Постановление N 242 от 26.09.2024 об утверждении Регламента об аутсорсинге должностей и видов деятельности, связанных со страховой или перестраховочной деятельностью страховыми или перестраховочными обществами

НАЦИОНАЛЬНЫЙ БАНК МОЛДОВЫ

ПОСТАНОВЛЕНИЕ

об утверждении Регламента об аутсорсинге должностей и видов

деятельности,  связанных  со  страховой  или  перестраховочной

деятельностью страховыми или перестраховочными обществами

№ 242  от  26.09.2024

 (в силу 03.10.2024) 

Мониторул Офичиал ал Р. Молдова № 418 ст. 774 от 03.10.2024

* * *

На основании части (3), части (8) ст.43 и части (8) ст.115 Закона о страховой или перестраховочной деятельности № 92/2022 (Официальный монитор Республики Молдова, 2022, № 129-133, ст.229), с последующими изменениями, Исполнительный комитет Национального банка Молдовы

ПОСТАНОВЛЯЕТ:

1. Утвердить Регламент об аутсорсинге должностей и видов деятельности, связанных с страховой или перестраховочной деятельностью страховыми или перестраховочными обществами (прилагается).

2. Страховому или перестраховочному обществу, передавшему на аутсорсинг должности и виды деятельности, связанные со страховой или перестраховочной деятельностью, до дня вступления в силу настоящего постановления:

2.1. обеспечить соответствие внутренней политики и процедур по оценке, управлению и контролю переданных на аутсорсинг должностей и видов деятельности положениям регламента, указанного в пункте 1, в течение 9 месяцев со дня вступления в силу настоящего постановления;

2.2. обеспечить соответствие договора аутсорсинга, заключенного до вступления в силу настоящего постановления, положениям регламента, упомянутого в пункте 1, и представить его Национальному банку Молдовы в течение 9 месяцев со дня вступления в силу настоящего постановления. Положения главы III регламента, упомянутого в пункте 1, применяются соответственно к изменениям в договорах на аутсорсинг;

2.3. обеспечить в случае аутсорсинга ИКТ в порядке отступления от подпункта 2.1. и 2.2. настоящего пункта соблюдение положений регламента, упомянутого в пункте 1, в течение 18 месяцев со дня вступления в силу настоящего постановления.

3. Настоящее постановление вступает в силу со дня опубликования в Официальном мониторе Республики Молдова.

4. Первый отчет по форме в приложении к регламенту, указанному в пункте 1, будет составлен по состоянию на 31.12.2024 г.

Утвержден

Постановлением Исполнительного комитета

Национального банка Молдовы

№ 242 от 26 сентября 2024

РЕГЛАМЕНТ

об аутсорсинге должностей и видов деятельности, связанных

со страховой или перестраховочной деятельностью

страховыми или перестраховочными обществами

Глава I

ОБЩИЕ ПОЛОЖЕНИЯ

1. Регламент об аутсорсинге должностей и видов деятельности, связанных с страховой или перестраховочной деятельностью страховыми или перестраховочными обществами (далее – регламент) устанавливает нормативную базу передачи на аутсорсинг должностей и видов деятельности, связанных с страховой или перестраховочной деятельностью (далее – функции и виды деятельности), который включает минимальные требования к оценке поставщика страховым или перестраховочным обществом (далее – страховое общество), минимальные требования к договору об аутсорсинге, особенности передачи на аутсорсинг должностей и видов деятельности, порядок управления рисками, связанными с аутсорсингом, предварительное утверждение и отчетность аутсорсинга.

2. Понятия и выражения, используемые в настоящем регламенте, имеют значения, предусмотренные в Законе о страховой или перестраховочной деятельности № 92/2022 (Закон № 92/2022) и нормативных актах, изданных для его исполнения.

3. Положения регламента, касающиеся страхового общества, применяются соответственно к отделениям страхового общества в третьем государстве, если отдельные положения настоящего регламента не предусматривают иное.

4. Страховое общество несет основную ответственность за оценку соответствия поставщика услуг (далее – поставщик) требованиям, изложенным в настоящем регламенте.

5. Страховое общество может принять решение о передаче на аутсорсинг обязанностей, связанных с должностями, а также о полном или частичном аутсорсинге некоторых видов деятельности.

6. Не считается аутсорсингом приобретение страховым обществом следующих товаров и услуг, не ограничиваясь ими:

6.1. деятельность, которая может осуществляться в соответствии с прямыми положениями законодательства только поставщиком услуг, включая аудит финансовых отчётов;

6.2. услуги по рыночной информации, включая предоставление данных рейтинговыми агентствами Standard & Poor's, Fitch-IBCA, AM BEST или Moody's;

6.3. приобретение товаров и услуг, которые не осуществляются страховым обществом, включая юридические консультации и/или представление в судах и органах государственной власти, услуги по уборке, садоводству и содержанию помещений общества, медицинские услуги, обслуживание служебного транспорта, услуги общественного питания, услуги по автоматическому распределению товаров, административные услуги, туристические услуги, регистрационные услуги, прием почты, делопроизводства и операторов телефонной станции, приобретение товаров, необходимых для осуществления деятельности или коммунальные услуги (электричество, газ, вода, телефонная линия и т. д.);

6.4. действия/операции, которые не предполагают доступ поставщика к информации о клиентах страхового общества и составляют профессиональную тайну, или к другой конфиденциальной информации о клиентах и их деятельности, или информации о деятельности, осуществляемой страховым обществом.

7. Страховое общество публикует на своей официальной веб-странице и обновляет так часто, как необходимо, как минимум информацию об аутсорсинге должностей и видов деятельности, дату аутсорсинга, наименование поставщика.

 Глава II

ОЦЕНКА ПОСТАВЩИКА И ДОГОВОР ОБ АУТСОРСИНГЕ

8. Страховое общество, до заключения договора об аутсорсинге, оценивает поставщика, за исключением страхового или перестраховочного общества – юридического лица Республики Молдова, отделения страхового общества из третьего государства с точки зрения деловой репутации, учитывая положения пункта 9.

9. При оценке поставщика по передаваемой на аутсорсинг должности или вида деятельности страхового общество учитывает, как минимум следующее:

9.1. бизнес-модель поставщика и его позиционирование на рынке (характер, масштаб, сложность его бизнеса, его финансовое положение, включая основные показатели эффективности, организационную структуру и структуру собственности поставщика, а также структуру группы, если таковая имеется);

9.2. результаты оценок и пересмотров, отраженные в последнем отчете об оценке, если поставщик контролируется компетентным органом;

9.3. результаты внутреннего аудита и/или аудита финансовой отчетности общества за последний год поставщика до передачи на аутсорсинг должности или деятельности, если таковые имеются;

9.4. информация о судимости и уголовном преследовании, о санкциях, примененных к поставщику в соответствии с налоговым, таможенным законодательством, а также о мерах и санкциях, применяемых любым органом надзора или профессиональным органом в соответствующей сфере в отношении поставщика;

9.5. наличие конфликта интересов с поставщиком и способы управления или устранения этого конфликта;

9.6. информация о наличии политик относительно конфиденциальности и безопасности данных, полученных в результате аутсорсинга;

9.7. если юридическое лицо-поставщик имеет необходимую лицензию/разрешение и располагает квалифицированным персоналом для осуществления аутсорсинговой деятельности;

9.8. в случае аутсорсинга актуарной должности, если поставщик физическое лицо имеет квалификационный сертификат актуария в соответствии с требованиями действующего законодательства.

10. Способ запроса и оценки информации, на основании которой будет оценен поставщик, форма, в которой она представляется страховому обществу (декларации о личной ответственности, справки или другие документы, выданные государственными органами или другими субъектами), установлена в Политике аутсорсинга должностей или деятельности общества (далее – Политика аутсорсинга).

11. Страховое общество составляет отчет по результатам оценки, подписанный уполномоченным членом органом управления, включая окончательное заключение о соответствии поставщика критериям, установленным в Политике аутсорсинга, и требованиям настоящего регламента.

12. Любой аутсорсинг должен быть предметом договора об аутсорсинге, который заключается в письменной форме и содержит как минимум следующее:

12.1. подробное описание должности или деятельности, подлежащей передаче на аутсорсинг;

12.2. специфические количественные и качественные требования по осуществлению передаваемой на аутсорсинг должности или деятельности, которые позволят страховому обществу оценивать и отслеживать в течение срока действия договора насколько его осуществление является надлежащим;

12.3. указание места исполнения/осуществления передаваемой на аутсорсинг деятельности, в том числе обязанность поставщика информировать страховое общество в случае изменения соответствующего местоположения;

12.4. четкое определение прав и обязанностей страхового общества и поставщика с целью надлежащего выполнения передаваемой на аутсорсинг должности или деятельности и обеспечение соблюдения пруденциальных требований в течение срока действия договора;

12.5. положения о расторжении договора;

12.6. положения о защите конфиденциальной информации и иной охраняемой законом информации, в том числе в области защиты персональных данных, обработки этой информации и сохранения ее конфиденциальности поставщиком в той же степени, что и страховое общество;

12.7. положения о мониторинге и постоянной оценке страховым обществом порядка исполнения договора поставщиком с целью обеспечения возможности оперативного принятия необходимых мер;

12.8. возложение на поставщика обязанности:

12.8.1. сотрудничать с Национальным банком Молдовы при осуществлении институциональных полномочий;

12.8.2. обеспечивать доступ страхового общества, ее аудиторов и Национального банка Молдовы ко всем данным и операциям, выполняемым поставщиком аутсорсинговых услуг в рамках предоставления соответствующих услуг, а также доступ в его местонахождении, 12.8.3. определение соответствующего срока договора и переходного периода, если поставщик после прекращения действия договора на аутсорсинг продолжит выполнять переданную на аутсорсинг должность или деятельность;

12.9. подробное описание прав и обязанностей сторон в случае досрочного прекращения договора в целях обеспечения непрерывности деятельности, связанной с переданной на аутсорсинг должностью или деятельностью;

12.10. положения по обеспечению непрерывности осуществления аутсорсинговой должности или вида деятельности, в том числе в результате передачи прав и обязанностей, вытекающей из договора об аутсорсинге, в случае применения одного или нескольких инструментов резолюции в соответствии с Законом № 92/2022;

12.11. описание порядка разрешения споров.

13. При разработке договора об аутсорсинге страховое общество должно учитывать уровень мониторинга, оценки, проверки и аудитинга, который должен быть пропорционален размеру, профилю риска, характеру и бизнес-модели, масштабу и сложности должности или видов деятельности/операций, переданных на аутсорсинг.

14. Если договор об аутсорсинге включает несколько видов переданных на аутсорсинг должностей или видов деятельности, страховое общество излагает в договоре аспекты, которые включают все эти виды.

15. В целях положений подпункта 12.2. при оценке адекватности выполнения должности или деятельности, переданной на аутсорсинг поставщиком, страховое общество может использовать информацию отчетов об аутсорсинговой должности или деятельности, составленных внутренним аудитом, отчеты, составленные в рамках аудита финансовой отчетности общества и/или внутреннего аудита и/или аудита финансовой отчетности поставщика.

Глава III

ПРЕДВАРИТЕЛЬНОЕ РАЗРЕШЕНИЕ АУТСОРСИНГА

16. Страховое общество передает должность или деятельность на аутсорсинг только после получения предварительного разрешения Национального банка Молдовы в соответствии с требованиями, установленными в настоящем Регламенте. Разрешение также распространяется на изменения в контрактах на аутсорсинг.

17. Страховое общество подает в Национальный банк Молдовы заявление на получение предварительного разрешения Национального банка Молдовы, к которому прилагаются как минимум следующие документы и сведения:

17.1. решение совета общества о передаче должности или деятельности на аутсорсинг;

17.2. отчет о результатах оценки поставщика, составленный согласно пункту 11,;

17.3. экономическое обоснование передачи должности или деятельности на аутсорсинг и подробное описание этой должности или деятельности, включая причины, обосновавшие аутсорсинг;

17.4. план анализа и управления рисками, связанный с соответствующим аутсорсингом, включая меры, которые должны быть реализованы страховым обществом для обеспечения стабильности, производительности и непрерывности на уровне должности или деятельности, которую предполагается передать на аутсорсинг;

17.5. для поставщика – юридического лица, , информация, включающая как минимум: наименование, IDNO; местонахождение, виды деятельности, лицензии/разрешения, потенциал, ресурсы, включая человеческие, ИТ и финансовые, операционный рынок и его положение на рынке, организационная структура, данные о соответствующем опыте сотрудников, ответственных за осуществление аутсорсинговой деятельности, бизнес модель поставщика, характер, объем и сложность его деятельности, финансовая отчетность не менее чем за последние 3 года деятельности, документ, подтверждающий отсутствие у поставщика судимости, с указанием принадлежности поставщика к группе, к которой принадлежит, и пояснение о его включении или не включении в консолидированный надзор на уровне группы;

17.6. для поставщика – физического лица, сведения, включающие как минимум: фамилия, имя, IDNP, домашний адрес/адрес оказания услуг, квалификационный сертификат актуария, сведения и документы о деятельности за последние 5 лет, документ, удостоверяющий, что лицо не имеет судимости, не находится в розыске и не находится под уголовным расследованием;

17.7. проект договора об аутсорсинге;

17.8. Политика аутсорсинга, одобренная советом общества;

17.9. подписанная страховым обществом копия лицензии/ разрешения/ квалификационного сертификата актуария поставщика, если таковая имеется, действительная на день подачи заявления.

18. Положения подпункта 17.2, подпункта 17.5 и подпункта 17.9 не применяются, если потенциальным поставщиком является страховое общество из Республики Молдова или отделение страхового общества из третьего государства.

19. Заявление, документы и сведения, указанные в пункте 17, составляются на румынском языке и подписывается уполномоченным лицом общества. В случае если документы и/или сведения являются неполными, Национальный банк Молдовы письменно уведомляет страховое общество об этом факте в течение 10 рабочих дней с даты подачи заявления. Страховое общество в течение 20 рабочих дней с даты получения уведомления Национального банка Молдовы заполняет и направляет в Национальный банк Молдовы недостающие документы и/или сведения.

20. Если страховое общество не заполняет в срок, указанный в пункте 19, набор документов и сведений, Национальный банк Молдовы уведомляет о прекращении административной процедуры в течение 3 рабочих дней с даты истечения предоставленного срока.

21. В 30-дневный срок с даты получения полного пакета документов в соответствии с настоящей главой, Национальный банк Молдовы выдает предварительное разрешение на передачу на аутсорсинг должностей и видов деятельности или отклоняет заявление, письменно уведомляя страховое общество о принятом решении. Национальный банк Молдовы может установить более длительный срок для принятия решения, который не должен превышать 90-дневный срок в соответствие с Административным кодексом Республики Молдова № 116/2018, с уведомлением страхового общества.

22. В случае, если документы и сведения, представленные в соответствии с настоящей главой, являются недостаточными для принятия решения о даче предварительного разрешения о передаче на аутсорсинг должностей и видов деятельности, Национальный банк Молдовы вправе истребовать дополнительные документы и сведения.

23. Страховое общество обязано предоставить дополнительные документы и сведения в срок, указанный Национальным банком Молдовы, в течение которого срок, указанный в пункте 21, приостанавливается.

24. Предварительное разрешение о передаче на аутсорсинг должностей и видов деятельности не может передаваться иному лицу и действительно в течение срока действия, заключенного между страховым обществом и поставщиком договора об аутсорсинге.

25. В случае отклонения заявления на получение предварительного разрешения Национального банка Молдовы о передаче на аутсорсинг должностей и видов деятельности, будут указаны причины, на основе которых было отклонено заявление. Основанием для отклонения заявления на получение предварительного разрешения Национального банка Молдовы о передаче на аутсорсинг материально значимых видов деятельности является:

25.1. представление Национальному банку Молдовы недостоверной информации для принятия решения о выдаче предварительного разрешения о передаче на аутсорсинг должностей и видов деятельности;

25.2. случай, когда информация, которой располагает Национальный банк Молдовы, включая результаты оценки, указанной в пункте 8, и/или любые факты или обстоятельства, известные Национальному банку Молдовы, вызывают подозрения, что поставщик не имеет хорошую деловую репутацию;

25.3. несоответствие проекта аутсорсингового контракта минимальным требованиям, указанным в главе II;

25.4. несоответствие требований, предусмотренных частью (5) и частью (9) ст.43 Закона № 92/2022 и нормативным актам Национального банка Молдовы в результате передачи на аутсорсинг соответствующей должности или деятельности;

25.5. установление несоразмерности, в том числе недостаточности мер контроля страхового общества по отношению к рискам, связанным с аутсорсингом, или установление значительных рисков, несоразмерных преимуществам, указанным обществом.

Глава IV

УПРАВЛЕНИЕ РИСКАМИ, СВЯЗАННЫМИ С ДЕЯТЕЛЬНОСТЬЮ

ПО ПЕРЕДАЧЕ НА АУТСОРСИНГ

26. Страховое общество выделяет достаточные ресурсы для обеспечения соответствия требованиям, касающимся аутсорсинга, установленным Национальным банком Молдовы в нормативных актах, и предпринимает необходимые меры для обеспечения непрерывности выполнения должностей и осуществления деятельности, переданных на аутсорсинг, а также документирования и мониторинга должностей и деятельности, переданных на аутсорсинг.

27. Страховое общество устанавливает Политику в отношении аутсорсинга должностей или деятельности и обеспечивает ее реализацию. Политика включает разработку основных этапов процесса аутсорсинга, определение принципов, обязанностей и процессов, связанных с аутсорсингом, в том числе способов управления рисками, связанными с должностями или видами деятельности, переданными на аутсорсинг, и включает как минимум следующее:

27.1. установление обязанностей органа управления, включая его участие в:

27.1.1. обеспечении оценки поставщика, за исключением страхового общества,юридического лица Республики Молдова, и отделения страхового общества из третьего государства, на преддоговорной стадии и периодически в течение договорной стадии;

27.1.2. надлежащем мониторинге и оценке ежедневного надзора за деятельностью аутсорсингового страхового общества, включая управление рисками, связанными с аутсорсингом, финансовых показателей, а также организационной структуры/структуры собственников поставщика таким образом, чтобы было возможно оперативное принятие любых необходимых мер;

27.1.3. назначении члена органов управления страхового общества или руководителя соответствующей ключевой должности с общей ответственностью за переданную ключевую должность;

27.2. планирование аутсорсинга должностей или деятельности, которое включает по крайней мере, следующее:

27.2.1. прямой учет, при проведении анализа рисков до передачи на аутсорсинг, что касается потенциального влияния должностей и видов деятельности, переданных на аутсорсинг, на существенные виды деятельности в рамках общества;

27.2.2. установление сроков, условий осуществления должностей и видов деятельности, переданных на аутсорсинг, и требований к ним, в том числе требований к выбору поставщика, учитывая, что он располагает достаточными ресурсами, навыками, компетенциями, соответствующими этическими стандартами или кодексом поведения, принимая во внимание и качество исполнения им должностей и выполнения деятельности, переданной им на аутсорсинг;

27.2.3. критерии и процессы определения должностей и деятельностей, которые будут переданы на аутсорсинг;

27.2.4. процедуры, связанные с определением, оценкой, мониторингом и управлением рисками, связанными с должностями и видами деятельности, переданных на аутсорсинг, включая влияние на финансовую деятельность и непрерывность деятельности общества, риски, с которыми оно может столкнуться в результате аутсорсинга, затраты и выгоды проекта по аутсорсингу, а также разработка методов, подлежащих использованию для управления этими рисками, на основе пропорциональности;

27.2.5. процедуры для выявления, оценки, управления и смягчения возможных конфликтов интересов в рамках процесса аутсорсинга;

27.2.6. планирование непрерывности должностей и видов деятельности, подлежащих аутсорсингу;

27.2.7. процесс утверждения договоров об аутсорсинге;

27.3. определение способа внедрения, мониторинга и управления процессом аутсорсинга, который будет содержать как минимум следующее:

27.3.1. постоянная оценка деловой репутации поставщика, за исключением общества-юридического лица Республики Молдова и отделения страхового общества из третьего государства, учитывая положения пунктов 8-11;

27.3.2. процедуры уведомления и реагирования на изменения в рамках процесса аутсорсинга или в ситуации поставщика, связанной с его финансовой позицией, организационными структурами или структурами собственности;

27.3.3. независимый пересмотр соответствия требованиям своих внутренних правил;

27.3.4. процессы выхода и восстановления должностей и видов деятельности, переданных на аутсорсинг;

27.3.5. мониторинг любого индекса, показывающего, что поставщик не может эффективно выполнять должности и виды деятельности, переданные на аутсорсинг в соответствии с данным Регламентом;

27.4. установление способа корректировки и усовершенствования системы внутреннего контроля, системы внутренней отчетности, включая отчетность руководящему органу страхового общества об изменениях профиля риска, связанного с должностями и видами деятельности, передаваемыми на аутсорсинг, для обеспечения того, чтобы удостовериться, что они не влияют на способность страхового общества осуществлять эффективное корпоративное управление;

27.5. четкое установление ответственности внутри страхового общества за мониторинг и управление требованиями, изложенными в подпункте 27.3 и за документирование, управление и контроль процесса аутсорсинга. Документирование должно включать и обязательство ведения обновленного реестра по всем договорам об аутсорсинге на уровне общества;

27.6. организация, поддержание и периодическое тестирование, не менее одного раза в год, плана непрерывности, планов выхода и восстановления в результате чрезвычайных ситуаций, выявленных на основе анализа риска, если поставщик предполагает прекратить осуществление деятельности до истечения срока, указанного в договоре об аутсорсинге;

28. Политика аутсорсинга определяет важные этапы аутсорсинга, а именно:

28.1. этап принятия решения, заключающийся в принятии решения о передаче на аутсорсинг либо о необходимости внесения изменений в договор об аутсорсинге;

28.2. преддоговорной этап, состоящий из оценки внешнего поставщика, особенно с точки зрения хорошей деловой репутации, включая его способность предоставлять услуги в соответствии с количественными и качественными требованиями, установленными обществом, составление проекта договор и спецификации, связанные с оказываемыми услугами;

28.3. договорной этап, состоящий из:

28.3.1. исполнения, мониторинга и управления договором об аутсорсинге, который может включать и периодическую оценку, не реже одного раза в год, способности поставщика продолжать выполнять свои аутсорсинговые обязательства;

28.3.2. мониторинг выполнения договора об аутсорсинге должностями по обеспечению соответствия и внутреннего аудита;

28.3.3. установление процесса выхода и/или восстановления должностей или видов деятельности, переданных на аутсорсинг;

28.4. после договорной этап, заключающийся в анализе случаев прекращения договора и прерывания выполнения переданных на аутсорсинг должностей или деятельности поставщиком, включающий как минимум определение стратегий прекращения или прерывания выполнения поставщиком переданной на аутсорсинг должности или деятельности, требование документированного плана выхода и/или восстановления для каждой переданной на аутсорсинг должности или деятельности, если подобный выход/восстановление считается возможным с учетом возможных прекращений в выполнении переданной на аутсорсинг должности или деятельности или неожиданного прекращения контракта на аутсорсинг.

29. Внутренний аудит периодически оценивает актуальность и целесообразность Политики аутсорсинга, включая процесс управления рисками, связанными с аутсорсингом.

30. Страховое общество для обеспечения комплексного и эффективного подхода к процессу планирования и обеспечения непрерывности деятельности, связанной с управлением рисками, в частности с операционным риском и риском концентрации, связанными с аутсорсингом должностей и видов деятельности:

30.1. обеспечивает соответствие политик управления рисками, связанными с данными должностями и видами деятельности и бизнес-модели страхового общества;

30.2. реализует и поддерживает планы и процедуры по обеспечению непрерывности переданных на аутсорсинг должностей и деятельности и по восстановлению в результате чрезвычайных ситуаций, выявленных на основе анализа рисков, соответственно, периодически, не реже одного раза в год, тестирует их в целях обеспечения соблюдение их политики и процедур аутсорсинга.

31. В случае аутсорсинга должностей и деятельности поставщику из третьего государства, страховое общество должно гарантировать, что аутсорсинг этой должности и деятельности в той степени, в которой ее выполнение требует лицензирования/ разрешения/ регистрации компетентного органа в стране происхождения поставщика, осуществляется поставщиком из третьего государства, имеющим лицензию/ разрешение/ регистрацию для осуществления соответствующей деятельности и контролируемый соответствующим органом страны происхождения. В случае передачи актуарной должности поставщику из третьего государства актуарий должен иметь квалификационный сертификат, выданный Национальным банком Молдовы.

Глава V

НОТИФИКАЦИЯ И ПРЕДСТАВЛЕНИЕ ОТЧЕТНОСТИ ОБ АУТСОРСИНГЕ

32. При аутсорсинге должности и деятельности страховое общество уведомляет Национальный банк Молдовы в течение 10 рабочих дней со дня выяснения хотя бы одной из следующих ситуаций:

32.1. об изменениях в информации, представляемой Национальному банку Молдовы, включая изменения, приводящие к несоответствию поставщика критериям, установленным в настоящем регламенте;

32.2. о возможной реинтеграции обществом переданных на аутсорсинг должностей и видов деятельности с представлением подробного плана действий и конкретных сроков их реализации;

32.3. о любых существенных изменениях, которые могли бы отрицательно повлиять на деятельность поставщика и/или на его способность исполнять свои обязательства, о возможных мерах, принимаемых страховым обществом в этих случаях, в том числе смена поставщика, об изменениях в расторжении договора об аутсорсинге.

33. Страховое общество представляет в Национальный банк Молдовы Отчет о переданных на аутсорсинг должностях и деятельности в форме и порядке, установленных в приложении к настоящему регламенту, раз в полгода, до 25 июля и 25 января соответственно года, следующего за отчетным годом управления. Отчеты представляются в электронном виде, в соответствии с Инструкцией о порядке представления отчетов в электронной форме в Национальный банк Молдовы, утвержденной Постановлением Исполнительного комитета Национального банка Молдовы № 245/2019.

34. Страховое общество незамедлительно сообщает Национальному банку Молдовы о любом инциденте или изменении риска, в том числе о смене поставщика аутсорсинговых услуг, которые могут существенно повлиять на способность эффективно управлять обществом, на его стабильность, производительность и непрерывность деятельности.

Глава VI

АУТСОРСИНГ ИНФОРМАЦИОННО-КОММУНИКАЦИОННЫХ ТЕХНОЛОГИЙ

Часть 1

Общие положения

35. Настоящая глава применяется к страховому обществу, которое предполагает передать информационно-коммуникационные технологии на аутсорсинг (ИКТ).

36. В случае передачи на аутсорсинг ИКТ страховое общество должно получить предварительное разрешение Национального банка Молдовы согласно требованиям, предусмотренным, пунктами 38-39, соответствующим образом, и пунктами 40-41 Главы Ш, в зависимости от обстоятельств.

37. Нотификация и отчетность при передаче ИКТ на аутсорсинг осуществляется согласно Главе V в соответствующем порядке.

Часть 2

Договор об аутсорсинге ИКТ и управление рисками, связанными с аутсорсингом ИКТ

38. В случае аутсорсинга ИКТ страховое общество составляет проект договора об аутсорсинге ИКТ с поставщиком в соответствии с положениями пунктов 12–14 и соответственно должен включать по крайней мере:

38.1. период предварительного уведомления об изменениях, которые могут произойти в договоре;

38.2. обязательство поставщика, при необходимости, заключать договор обязательного страхования, связанного с конкретными рисками;

38.3. положения об информационной безопасности и непрерывности деятельности, содержащие как минимум:

38.3.1. специальные требования безопасности и непрерывности, представленные обществом для ИКТ, переданных на аутсорсинг, которые хранят или содержат персональные данные;

38.3.2. требования по обеспечению доступности, применимости, целостности и конфиденциальности данных общества в информационной системе поставщика;

38.3.3. обязанность поставщика хранить данные общества в информационных системах и базах данных таким образом, чтобы позволить идентификацию, экспорт/извлечение и удаление данных по требованию общества;

38.3.4. требования к поставщику относительно времени восстановления услуг по аутсорсингу материально значимых ИКТ, представленных в случае наступления некоторых инцидентов;

38.3.5. обязанность поставщика разрабатывать планы по восстановлению, связанные с услугами по аутсорсингу материально значимых ИКТ, представленными страховому обществу;

38.3.6. обязанность поставщика ежегодно осуществлять тесты на непрерывность услуг по аутсорсингу материально значимых ИКТ, с предоставлением результатов страховому обществу;

38.4. положения о праве доступа страхового общества к ИКТ и информации, содержащие как минимум следующее:

38.4.1. обязанность поставщика предоставлять Национальному банку или любому другому субъекту или лицам, направленным обществом, полный доступ ко всем помещениям, оборудованию и системам, использованным для предоставления услуг по аутсорсингу ИКТ;

38.4.2. право страхового общества и Национального банка Молдовы запрашивать и получать от поставщика без необоснованных опозданий журналы аудита и связанные с ними резервные копии в результате расследований, аудиторских заданий или в случае прекращения отношений с поставщиком по любым причинам;

38.4.3. право страхового общества проводить аудит ИКТ, переданных на аутсорсинг. В зависимости от обстоятельств, где это уместно, общество обеспечивает возможность осуществления тестов на применение услуг по аутсорсингу ИКТ, предоставляемых обществом поставщику;

38.5. положения, относящиеся к обеспечению эффективного управления рисками в случае прекращения отношений с поставщиком, содержащие, по крайней мере, следующие аспекты, связанные с прекращением отношений с поставщиком:

38.5.1. возможность прекращения отношений с поставщиком как минимум в следующих случаях:

38.5.1.1. несоблюдение поставщиком правовых положений в области ИКТ, безопасности информации, персональных данных или непрерывности деятельности;

38.5.1.2. выявление препятствий, способных повлиять на эффективность или качество предоставленных услуг по аутсорсингу ИКТ поставщиком;

38.5.1.3. наличие критических уязвимостей, которые могут повлиять на безопасность информации и персональных данных клиентов общества, которые поставщик отказывается исправить или прогнозируемое время для исправления может отрицательно повлиять на клиентов общества;

38.5.2. переходный период в случае прекращения отношений с поставщиком или передачи другому поставщику с обязательством поставщика предоставить страховому обществу помощь;

38.5.3. обязанность поставщика создавать механизмы, которые позволят идентифицировать и удалять все данные, относящиеся к страховому обществу, включая связанные с процессом предоставления поставщиком услуг по аутсорсингу ИКТ, за исключением случаев, когда необходимо хранить данные, связанные со страховым обществом, для соответствия требованиям национального законодательства.

39. В дополнение к положениям Главы IV страховое общество определяет требования по обеспечению непрерывности ИКТ, безопасности информации, эффективности и качества аутсорсинга ИКТ и оценивает, по крайней мере, следующее:

39.1. возможное влияние каждого прерывания или нарушения в предоставлении поставщиком аутсорсинга ИКТ;

39.2. жизнеспособность краткосрочного и долгосрочного аутсорсинга ИКТ, включая соответствующие финансовые затраты;

39.3. влияние аутсорсинга ИКТ на работников страхового общества;

39.4. правовые и репутационные аспекты, связанные с процессом аутсорсинга ИКТ;

39.5. влияние аутсорсинга ИКТ на способность страхового общества управлять рисками ИКТ и информационной безопасностью, соблюдать нормативные и правовые требования;

39.6. влияние аутсорсинга ИКТ на способность страхового общества осуществлять аудиторские задания, в том числе услуги по аутсорсингу;

39.7. влияние аутсорсинга ИКТ на операционный риск;

39.8. возможное влияние аутсорсинга ИКТ на качество услуг, предоставляемых клиентам страхового общества;

39.9. риск концентрации, в том числе заключения договора с доминирующим или трудно заменимым поставщиком;

39.10. совокупный риск, возникающий в результате передачи нескольких функций страхового общества одному и тому же поставщику;

39.11. риск потери страховым обществом контроля над аутсорсингом ИКТ;

39.12. если поставщик подлежит надзору со стороны компетентных органов;

39.13. для поставщиков систем cloud (распределенный набор систем/хранения данных, услуги которых доступны по требованию, предоставленные через сеть, для которой не известно точное физическое расположение), риски, связанные с использованным видом cloud (публичный/частный/гибридный) и физического расположения хранения/обработки данных;

39.14. риск переносимости технологий, используемых поставщиком;

39.15. возможность расширить или снизить объем аутсорсинга ИКТ без пересмотра договорных обязательств;

39.16. способность страхового общества передавать аутсорсинг ИКТ другому поставщику, включая предполагаемые затраты, необходимое время, трудности, которые могут возникнуть;

39.17. способность страхового общества реинтегрировать ИКТ, переданные на аутсорсинг, в деятельность страхового общества.

40. В случае аутсорсинга ИКТ за пределами страны страховое общество должно идентифицировать риск страны, связанный с соответствующим поставщиком. При определении риска страны, связанного с соответствующим поставщиком, общество оценивает, по крайней мере, следующее:

40.1. сложность правил, относящихся к предоставлению услуг по аутсорсингу ИКТ, защита персональных данных и несостоятельность;

40.2. риск политической нестабильности, которая может повлиять на поставщика;

40.3. климатический риск и риск среды, где размещен поставщик;

40.4. культурные и/или лингвистические проблемы, связанные с ожиданиями страхового общества в отношении услуг по аутсорсингу ИКТ;

40.5. часовой пояс, в котором находится поставщик, и доступность его персонала для своевременного устранения инцидентов.

41. При аутсорсинге ИКТ в cloud поставщик cloud должен иметь следующие сертификаты, действительные в течение всего периода аутсорсинга ИКТ-деятельности:

41.1. наличие сертификата ISO/IEC 27017:2015;

41.2. наличие сертификата ISO/IEC 27018:2019;

41.3. наличие сертификата ISO/IEC20000-1:2018.

Часть 3

Контроль деятельности аутсорсинга ИКТ

42. Общество для обеспечения эффективного управления рисками, связанными с реинтеграцией ИКТ, переданных на аутсорсинг, при прерывании отношений с поставщиком предпринимает, как минимум следующие меры:

42.1. разработка стратегии реинтеграции ИКТ, переданных на аутсорсинг, которая обеспечит непрерывность деятельности общества, соответствие требованиям нормативной базы и избежание влияния на качество обслуживания клиентов в случае прерывания отношений с поставщиком;

42.2. применение мер для того, чтобы стратегия, предусмотренная в подпункте 42.1., содержала как минимум следующее:

42.2.1. задачи стратегии;

42.2.2. анализ воздействия и анализ рисков, связанных с процессом реинтеграции аутсорсинга ИКТ;

42.2.3. выявление технико-организационных, человеческих и финансовых ресурсов, в том числе периода, необходимого для выполнения стратегии;

42.2.4. распределение ролей и обязанностей для управления стратегией;

42.2.5. критические факторы успеха в процессе реинтеграции;

42.2.6. показатели эффективности и качества услуг, переданных на аутсорсинг, которые должны быть отслежены обществом и которые будут способствовать выполнению стратегии;

42.3. пересмотр не реже одного раза в год стратегии реинтеграции ИКТ, переданных на аутсорсинг, для обеспечения ее жизнеспособности.

43. Страховое общество для обеспечения эффективного надзора аутсорсинга ИКТ должен выполнять положения пункта 29 и как минимум следующее:

43.1. достаточное выделение технических, финансовых, а также человеческих ресурсов, обладающих знаниями для эффективного мониторинга аутсорсинга ИКТ;

43.2. непрерывный мониторинг эффективности и качества услуг по аутсорсингу ИКТ, представленных поставщиком для обеспечения их соответствия требованиям, установленным в договоре. Оценка эффективности может быть проведена посредством следующих источников, но не ограничиваясь ими: отчеты о поставке услуг, предоставленных поставщиком, показатели эффективности, качества, непрерывности, независимые пересмотры, сертификации, отчеты о тестах непрерывности;

43.3. периодический пересмотр и представление отчетов органу управления общества об изменениях профиля риска, связанного с аутсорсингом ИКТ.