Национальный банк Украины (НБУ) установил для банков и банковских групп, поставщиков финансовых платежных услуг и страховщиков требования к управлению риском третьих сторон, которые предусматривают проверку поставщиков и контроль за выполнением ими обязательств, сообщил регулятор.
Для банков и поставщиков платежных услуг такие контрагенты определены как TPSP-поставщики (Third-Party Service Provider) – юридические или физические лица-субъекты хозяйствования, которые непосредственно предоставляют учреждениям услуги. От работы отдельных таких поставщиков могут зависеть непрерывность деятельности финансового учреждения, выполнение им обязательств, кибербезопасность и сохранность информации.
Критической будет считаться услуга, отказ или сбой в предоставлении которой может существенно повлиять на непрерывность работы учреждения, выполнение критических функций или соблюдение законодательства.
Банки до 31 декабря 2026 года должны проверить действующие договоры с поставщиками TPSP на соответствие законодательным ограничениям, в частности, в отношении связей самих контрагентов и их конечных бенефициаров с государством-агрессором, применения к ним санкций и включения в перечень лиц, связанных с террористической деятельностью.
В случае выявления несоответствия банк должен прекратить договорные отношения в кратчайшие сроки или разработать план поэтапного сокращения объема услуг и прекращения сотрудничества. Такой план в отношении критического поставщика должен быть утвержден советом банка, а в отношении других контрагентов – соответствующим коллегиальным органом не позднее 31 марта 2027 года.
До 30 июня 2027 года банки и ответственные лица банковских групп должны обновить внутренние документы по управлению рисками и определить перечень критических поставщиков TPSP. Требования в отношении таких контрагентов будут применяться не позднее 1 июля 2027 года, а в отношении других поставщиков – с 30 июня 2028 года.
Перед заключением критического договора банки будут оценивать деловую репутацию поставщика TPSP, его конечных бенефициарных владельцев и руководителей, прозрачность структуры собственности, финансовую и операционную способность поставщика, возможную концентрацию услуг и его способность обеспечить непрерывность работы.
После заключения договора они должны постоянно контролировать, в частности, отсутствие признаков небезупречной деловой репутации у поставщика, его бенефициаров и руководителей.
Для каждого критического поставщика TPSP банк должен иметь отдельные планы на случай планового и внепланового прекращения предоставления критической услуги и обновлять их не реже одного раза в год.
В целях управления риском третьих сторон банки вправе не учитывать, в частности, услуги обязательного аудита, глобальной карточной инфраструктуры, клиринга и расчетов, международных межбанковских систем, банков-корреспондентов, а также сервисы, которые не влияют на их операционную деятельность. В то же время риски, связанные с получением таких услуг, банки должны контролировать.
Платежные учреждения, за исключением малых, учреждения электронных денег, операторы почтовой связи, имеющие право предоставлять финансовые платежные услуги, а также филиалы соответствующих иностранных учреждений должны привести свою деятельность в соответствие с новыми требованиями до 31 марта 2027 года.
Они должны оценивать риски на всех этапах сотрудничества, проверять перед заключением критически важного договора деловую репутацию поставщика TPSP, его конечных бенефициарных владельцев и руководителей, документировать результаты проверки, постоянно контролировать их соответствие установленным требованиям и учитывать возможные сбои в планах обеспечения непрерывности предоставления платежных услуг.
В случае несоответствия поставщика законодательным требованиям поставщик платежных услуг должен прекратить договорные отношения в кратчайшие сроки. Если у критически важного поставщика имеются признаки небезупречной деловой репутации или он не соответствует другим требованиям, поставщик платежных услуг может продолжить сотрудничество или подготовить план его поэтапного прекращения.
Страховщики до 30 июня 2027 года должны обновить внутренние документы по аутсорсингу и внутреннему контролю, планы непрерывной деятельности и договоры аутсорсинга, заключенные до вступления постановления в силу.
Перед передачей важной функции на аутсорсинг страховщик должен проверить наличие у потенциального исполнителя необходимых разрешений, финансовых ресурсов, квалифицированных сотрудников, систем управления рисками и планов действий на случай кризисных ситуаций или сбоев.
Страховщики также должны оценивать конфликты интересов, риск концентрации услуг, соблюдение требований по защите информации и персональных данных, а также предусматривать соответствующие обязательства аутсорсера в договоре.
Требования утверждены постановлениями правления НБУ № 70, № 72 и № 73 от 30 июня, которые вступили в силу 1 июля.
Как сообщалось, принятие до конца июня 2026 года новых требований к управлению рисками, связанными с третьими сторонами, в банках, небанковских финансовых учреждениях и у поставщиков платежных услуг было одним из структурных ориентиров новой программы расширенного финансирования EFF Международного валютного фонда для Украины.
