належний рівень захисту інформації відповідно до вимог законодавства України;

3) забезпечувати доступність та надійність критичних послуг, які він надає в платіжній системі;

4) забезпечувати своєчасне відновлення надання критичних послуг у разі настання надзвичайної ситуації;

5) повідомляти платіжну організацію платіжної системи/учасника платіжної системи, якій(ому) він надає послуги, про порушення своєї діяльності, що можуть вплинути на безперервність діяльності платіжної системи;

6) забезпечувати ефективний обмін інформацією з платіжною організацією/учасником платіжної системи, якій(ому) він надає послуги;

7) погоджувати з платіжною організацією платіжної системи/учасником платіжної системи, якій(ому) він надає послуги, передавання виконання функцій іншому оператору послуг платіжної інфраструктури, відомості щодо якого внесені до Реєстру, та забезпечити отримання необхідної інформації платіжною організацією/учасником платіжної системи щодо наданих послуг;

8) повідомляти платіжну організацію платіжної системи/учасника платіжної системи, якій(ому) він надає послуги, про внесення змін до програмно-технічних засобів, які оператор послуг платіжної інфраструктури використовує для надання послуг у платіжній системі;

9) забезпечити зберігання інформації про кожну операцію в розрізі платіжних систем, у яких він надає послуги, у встановленому ним порядку, з можливістю відновлення даних про дату здійснення операції (із зазначенням годин, хвилин та секунд), ініціатора та отримувача переказу, місця ініціювання та виплати переказу, суму та валюту переказу коштів;

10) зберігати інформацію про кожну операцію з переказу коштів у міжнародній платіжній системі, створеній нерезидентом, відповідно до правил такої платіжної системи;

11) надавати свої послуги згідно з узгодженими з Національним банком умовами та порядком його діяльності;

12) здійснювати організаційні та технічні заходи, визначені в підпунктах 1 - 6 пункту 6 розділу XIII цього Положення, та забезпечити належний контроль за їх виконанням;

13) опубліковувати на власному офіційному вебсайті повне найменування юридичних осіб (платіжних організацій платіжних систем та учасників платіжних систем), яким він надає послуги як оператор послуг платіжної інфраструктури а також адресу своєї корпоративної електронної поштової скриньки.

20. Учасник платіжної системи зобов'язаний здійснювати контроль за діяльністю оператора(ів) послуг платіжної інфраструктури в межах послуг, що надаються ним(и) цьому учаснику в платіжній системі.

1. Національний банк здійснює такі типи оцінювання платіжних систем:

1) оцінювання платіжної системи, яка планує здійснювати діяльність в Україні;

2) комплексне оцінювання значущої платіжної системи/платіжної системи, створеної Національним банком;

3) оцінювання окремих аспектів діяльності платіжної системи (далі -тематичне оцінювання).

2. Національний банк розробляє методики для здійснення оцінювання платіжних систем та їх самооцінювання з урахуванням методології оцінювання дотримання міжнародних стандартів оверсайта платіжних систем, розробленої Комітетом з платіжних і розрахункових систем Банку міжнародних розрахунків і Технічним комітетом Міжнародної організації комісій з цінних паперів.

3. Національний банк проводить оцінювання платіжної системи, яка планує здійснювати діяльність в Україні, шляхом аналізу документів, що подаються до Національного банку відповідно до нормативно-правового акта Національного банку з питань реєстрації платіжних систем, учасників платіжних систем та операторів послуг платіжної інфраструктури.

4. Національний банк здійснює комплексне оцінювання значущої платіжної системи на підставі затвердженого Національним банком плану комплексного оцінювання значущих платіжних систем (далі - план оцінювання). Комплексне оцінювання значущих платіжних систем, створених Національним банком, може здійснюватись також на підставі окремого розпорядчого документа Національного банку.

План оцінювання складається на один рік і затверджується до 01 березня наступного року.

Національний банк розміщує план оцінювання на сторінках офіційного Інтернет-представництва Національного банку.

Національний банк має право не включати до плану оцінювання платіжну систему, створену нерезидентом, у разі отримання від центрального банку країни, резидентом якої є платіжна організація цієї платіжної системи, інформації про проведене або заплановане оцінювання цієї міжнародної платіжної системи.

5. Національний банк здійснює комплексне оцінювання:

1) системно важливої платіжної системи не рідше одного разу на два роки;

2) соціально важливої та важливої платіжної системи не раніше ніж через 36 місяців із дня закінчення останнього комплексного оцінювання цієї платіжної системи.

Строк проведення комплексного оцінювання платіжної системи не може перевищувати шести місяців і збігатися з терміном проведення планової виїзної перевірки. Національний банк має право за наявності обґрунтованих причин збільшити строк проведення оцінювання платіжної системи до одного року.

6. Національний банк здійснює комплексне оцінювання значущої платіжної системи не раніше ніж через шість місяців із дня визнання її значущою (крім комплексного оцінювання значущих платіжних систем, створених Національним банком).

7. Національний банк повідомляє платіжну організацію значущої платіжної системи про комплексне оцінювання платіжної системи не менше ніж за 30 календарних днів до початку оцінювання платіжної системи.

Повідомлення про комплексне оцінювання надсилається в письмовій формі та містить, зокрема, таку інформацію:

1) дати початку та закінчення комплексного оцінювання платіжної системи;

2) період, що підлягає оцінюванню платіжної системи.

8. Платіжна організація значущої платіжної системи зобов'язана здійснювати самооцінювання відповідно до методики, розробленої Національним банком (далі - Методика), та не пізніше ніж за п'ять робочих днів до початку комплексного оцінювання надіслати висновки до Національного банку за встановленою ним формою та документи, що підтверджують наведену в них інформацію (крім правил платіжної системи, узгоджених Національним банком). Щодо платіжних систем, платіжною організацією яких є Національний банк, процеси самооцінювання та оцінювання є тотожними.

Платіжна організація платіжної системи зобов'язана надавати актуальну на момент направлення інформацію за результатами самооцінювання платіжної системи.

Платіжна організація платіжної системи незалежно від важливості платіжної системи має право здійснити її самооцінювання за власною ініціативою та надіслати висновки до Національного банку.

9. Джерелом інформації під час здійснення Національним банком оцінювання платіжних систем є, зокрема:

1) документи платіжної системи;

2) План заходів;

3) результати моніторингу платіжних систем;

4) інформація за результатами перевірок;

5) інформація та документи, отримані від об'єктів оверсайта на запит Національного банку;

6) інформація, що надходить від органів державної влади;

7) інформація, що надходить від міжнародних організацій та центральних банків, з якими Національний банк здійснює спільний оверсайт платіжних систем;

8) інформація, що надходить від користувачів платіжної системи;

9 висновки зовнішніх аудиторів;

10) внутрішні звіти керівних органів платіжної організації платіжної системи, зборів учасників платіжної системи, а також звіти за результатами внутрішнього аудиту;

11) протоколи за результатами двосторонніх та багатосторонніх переговорів Національного банку з платіжною організацією платіжної системи, учасниками платіжної системи, операторами послуг платіжної інфраструктури;

12) висновки за результатами самооцінювання;

13) публічно доступна інформація про платіжну систему.

10. Національний банк під час проведення оцінювання має право проводити співбесіду (інтерв'ю) з керівником (працівниками) платіжної організації платіжної системи з відповідним оформленням таких співбесід.

11 Комплексне оцінювання значущої платіжної системи, платіжною організацією якої є Національний банк, здійснюється групою фахівців, кількісний та особовий склад якої затверджується окремим розпорядчим документом Національного банку. До складу групи фахівців, крім працівників Національного банку, можуть бути включені представники інших установ, підприємств та організацій.

12. За результатами комплексного оцінювання значущої платіжної системи складається звіт (далі - Звіт). Звіт складається у двох примірниках за формою, наведеною в додатку 1 до цього Положення.

13. У Звіті зазначається така інформація:

1) найменування платіжної системи;

2) повне найменування платіжної організації платіжної системи;

3) дата визнання платіжної системи значущою;

4) категорія важливості платіжної системи;

5) період діяльності, за який здійснено оцінювання платіжної системи, і термін здійснення оцінювання платіжної системи (дати початку і закінчення);

6) кількість прямих учасників;

7) кількість непрямих учасників;

8) повне найменування розрахункового(их) банку(ів);