Политика по управлению рисками в платежной системе Кыргызской Республики (к постановлению Правления Национального банка Кыргызской Республики

Приложение к постановлению Правления Национального банка Кыргызской Республики от 15 июня 2016 года № 25/8

Политика по управлению рисками в платежной системе Кыргызской Республики (В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

1. (Утратил силу в соответствии с постановлением Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

2. Управление рисками в платежной системе Кыргызской Республики - это деятельность Национального банка Кыргызской Республики (далее - Национальный банк), финансово-кредитных организаций, специализированных финансово-кредитных или кредитных учреждений, операторов платежных систем и платежных организаций и их агентов, предоставляющих платежные услуги населению на территории Кыргызской Республики (далее - участники платежных систем), направленная на обеспечение бесперебойности функционирования платежной системы Кыргызской Республики путем идентификации, оценки и анализа, мониторинга, предупреждения и снижения рисков.

(В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

3. Настоящая Политика направлена на организацию процесса управления рисками, возникающими в деятельности субъектов платежных систем Кыргызской Республики, для поддержания надежности и эффективности платежной системы Кыргызской Республики.

4. Настоящая Политика определяет основные цели, задачи и принципы управления рисками в платежной системе Кыргызской Республики, методы его организации и обеспечения.

5. В целях реализации настоящей Политики разрабатываются инструкции и процедуры по осуществлению мер, направленных на ограничение рисков и принятие управленческих решений по регулированию платежных систем, функционирующих на территории Кыргызской Республики.

Автоматизированная торговая система Национального банка Кыргызской Республики (АТС) - аппаратно-программный комплекс Национального банка, предназначенный для автоматизации проведения операций на финансовых рынках Кыргызской Республики. Бесперебойное функционирование платежной системы - организация и обеспечение работы платежной системы по предупреждению нарушения требований законодательства, правил платежной системы, заключенных договоров и соглашений, использования информационно-коммуникационных технологий, технического обслуживания платежной системы при взаимодействии участников платежной системы, а также восстановлению надлежащего функционирования платежной системы в случае их нарушения. Государственные ценные бумаги (далее - ГЦБ) - ценные бумаги, выпущенные Национальным банком и Министерством финансов Кыргызской Республики. Прямой участник платежной системы - это участник, имеющий счет в Национальном банке и прямое коммуникационное соединение с системой, идентифицируемый системой через банковский идентификационный код (БИК) в соответствии со "Справочником банковских идентификационных кодов участников платежной системы". Прямые участники могут иметь ограниченный доступ к системе в соответствии с законодательством и нормативными актами Национального банка. Риски в платежной системе - вероятность наступления потенциальных событий, возникающих под влиянием внешних и/или внутренних факторов, указанных в Главе 4, которые могут оказать негативное воздействие или ненадлежащее выполнение целей, задач и функций платежной системы Кыргызской Республики. Компоненты платежной системы - платежные системы, предназначенные для проведения межбанковских платежей и расчетов (система крупных платежей, системы розничных платежей), и другие взаимосвязанные технологии платежных систем, посредством которых осуществляются платежи и расчеты в рамках правил платежной системы. Система крупных платежей - система, в которой расчеты между финансово-кредитными организациями происходят индивидуально по каждому платежному документу согласно правилам и процедурам системы и отражаются непосредственно на счетах участников платежных систем, открытых в Национальном банке. Система розничных платежей - система, предназначена для обработки мелких розничных и регулярных платежей участников, по которым не требуется немедленное проведение окончательного расчета. Субъектами платежной системы являются участники платежных систем, оказывающие платежные услуги в соответствии с нормативными правовыми актами Кыргызской Республики. Специализированный (специальный) участник платежной системы - участник, не имеющий счета в Национальном банке, но имеющий прямое коммуникационное соединение с системой и осуществляющий прямое взаимодействие с системой. FIFO (first in first out) - принцип обработки платежей, при котором платежи обрабатываются последовательно в порядке их поступления и в соответствии с установленными приоритетами. Поставка против платежа (DVP) - принцип расчета, который гарантирует, что окончательный перевод одного актива происходит сразу и только в том случае, если происходит окончательный перевод другого актива. Активы могут быть в виде валюты, ценных бумаг и других финансовых инструментов. Платеж против платежа (PVP) - принцип расчета, который предусматривает, что окончательный перевод одной иностранной валюты произойдет только в том случае, если будет произведен окончательный перевод другой иностранной валюты или валют. (В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

6. Основные цели управления рисками в платежной системе Кыргызской Республики заключаются в обеспечении бесперебойности функционирования платежной системы Кыргызской Республики и снижении степени влияния факторов риска на системный риск, что в целом будет способствовать повышению эффективности и безопасности платежной системы Кыргызской Республики.

7. Достижение целей управления рисками в платежной системе Кыргызской Республики предполагают выполнение следующих задач:

- прогнозирование наступления неблагоприятных событий, при реализации которых может быть нарушено бесперебойное функционирование платежной системы;

- содействие устойчивой работе платежной системы;

- предупреждение и предотвращение возможности реализации рисков;

- выявление рисков и определение причин их возникновения;

- сдерживание рисков;

- оценка уровня рисков;

- мониторинг и анализ рисков на постоянной основе;

- организация процесса своевременного устранения последствий реализации рисков и создание механизмов восстановления работоспособности платежных систем в случае ее нарушения;

- определение способов достижения и поддержания приемлемого уровня рисков в платежной системе;

- обеспечение информационного взаимодействия субъектов платежной системы в целях реализации мероприятий, направленных на снижение выявленных рисков;

- выработка и осуществление мер, направленных на противодействие факторам рисков, и принятие управленческих решений по регулированию платежных систем;

- оперативное реагирование процесса управления рисками к изменяющимся условиям рынка услуг платежной инфраструктуры.

8. Управление рисками в платежной системе Кыргызской Республики осуществляется путем установления мер по обеспечению выполнения следующих основных принципов.

8.1. Распределение ответственности по окончательности и безотзывности платежей.

8.1.1. Платежи, расчеты по которым проведены в системе крупных платежей Национального банка, являются безотзывными в момент дебетования счета банка-плательщика, и окончательными - в момент кредитования счета банка-получателя, открытых в Национальном банке. Система крупных платежей должна обеспечивать одновременность выполнения этих двух операций. В системе крупных платежей Национального банка расчеты осуществляются только по кредитовым поручениям. Исключением являются чистые дебетовые позиции, поступающие из систем розничных платежей для проведения расчетов, а также дебетовые платежи, инициируемые Национальным банком. Банк-плательщик может отозвать кредитовое платежное поручение только в течение периода, пока платеж находится в очереди на исполнение.

8.1.2. Платежи, расчеты по которым проведены через системы розничных платежей, являются безотзывными для банка-плательщика в момент окончательного расчета чистых позиций в системе крупных платежей Национального банка.

8.1.3. Платеж становится безотзывным и окончательным для клиента-плательщика в момент получения платежного документа банком-плательщиком и дебетования счета клиента-плательщика. Платеж становится окончательным для клиента-получателя в момент кредитования банком-получателем счета клиента-получателя. Данные положения должны быть включены в договор, подписанный между коммерческим банком и его клиентом.

8.2. Исключение пересчета чистых позиций (раскрутка) в системах розничных платежей. По всем многосторонним чистым позициям, полученным в результате клирингового цикла/дня в клиринговой системе, должны быть обеспечены условия для гарантированного проведения окончательных расчетов в системе крупных платежей. В системах розничных платежей Национальным банком может быть установлен лимит на максимальный объем отдельных платежей.

8.3. Определение требований и ответственность по участию в платежной системе разделяются на прямых и специальных участников платежных систем. Прямые участники платежных систем должны создать свою внутреннюю инфраструктуру для обеспечения эффективного подключения к центру обработки платежей в головном учреждении своих филиалов, непрямых участников, суб-участников, специальных участников с тем, чтобы способствовать проведению прямой сквозной обработки платежей (STP) и своевременному проведению платежей от имени своих клиентов.

8.4. Проведение межбанковских расчетов через единый счет в Национальном банке. Окончательные расчеты по межбанковским платежам должны осуществляться по счетам участников платежных систем, открытым в Национальном банке, через систему крупных платежей Национального банка.

8.5. Соблюдение приоритетности платежей.

8.5.1. В системе крупных платежей Национального банка устанавливаются следующие приоритеты: наивысший приоритет имеют транзакции Национального банка и чистые позиции систем розничных платежей. Наименьший приоритет имеют межбанковские платежи, инициируемые банками. Платежи должны обрабатываться по принципу FIFO.

8.6. Системы расчетов ценными бумагами должны предусматривать механизмы, гарантирующие одновременное списание средств по счетам ценных бумаг и по денежным средствам по принципу DVP.

8.7. Система расчетов в иностранной валюте должна быть проведена по принципу PVP денежных расчетов, при котором перевод денежных средств в одной валюте происходит одновременно с переводом денежных средств в другой валюте.

8.8. Наличие инструментов по управлению ликвидностью в расчетах. С целью создания механизма управления ликвидностью в межбанковских платежных системах используется единый пул ликвидности, сосредоточенный на счетах в системе крупных платежей Национального банка, используемый участниками для проведения межбанковских платежей. Инструменты управления ликвидностью системы крупных платежей Национального банка должны позволять участникам платежных систем осуществлять мониторинг в режиме реального времени за состоянием счета и предоставлять механизмы по управлению счетом, оценки необходимости получения кредитов или размещения излишней ликвидности на межбанковском рынке. Управление ликвидностью может осуществляться с применением следующих инструментов:

8.8.1. Денежные средства на счете в Национальном банке для целей проведения межбанковских расчетов участниками платежных систем должны использоваться по заявке банка в соответствии с нормативными правовыми актами Национального банка, договорами и соглашениями, заключенными между Национальным банком и коммерческими банками.

(В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

8.8.2. Внутридневной кредит должен быть доступен для прямых участников платежных систем (банков), соответствующих требованиям Положения "О внутридневном кредите Национального банка Кыргызской Республики", утвержденного постановлением Правления Национального банка Кыргызской Республики от 28 марта 2013 г. № 10/8.

(В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

8.8.3. Непогашенный внутридневной кредит пролонгируется до следующего рабочего дня, с переоформлением в кредит "овернайт", с процентной ставкой, которая устанавливается за пользование кредитом "овернайт" на дату переоформления. Пролонгация кредита осуществляется только один раз.

8.8.4. Кредит "овернайт" должен быть доступен только для прямых участников платежных систем (банков), соответствующих требованиям, предусмотренным Положением "О кредите "Овернайт" Национального банка Кыргызской Республики", утвержденным постановлением Правления Национального банка от 28 марта 2013 г. № 10/7.

(В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

8.8.5. Наличие расчетного окна в системе крупных платежей Национального банка. Система крупных платежей Национального банка должна предусматривать межбанковское расчетное окно в конце операционного дня для целей проведения расчетов по платежам, находящимся в очереди на момент открытия окна, и возврата внутридневных кредитов путем получения средств на межбанковском рынке или за счет получения кредита "овернайт" Национального банка. Платежи в очереди, расчет по которым не был проведен к моменту закрытия расчетного окна, должны быть отвергнуты.

9. Факторы риска нарушения бесперебойности функционирования платежной системы делятся на внутренние и внешние.

Внутренние факторы риска влияют на работоспособность платежной системы посредством воздействия внутренней среды платежной системы на эффективность деятельности платежной системы. К внутренним факторам риска, способным оказать влияние на нарушение бесперебойности функционирования платежной системы, относятся недостатки внутренних документов, условий договоров и соглашений, сбои в работе информационной системы, сбои в работе каналов связи и оборудования, несовершенство системы информационной защиты, недостаточная квалификация и ненадлежащие действия персонала субъектов платежной системы, отсутствие резервных схем и др. Внутренние факторы оказывают влияние как на финансовые, так и нефинансовые риски. Внешние факторы риска воздействуют на платежную систему из внешней по отношению к платежной системе среды и способны создать угрозу для бесперебойного и безопасного функционирования платежной системы. К внешним факторам риска относятся факторы естественных непреодолимых сил (землетрясения, наводнения, природные катаклизмы), техногенные факторы (пожары, затопления, взрывы, химические и радиационные заражения, энергетические и телекоммуникационные аварии и т.д.), социальные факторы (военные действия, массовые беспорядки, теракты и т.д.), криминальные факторы (хакерские атаки, мошеннические действия, или посторонних лиц в отношении функционирования платежной системы и т.д.) и политические факторы (национализации и экспроприации, разрыв контрактов и договорных отношений, ограничение на конвертирование валюты, военные действия и гражданские беспорядки). Внешние факторы обусловливают вероятность возникновения нефинансового риска.

10. Предметом основного внимания в платежной системе являются финансовые риски. К финансовым рискам относятся системный риск, риск ликвидности и кредитный риск.

Системный риск - вероятность наступления неблагоприятного события, при котором неспособность одного из участников платежной системы выполнить свои обязательства по платежам, сделает невозможным для других участников выполнение своих обязательств при наступлении срока платежа. Такое невыполнение обязательств может поставить под угрозу стабильность всей платежной системы (эффект "домино"). К рискам, которые могут вызвать реализацию системного риска, относятся риск ликвидности и кредитный риск. Риск ликвидности - риск, возникающий вследствие неспособности участника платежной системы в связи с недостатком или отсутствием денежных средств обеспечить исполнение своих обязательств в полном объеме. Риск ликвидности не означает, что участник платежной системы является неплатежеспособным. Он в состоянии произвести расчет по своему обязательству, но не в точно установленные сроки в будущем. Вероятность наступления данного вида риска связана с несбалансированностью финансовых активов и финансовых обязательств участника платежной системы. Проблемы с ликвидностью и кредитоспособностью способны нарушить своевременность расчетов. Кредитный риск - риск, возникающий вследствие неспособности участника платежной системы исполнить свои финансовые обязательства по оплате оказанных услуг платежной инфраструктуры перед другими участниками при наступлении срока платежа или в любое последующее время. Кредитный риск создает угрозу финансовой устойчивости участников платежной системы, что может повлиять на бесперебойность функционирования платежной системы. К числу нефинансовых рисков, связанных с платежной системой, относится операционный риск, который включает юридический/правовой риск и риск мошенничества. Операционный риск - риск, возникающий вследствие нарушения работоспособности аппаратно-программного комплекса, ненадлежащего действия персонала субъектов платежной системы, а также воздействия внешних факторов, реализация которого вызывает невозможность проведения платежей и расчетов из-за технических сбоев в аппаратно-программном комплексе и коммуникационных каналах связи, неисправности технической инфраструктуры, нарушений правил платежной системы, требований защиты информации, либо невозможность функционирования платежной системы в целом. Юридический/правовой риск - риск, возникающий вследствие несоблюдения требований законодательства Кыргызской Республики, нормативных правовых актов Национального банка, условий договоров и соглашений, внутренних документов банков, операторов и участников платежных систем, платежных организаций, определяющих нормы и правила функционирования платежных систем, несовершенства правовой системы, частоты изменений в законодательстве, а также наличия правовой неопределенности в отношениях с другими участниками платежных систем, что может являться основанием и привести к судебным разбирательствам между участниками платежной системы.

11. При отсутствии у участников платежной системы внутренних нормативных правовых актов, регламентирующих процесс управления операционными рисками, участники платежных систем дополнительно подвергаются следующим рискам:

Риск мошенничества - риск, возникающий вследствие неправомерных действий работников участника платежных систем, заключающихся в злоупотреблении служебным положением, несанкционированном использовании служебной информацией, хищении, преднамеренном сокрытии фактов совершения операций в рамках платежной системы, а также противоправных действий сторонних лиц по отношению к платежной системе, таких как хищение персональных данных, получение конфиденциальной информации, проникновение в базу данных и т.д. посредством действий мошенников, провоцирующих пользователей услуг платежной инфраструктуры к вступлению с ними в контакты с целью хищения средств пользователей услуг платежной инфраструктуры, приводящей к финансовым потерям. Риск хакерской атаки - риск, возникающий вследствие воздействия на информационные ресурсы и информационно-телекоммуникационные средства платежной системы путем несанкционированного входа в информационные системы, внедрения специальных технических средств, заражения компьютерными вирусами и другими вредоносными программами с целью получения персональной информации пользователей услуг платежной инфраструктуры (пароли, ПИН-коды, номера банковских карт, аналог собственноручной подписи, персональные данные пользователей), уничтожения и нарушения целостности баз данных, блокирования и вывода из строя информационных компьютерных систем. Риск потери репутации - риск, возникающий вследствие формирования в обществе негативного представления о стабильности платежной системы, отрицательной оценки качества предоставляемых услуг в платежной системе, в том числе вследствие распространения ложной информации, ведущей к утрате доверия к платежной системе или участникам платежной системы.

12. Идентификация рисков - процесс выявления рисков, определение причин и предпосылок появления рисков, угрожающих бесперебойности и безопасности функционирования платежной системы Кыргызской Республики.

13. Оценка и анализ рисков - процесс обработки информации, полученной в результате идентификации рисков, исследование особенностей и последствий реализации рисков.

14. Мониторинг рисков - процесс отслеживания факторов, влияющих на бесперебойность и безопасность функционирования платежных систем.

15. Разработка и осуществление мероприятий по предупреждению рисков - процесс выработки и реализации мер, позволяющих уменьшить вероятность возникновения негативных событий для функционирования платежной системы.

16. Разработка и реализация мер по снижению рисков - процесс управления рисками, представляющий собой комплекс мероприятий, направленный на минимизацию последствий реализации рисков и получение возмещения при наступлении убытков, связанных с реализацией рисков (Приложение 1).

17. Для снижения рисков, связанных с проведением срочных и крупных платежей, платежная система предусматривает следующие механизмы управления рисками:

17.1. В целях снижения финансовых рисков в системе предусматриваются следующие меры с использованием механизмов управления ликвидностью участников:

- мониторинг в режиме реального времени достаточности средств участников для исполнения своих обязательств по проведению платежей;

- проведение расчетных операций в системе только в пределах кредитового остатка на счете участника-плательщика, открытом в Национальном банке;

- обеспечение просмотра участниками остатков на своих счетах в Национальном банке в режиме реального времени;

- обеспечение возможности резервирования средств для обеспечения гарантированного проведения расчета из смежных систем;

- обработка платежей в соответствии с установленными приоритетами;

- управление участниками очередью своих платежей (изменение приоритетов платежей, отзыв платежей из очереди платежей и т.д.);

- предоставление Национальным банком внутридневного кредита и кредита "овернайт" только для участников платежных систем, соответствующих требованиям Национального банка на получение "внутридневного кредита" и кредита "овернайт" и обеспеченных обязательным залоговым покрытием в виде ГЦБ в национальной валюте;

- обеспечение установления лимитов на чистую дебетовую позицию участников систем розничных платежей.

17.2. В целях минимизации нефинансовых (операционных) рисков в системе необходимо наличие процедур по обеспечению функционирования платежной системы при возникновении нештатных ситуаций, включающей выполнение как минимум следующих мер:

- обеспечение двойного ввода ключевых полей при подготовке платежных документов в ручном режиме;

- дублирование аппаратного и программного обеспечения в основном узле;

- дублирование в резервном центре аппаратно-программного комплекса основного узла;

- дублирование каналов связи для обеспечения непрерывной связи между основным узлом и автоматизированными рабочими местами участников;

- организация бесперебойного электроснабжения основного и резервного узлов;

- обеспечение средств авторизации и аутентификации участников и персонала системы, шифрование каналов передачи данных для защиты от несанкционированного доступа;

- применение электронной цифровой подписи для обеспечения достоверности и целостности передаваемой информации;

- применение мер антивирусной защиты для обеспечения информационной безопасности программного обеспечения системы;

- обеспечение резервного копирования всех операций, проводимых в системе для хранения и восстановления данных в случае возникновения опасности потерь или их дублирования;

- ведение архивов всех отправленных и поступивших электронных сообщений для обеспечения сохранности электронных документов в системе;

- осуществление регулярного контроля соблюдения участниками правил функционирования системы.

17.3. В целях минимизации юридических/правовых рисков в системе принимаются меры по устранению правовой неопределенности в отношениях с участниками, осуществляется контроль за соблюдением участниками условий подписанных договоров и соглашений, норм и правил работы системы, установленных настоящим Положением и иными нормативными правовыми актами Национального банка.

17.4. Участники системы самостоятельно обеспечивают необходимую ликвидность на своих счетах, открытых в Национальном банке, с использованием инструментов управления ликвидностью (анализ структуры и качества активов и пассивов, расчет денежных потоков и т.д.).

17.5. Участники системы предусматривают в своих внутренних нормативных документах методы управления рисками при работе в системе.

17.6. Оператор системы обеспечивает проведение мониторинга и оценку по каждому виду рисков в системе на постоянной основе.

18. Для снижения рисков, связанных с проведением платежей в системе пакетного клиринга, платежная система предусматривает следующие механизмы управления рисками:

18.1. В целях снижения финансовых рисков в системе устанавливаются лимиты на максимальную сумму одного платежа и установления резерва на чистые дебетовые позиции участников.

18.2. В целях предотвращения кризисных ситуаций участники клиринговой системы должны использовать инструменты управления ликвидностью в расчетах, для этого может быть создан Страховой фонд на основе собственных средств, размер которого должен покрывать сумму наибольшего среднестатистического внутридневного дебетового сальдо по корреспондентским счетам в Национальном банке на момент окончательного расчета по чистым позициям, установленный регламентом Национального банка. Для этого участники обеспечивают необходимую ликвидность на своих счетах в Национальном банке на момент завершения окончательного расчета с использованием инструментов управления ликвидностью.

18.3. Оператор системы должен регулярно проводить периодическую оценку состоятельности участников клиринговой системы и исключать или временно приостанавливать участие проблемных участников в клиринговой системе в соответствии с решением Правления Национального банка.

18.4. В целях снижения операционных рисков и рисков, связанных с чрезвычайными ситуациями (стихийные бедствия, военные действия и т.п.) и обеспечения бесперебойного функционирования системы, работа основного клирингового центра должна дублироваться в резервном центре.

18.5. Для обеспечения непрерывной связи между клиринговым центром и автоматизированными рабочими местами участников в системе должно быть предусмотрено соединение через выделенные каналы связи и соответствующие им резервные каналы.

18.6. Для защиты от несанкционированного доступа применяется шифрование каналов передачи данных, авторизация и аутентификация участников и персонала системы. Достоверность и целостность передаваемой информации обеспечивается применением электронной цифровой подписи.

18.7. Для хранения и восстановления данных в системе в случаях опасности потерь или их дублирования используется резервное копирование и архивирование всех отправленных в систему и полученных из системы сообщений участников.

19. Для снижения рисков, связанных с проведением расчетов с использованием банковских платежных карт, платежная система предусматривает следующие механизмы управления рисками:

19.1. Клиринг и расчеты по транзакциям с использованием платежных карт должны проводиться в клиринговой системе платежей на основе информации, полученной из процессингового центра.

19.2. Для ограничения рисков и защиты прав держателей карт правила системы расчетов с использованием банковских платежных карт и типовые договоры должны быть опубликованы с целью широкой информированности общественности. Держатель карты должен быть предварительно ознакомлен с правилами и типовыми условиями договора до того, как ему будет выдана карта.

19.3. Правила и процедуры системы расчетов банковскими платежными картами должны предусматривать ответственность держателя карты и эмитента карты с целью предотвращения создания дубликатов, несанкционированного использования. Банк-эмитент должен заблокировать карту в случае нарушения правил держателем карты.

19.4. Правила, процедуры и договоры по системе с использованием банковских платежных карт должны устанавливать право эмитента карты на внесение карты системы в стоп-лист без согласия ее держателя в случае его неплатежеспособности или нарушения им условий договора при одновременном уведомлении об этом держателя карты.

20. Для снижения рисков в платежной системе при осуществлении денежных переводов по системам денежных переводов платежная система предусматривает следующие механизмы управления рисками:

20.1. В системе должен быть реализован механизм по управлению справочниками отправителей и получателей, проверке клиентов по спискам террористов, выпускаемым международными организациями, национальным списком террористов, национальным списком подозреваемых в причастности к терроризму.

20.2. Наличие в системе и в договорной базе правил и процедур по разрешению споров (ошибочный денежный перевод, возврат, отказ от денежного перевода и т.п.).

20.3. Обеспечение гарантии финансовых обязательств перед участником платежной системы в соответствии с Правилами осуществления денежных переводов по системам денежных переводов в Кыргызской Республике", утвержденными постановлением Правления Национального банка Кыргызской Республики от 15 июля 2009 г. № 30/6.

(В редакции постановления Правления Нацбанка КР от 8 июня 2017 года № 2017-П-14/23-11)

21. Для снижения рисков в платежной системе при осуществлении расчетов с электронными деньгами платежная система предусматривает следующие механизмы управления рисками:

21.1. В целях снижения операционного риска, связанного с возможными убытками в результате недостатков организации системы или злоупотреблений лиц, имеющих доступ к системе электронных денег, необходимо осуществлять постоянный мониторинг за состоянием и функционированием аппаратно-программных средств, а также совершенствование средств защиты информации.

21.2. Система расчетов с использованием электронных денег должна быть обеспечена внутренними правилами и процедурами использования электронных денег и договорными отношениями, регулирующими работу системы. Система электронных денег должна обеспечивать соответствующие механизмы технической, организационной, технологической безопасности для недопущения, предотвращения и распознавания рисков угрозы безопасности в соответствии с требованиями законодательства Кыргызской Республики.

21.3. Система электронных денег должна обладать механизмами защиты от мошеннических действий и выявления подозрительных и сомнительных транзакций (операций), приостановления операций и блокирования электронных кошельков, осуществляемых или принадлежащих лицам, включенным в перечень лиц, причастных к террористической и экстремистской деятельности, в соответствии с требованиями законодательства Кыргызской Республики.

21.4. Система электронных денег должна обладать возможностью установления лимитов по платежам, формирования необходимых статистических и информационных отчетов о денежном обращении в форме электронных денег в соответствии с требованиями Национального банка в рамках надзора за платежной системой Кыргызской Республики, банковского надзора и денежно-кредитной политики.

21.5. Система электронных денег может иметь возможность эффективного интегрирования с взаимодействующими системами участников электронных денег (внутренняя система по учету движения денежных средств) путем использования унифицированных стандартов передачи данных и форматов платежей для снижения издержек акцептантов и держателей электронных денег при их использовании.

21.6. Система электронных денег должна быть эффективной для участников по использованию электронных денег, безопасной, доступной по цене и удобной в использовании для держателей электронных денег, соответствовать требованиям, направленным на защиту прав потребителей.

21.7. Система расчетов с использованием электронных денег должна подвергаться периодическому анализу со стороны сертифицированной организации на наличие уязвимостей для внешних и внутренних факторов.

22. Для снижения рисков в платежной системе при осуществлении расчетов дистанционного обслуживания платежная система предусматривает следующие механизмы управления рисками:

22.1. Наличие комплексной системы по обеспечению информационной безопасности дистанционного банкинга, которая должна содержать следующие аспекты:

- выявление и оценка рисков, связанных с предоставлением дистанционных банковских и платежных услуг;

- определение мер по снижению рисков, в том числе применение соответствующих технологий идентификации клиента и норм внутреннего контроля;

- определение мер по защите информации клиента от несанкционированного доступа и обеспечение целостности данной информации;

- оценка мер по информированию клиентов;

- определение и оценка лимитов по транзакциям по банковским счетам, электронным кошелькам;

- контроль осуществления транзакций по лимитам, установленным по открытию и проведению платежей через электронные кошельки.

22.2. Поставщик услуг по мере необходимости обязан корректировать и обновлять свою систему информационной безопасности в соответствии с любыми изменениями в технологии предоставления дистанционного банкинга, при обнаружении уязвимости в информационных системах, для обеспечения конфиденциальности и целостности информации при возникновении внешних или внутренних угроз мошенничества.

22.3. Поставщик услуг должен обеспечить своевременное обновление и модернизацию систем безопасности согласно утвержденным внутренним процедурам.

22.4. Для обеспечения идентификации своих пользователей поставщик услуг должен применять методики по снижению возможных рисков. Поставщик услуг должен отслеживать, оценивать и внедрять новые технологии идентификации клиента, а также в зависимости от вида операции и уровня доступа обеспечивать внедрение соответствующих изменений в систему идентификации клиента на основе существующих факторов риска.

23. Для снижения рисков в платежной системе при операционных ошибках и сбоях платежная система предусматривает следующие механизмы управления рисками:

23.1. В целях предотвращения незаконного использования платежных инструментов, а также незаконного проведения операций по платежам должен применяться механизм проверки личности и правомочности лиц, производящих, обрабатывающих и получающих платежи, обеспечиваться конфиденциальность информации, а также ограничиваться доступ к центрам обработки и каналам связи, используемым для передачи информации по платежам. При этом особое внимание должно уделяться физической безопасности помещений и оборудования, а также защите данных как во время их хранения, так и в процессе передачи (Приложение).

23.2. В автоматизированных системах должен обеспечиваться контроль ввода данных, исключающий или снижающий возможность ошибки. Все оборудование и программное обеспечение автоматизированных систем должно пройти тщательное тестирование, опытную эксплуатацию и должно иметь документацию в соответствии с установленными стандартами.

23.3. В целях снижения операционных сбоев и преодоления факторов непреодолимой силы должно использоваться резервирование, которое в любой момент может быть немедленно введено в действие без остановки работы. Резервные механизмы должны быть хорошо изучены операционным персоналом, быть эффективными, безопасными и не нарушать нормальную работу платежной системы.

23.4. При обнаружении финансовых рисков, указанных в разделе 4, где один из участников платежной системы не в состоянии совершить свои функции, оператор должен:

- в срок не более 1 (одного) дня с момента обнаружения риска уведомить Национальный банк посредством отправки электронного и письменного сообщения, а также телефонного звонка уполномоченному структурному подразделению;

- уведомить сторону или стороны, подвергающуюся риску;

- обеспечить для других участников возможность выполнения своих обязательств.

24.5. Во избежание ошибок все платежные инструменты должны быть достаточно простыми в использовании и обеспечивать однозначное понимание всеми участниками платежной системы.

25. Участники платежных систем самостоятельно осуществляют управление рисками, присущими осуществляемому ими виду деятельности в платежной системе Кыргызской Республики, и несут ответственность за последствия реализации указанных рисков.

26. Национальный банк осуществляет надзор (оверсайт) за платежной системой Кыргызской Республики, направленный на защиту платежной системы от возможного "эффекта домино", обеспечение эффективности и бесперебойности платежных систем и повышения надежности платежных инструментов.

27. Настоящая Политика подлежит пересмотру по мере изменения законодательства Кыргызской Республики и появления новых эффективных методов управления рисками в платежных системах в соответствии с международной банковской практикой.

Приложение к Политике по управлению рисками в платежной системе Кыргызской Республики

ПРОЦЕСС УПРАВЛЕНИЯ РИСКАМИ, представляющий собой комплекс мероприятий, направленный на минимизацию последствий реализации рисков и получение возмещения при наступлении убытков, связанных с реализацией рисков

Этапы

Содержание комплекса мероприятий по управлению рисками

1. Безопасность

Надежность работы

Правила и процедуры платежных систем должны быть прописаны так, чтобы позволить Национальному банку Кыргызской Республики оценивать риски, которыми могут подвергаться участники платежной системы. Правила и процедуры систем должны включать механизмы для управления рисками, в частности:

- механизм контроля кредитного риска (для систем, которые предполагают задержку между вводом распоряжения в систему и окончательным расчетом, заимствования участников средств друг у друга);

- управление ликвидностью для своевременных расчетов (механизмы управления очередностью платежей, предоставление ликвидности в пределах дня, механизмы для минимизации "заторов", рекомендации, предоставление обновляемой информации об остатках на счетах и проведенных или незавершенных расчетах и доставке ценных бумаг в реальном времени);

- меры по сокращению риска хранения ценных бумаг.

Оператор системы должен гарантировать, что система обладает достаточной мощностью для обработки ожидаемых объектов транзакций, включая пиковые нагрузки в отдельные часы или дни, меры по сокращению мошеннических и хакерских рисков. Для этого оператор должен регулярно тестировать и контролировать фактическую мощность и результативность своей системы, планировать изменения объемов или характера работы, чтобы поддерживался требуемый уровень платежей. Оператор должен регулярно проводить стресс-тесты системы для проверки того, сможет ли система обработать максимальные объемы транзакций при экстремальных обстоятельствах. Каждая система должна иметь доступные финансовые ресурсы, адекватные надлежащему выполнению функций системы. При оценке соответствия системы требованиям к безопасности орган надзора будет рассматривать финансовые ресурсы, которые доступны для оператора системы и расчетного учреждения в целях проведения ежедневных операций и развития системы, учитывая конкретное предназначение системы и ее план развития бизнеса. Каждая система должна иметь план на случай нештатной ситуации для обеспечения своевременного возобновления своей обычной работы в случае происшествия. Такой план должен быть у всех участников платежной системы и включать:

- механизм резервного обеспечения для коммуникаций, компьютерных систем и персонала;

- требование к участникам принимать дополнительные договоренности на случай происшествий;

- проведение тестирования механизмов возобновления работы, а также регулярный анализ адекватности таких механизмов и внесение изменений в случае признания необходимости.

План на случай возникновения аварий должен быть распространен на соответствующие сферы, процессы и персонал, если признается необходимым делегирование функций в работе системы. Необходим предварительный анализ рисков соглашений об аутсоринге, при этом все выявленные риски должны быть учтены в плане реагирования на случай аварий и согласованы между участниками и закреплены документарно. Оценка рисков должна включать, помимо прочего, также определение важности и критичности услуг, которые будут делегироваться, причины аутсорсинга (анализ выгод и издержек), а также последствия для характеристики рисков системы. При этом с оператора и участника платежной системы не снимается ответственность за операции и процессы даже при делегировании определенных функций. Адекватный, обученный и компетентный персонал для обеспечения безопасной и надежной работы системы

Контроль доступа

Участники платежной системы должны гарантировать безопасность систем путем контроля доступа к работе системы. Такой контроль должен быть достаточно жестким, а режим безопасности - анализироваться и проверяться регулярно

Информационная целостность

Надежность информации в системе считается ключевым компонентом безопасности. Правильная и полная обработка транзакций и конфиденциальность данных должны быть гарантированы приемлемыми мерами и эффективным контролем, включая:

- адекватное резервирование всех данных (считается целесообразным резервирование в реальном времени в отношении всей информации или ключевой информации);

- резервирование оборудования и системы связи.

Особо важное оборудование и системы связи должны иметь резервирование, которое в любой момент может быть немедленно введено в действие без остановки работы. Резервные механизмы должны быть хорошо изучены операционным персоналом, быть эффективными, безопасными и не нарушать нормальную работу платежной системы;

- механизм сохранения и предотвращения утечки информации третьим сторонам. В целях предотвращения незаконного использования платежных инструментов, а также незаконного проведения операций по платежам, должен применяться механизм проверки личности и правомочности лиц, производящих, обрабатывающих и получающих платежи, обеспечиваться конфиденциальность информации, а также ограничиваться доступ к центрам обработки и каналам связи, используемым для передачи информации по платежам. При этом особое внимание должно уделяться физической безопасности помещений и оборудования, а также защите данных как во время их хранения, так и в процессе передачи;

- механизм минимизации ошибок ввода данных. В автоматизированных системах должен обеспечиваться контроль ввода данных, исключающий или снижающий возможность ошибки. Все оборудование и программное обеспечение автоматизированных систем должно пройти тщательное тестирование, опытную эксплуатацию и должно иметь документацию в соответствии с установленными стандартами

2. Эффективность

Скорость и эффективность работы

Оператор должен гарантировать участникам платежной системы, что система обрабатывает распоряжения о переводе с требуемой скоростью, включая режимы пиковых нагрузок, а также планировать изменения объемов или характеристик операций, чтобы поддерживать требуемую скорость работы;

- помимо эффективной работы систем информационных технологий, оператор или расчетный банк должны иметь и регулярно обновлять меры по управлению ликвидностью для предоставления адекватных механизмов для внутридневной ликвидности, эффективного управления очередностью платежей и механизмами уменьшения заторов;

- др. мероприятия по видам услуг

Критерии участия в системе

Участники платежной системы должны гарантировать, что не будет дискриминации в доступе участников к системам в виде необоснованных барьеров для вхождения, которые бы уменьшили использование системы. Это, в свою очередь, может привести к повышению средней стоимости обработки операций в расчете на транзакцию и потенциально увеличит часть каждого участника в расходах, что снизит эффективность платежной системы. Эти критерии членства в системе должны быть обоснованными, объективными и публично раскрытыми. Банку следует принять пруденциальные стандарты типа финансовой прочности для своих участников и агентов для обеспечения надежности платежной системы

Отсутствие мер, ограничивающих честную конкуренцию

Любое ограничение должно быть объективным и основываться на приемлемом критерии риска