Постановление N 28 от 12.02.2025 oб утверждении Регламента об аутсорсинге функций небанковскими поставщиками платежных услуг

НАЦИОНАЛЬНЫЙ БАНК МОЛДОВЫ

ПОСТАНОВЛЕНИЕ

об утверждении Регламента об аутсорсинге функций

небанковскими поставщиками платежных услуг

№ 28  от  12.02.2025

 (в силу 20.02.2025) 

Мониторул Офичиал ал Р. Молдова № 62-65 ст. 130 от 20.02.2025

* * *

На основании части (5) ст.28 и части (1¹) ст.30 Закона о платежных услугах и электронных деньгах № 114/2012 (Monitorul Oficial al Republicii Moldova, 2012, № 193-197, ст.661), с последующими изменениями, Исполнительный комитет Национального банка Молдовы

ПОСТАНОВЛЯЕТ:

1. Утвердить Регламент об аутсорсинге функций небанковскими поставщиками платежных услуг (прилагается).

2. Настоящее постановление вступает в силу со дня опубликования в Monitorul Oficial al Republicii Moldova.

3. В течение 6 месяцев со дня вступления в силу этого постановления платежным обществам/поставщикам почтовых услуг/общества, выпускающим электронные деньги обновить и представить Национальному банку Молдовы договора аутсорсинга в соответствии с регламентом, указанным в пункте 1, и пересмотреть и предоставить Национальному банку Молдовы внутренние регламенты, касающиеся оценки, управления и контроля аутсорсинговых функций.

4. Уведомления, заявления и документы, представленные в Национальный банк Молдовы, и не решенные на дату вступления в силу этого постановления, рассматриваются и разрешаются в соответствии с положениями регламента, указанного в пункте 1, при условии их составления небанковскими поставщиками платежных услуг в течение не более 30 дней со дня вступления в силу настоящего постановления. Уведомления, заявления и документы рассматриваются в соответствии со сроком, установленным в пункте 19 регламента, указанного в пункте 1, рассчитанным со дня представления полного пакета документов. Если уведомления, заявления и документы не составлены в течение указанного срока, Национальный банк Молдовы сообщает заявителю о прекращении административной процедуры.

Утвержден

Постановлением Исполнительного комитета

Национального банка Молдовы

№ 28 от 12 февраля 2025 г.

РЕГЛАМЕНТ

об аутсорсинге функций небанковскими поставщиками платежных услуг

Настоящий Регламент перелагает Руководство EBA/GL/2019/02 по аутсорсингу, утвержденное Европейским банковским органом.

Глава I

ОБЩИЕ ПОЛОЖЕНИЯ

1. Регламент об аутсорсинге функций небанковскими поставщиками платежных услуг (далее – Регламент) распространяется на платежные общества, поставщиков почтовых услуг, которые действуют в соответствии с Законом о почтовой связи № 36/2016 (далее – поставщики почтовых услуг), и общества, выпускающие электронные деньги, с целью регулирования минимальных требований к договору аутсорсинга, способ администрирования рисков, связанных с аутсорсингом, и проведения аудита аутсорсинговых функций

2. Термины и выражения, используемые в настоящем Регламенте, имеют значения, предусмотренные Законом о платежных услугах и электронных деньгах № 114/2012 (далее – Закон № 114/2012). Дополнительно для целей настоящего регламента используются следующие сокращения и понятия:

CISA (Сертификат аудитора информационных систем) – сертифицированный аудитор в области информационных систем, сертификация, выпущенная Ассоциацией по аудиту и контролю информационных систем (ISACA), международная профессиональная ассоциация, ориентированная на управление ИТ.

CISSP – сертификация, выданная Международным консорциумом по сертификации безопасности информационных систем (ISC).

Аутсорсинг – соглашение между платежным обществом/поставщиком почтовых услуг/обществом, выпускающим электронные деньги, и поставщиком услуг, на основании которого поставщик услуг выполняет процесс, предоставляет услугу или осуществляет деятельность, которая в противном случае будет осуществляться платежным обществом/поставщиком почтовых услуг/обществом, выпускающим электронные деньги.

Цепной аутсорсинг (субподряд) – ситуация, в которой поставщик услуг в рамках договора аутсорсинга передает аутсорсинговую функцию другому поставщику услуг.

Функция – любые процессы, услуги или виды деятельности.

Поставщик услуг – третья организация, которая выполняет процесс, поставляет услугу или выполняет аутсорсинговую деятельность или ее часть, в рамках договора об аутсорсинге.

Небанковский поставщик платежных услуг – платежное общество, поставщик почтовых услуг или общество, выпускающее электронные деньги, которые имеют право предоставлять платежные услуги в соответствии со ст.4 и 7 Закона № 114/2012.

QSA (квалифицированный эксперт по безопасности) – сертификация, выданная Советом по стандартам безопасности данных индустрии платежных карт (PCI SSC).

3. Аутсорсинг осуществляется в том числе в соответствии с нормативными актами, связанными с процессом аутсорсинга, гражданским законодательством, положениями законодательства в области защиты персональных данных, конкуренции, предупреждения и борьбы с отмыванием денег и финансированием терроризма.

4. Аутсорсинг осуществляется в соответствии с принципом пропорциональности, согласно которому гарантируется, что механизмы администрирования деятельности, в том числе те, которые связаны с аутсорсингом, согласуются с индивидуальным профилем риска, с характером и деловой моделью небанковских поставщиков платежных услуг, а также с масштабом и сложностью их деятельности, с тем чтобы эффективно достигать цели требований, вытекающих из нормативной базы.

5. При применении положений настоящего Регламента небанковские поставщики платежных услуг должны учитывать сложность функций, переданных на аутсорсинг, риски, возникающие в результате договора аутсорсинга, значимый характер функции на аутсорсинге и потенциальное влияние аутсорсинга на непрерывность их деятельности.

6. Не считается переданной на аутсорсинг:

6.1. функция, которая в соответствии с нормативными актами должна осуществляться поставщиком услуг, включая внешний аудит;

6.2. услуги рыночной информации, включая предоставление информации Bloomberg, Moody′s, Standard & Poor′s и т. д.;

6.3. виды деятельности, осуществляемые глобальными сетевыми инфраструктурами платежных систем платежными картами (например, Visa, MasterCard);

6.4. услуги клиринговых и расчетных систем или других аналогичных структур для обеспечения клиринговых и расчетных услуг между клиринговыми палатами, центральными контрагентами (партнерами) и учреждениями, производящих расчет, с одной стороны, и их членами, с другой стороны;

6.5. деятельность, осуществляемая через глобальные инфраструктуры обмена финансовыми сообщениями, которые подлежат надзору со стороны соответствующих органов, включая SWIFT;

6.6. корреспондентские банковские услуги;

6.7. Покупка услуг, которые иначе не будут осуществляться небанковским поставщиком платежных услуг (например, консультирование архитектором, предоставление юридических заключений и представительство в суде и административных органах, услуги по уборке, озеленению и содержанию помещений, медицинские услуги, услуги по техническому обслуживанию служебных автомобилей, услуги общественного питания, услуги автоматического распределения продуктов, административные услуги, услуги туристического агентства, услуги по регистрации, услуги администраторов, секретарей и операторов телефонных станций), товары (например, платежные карты, считыватели платежных карт, канцелярские товары, персональные компьютеры, мебель) или коммунальные услуги (например, электричество, газ, вода, телефония);

6.8. деятельности/операции, не предполагающие доступ поставщиков услуг к информации о небанковских поставщиках платежных услуг, которые представляют собой конфиденциальную информацию о клиентах и их деятельности или информацию о деятельности, выполняемой небанковским поставщиком платежных услуг.

7. Функция, связанная с платежной услугой, считается значимой, если возникновение сложности или сбоя в процессе ее выполнения:

7.1. значительно нанесет ущерб способности небанковского поставщика платежных услуг соблюдать условия лицензирования или другие обязательства в соответствии с Законом № 114/2012;

7.2. значительно повлияет на финансовые показатели, стабильность небанковского поставщика платежных услуг или непрерывность предоставления платежных услуг/выполнения деятельности по выпуску электронных денег.

Значимая функция также считается функцией управления информационными системами.

8. Уведомление об аутсорсингах функций, связанных с платежной услугой поставщику услуг, сопровождается следующей информацией:

8.1. описание функций, которые будут переданы на аутсорсинг;

8.2. идентификационные данные и контактные данные поставщиков услуг, переданных на аутсорсинг;

8.3. описание политики небанковского поставщика платежных услуг в области аутсорсинга, обязательств по аутсорсингу функций, связанных с платежными услугами, описание их характеристик, способ, которым функции, переданные на аутсорсинг отслеживаются и контролируются, чтобы не ухудшить качество функций внутреннего контроля небанковского поставщика платежных услуг, а также анализ рисков, связанных с аутсорсингом, включая риск банкротства поставщика, которому была передана на аутсорсинг функция;

8.4. проекты договоров аутсорсинга, которые также включают в себя положения об обязанности поставщика сотрудничать с надзорным органом небанковского поставщика платежных услуг.

9. Уведомление, документы и информация, указанные в пункте 8, составляются на румынском языке и подписываются руководящим органом/членом руководящего органа небанковского поставщика платежных услуг или уполномоченным им лицом.

10. Если документы и/или информация, указанная в пункте 8, являются неполными, Национальный банк Молдовы уведомляет в письменной форме небанковского поставщика платежных услуг об этом факте в течение 10 дней со дня представления уведомления. Небанковский поставщик платежных услуг, в течение 5 дней со дня получения письма Национального банка Молдовы, заполняет и представляет в Национальный банке Молдовы документы и/или информацию, которая отсутствует.

11. В результате рассмотрения уведомления и представленной информации Национальный банк Молдовы может дать рекомендации по передаче на аутсорсинг функций, связанных с платежной услугой.

12. Небанковский поставщик платежных услуг имеет право передать на аутсорсинг значимые функции после получения предварительного разрешения Национального банка Молдовы путем подачи заявления об этом.

13. К заявлению, указанному в пункте 12, небанковский поставщик платежных услуг прилагает как минимум следующие документы и сведения:

13.1. решение о передаче на аутсорсинг значимой функции, вынесенное органом управления/членом органа управления, уполномоченного законом или уставом;

13.2. результаты оценки поставщика услуг согласно пунктам 86-93;

13.3. результаты оценки соблюдения минимальных условий, предусмотренных частью (4) ст.28 Закона № 114/2012;

13.4. экономическое обоснование передачи значимой функции на аутсорсинг и подробное описание переданной на аутсорсинг значимой функции и причины, по которым данная деятельность была квалифицирована как значимая;

13.5. план анализа и управления рисками, связанными с передачей на аутсорсинг значимой функции, включая меры, которые должны быть реализованы небанковским поставщиком платежных услуг для обеспечения стабильности, производительности и непрерывности на уровне рассматриваемой деятельности;

13.6. предполагаемое влияние на финансовое положение и деятельность небанковского поставщика платежных услуг после аутсорсинга;

13.7. представление информации о поставщике услуг, которая включает как минимум: название, местонахождение, виды деятельности, ресурсы, в том числе кадровые, ИТ и финансовые, операционный рынок и его положение на рынке, организационную структуру, данные о соответствующем опыте сотрудников, ответственных за выполнение значимой аутсорсинговой функции, с приложением сертификата/квалификаций производительности, если таковые имеются, деловая модель поставщика услуг, характер, масштаб и сложность его деятельности, финансовую отчетность как минимум за последние 3 года деятельности с указанием принадлежности поставщика услуг к группе, частью которой он является, и указанием его включения или невключения в консолидированный надзор на уровне группы;

13.8. проект договора аутсорсинга;

13.9. внутренние правила небанковского поставщика платежных услуг в отношении передачи на аутсорсинг значимых функций, утвержденные органом управления, уполномоченным законом или уставом, которые содержат как минимум информацию, установленную настоящим Регламентом;

13.10. копия, подписанная небанковским поставщиком платежных услуг, лицензии или разрешения поставщика услуг на осуществление деятельности, подлежащей передаче на аутсорсинг, действующей на день подачи заявления, в той степени, в которой выполнение соответствующей функции требует разрешения или регистрации компетентного органа, за исключением случаев, когда потенциальным поставщиком услуг является банк Республики Молдова или другой небанковский поставщик платежных услуг, имеющий лицензию в соответствии с Законом № 114/2012.

14. Определение значимости переданной функции осуществляется согласно положениям ст.28 Закона № 114/2012.

15. Заявление, документы и информация, указанные в пунктах 12 и 13, составляются на румынском языке и подписываются органом управления/членом органа управления небанковского поставщика платежных услуг или уполномоченным им лицом.

16. Если документы и/или информация, указанные в пункте 13, являются неполными, Национальный банк Молдовы уведомляет об этом факте небанковского поставщика платежных услуг в письменной форме в течение 10 рабочих дней со дня подачи заявления. Небанковский поставщик платежных услуг в течение максимум 20 рабочих дней с даты получения письма Национального банка Молдовы заполняет и представляет недостающие документы и/или информацию в Национальный банк Молдовы.

17. В случае, если небанковский поставщик платежных услуг не полностью заполняет пакет документов и информации в срок, предусмотренный пунктом 16, Национальный банк Молдовы констатирует молчаливый отказ от заявления, а также уведомляет небанковского поставщика платежных услуг в течение 3 рабочих дней с момента истечения срока, предусмотренного пунктом 16, что приводит к прекращению административной процедуры и возврату прилагаемых документов и информации.

18. Если документы и информация, представленные в соответствии с настоящей главой, недостаточны для получения предварительного разрешения на передачу значимой функции на аутсорсинг, Национальный банк Молдовы имеет право запросить представление дополнительных документов или информации, которые будут представлены в срок, установленный Национальным банком Молдовы.

19. В течение 30 дней со дня получения полного пакета документов в соответствии с настоящей главой Национальный банк Молдовы выдает предварительное разрешение на передачу значимой функции на аутсорсинг или отклоняет запрос, письменно информируя о своем решении небанковского поставщика платежных услуг. Национальный банк Молдовы может установить более длительный срок для выдачи предварительного разрешения, который не может превышать 90 дней в соответствии с положениями Административного кодекса Республики Молдова № 116/2018, при соответствующем уведомлении небанковского поставщика платежных услуг.

20. В случае отклонения заявления на получение предварительного разрешения Национального банка Молдовы на передачу значимой функции на аутсорсинг, будут указаны основания, по которым заявление отклонено. Основаниями для отклонения заявления на получение предварительного разрешения Национального банка Молдовы на передачу важной функции на аутсорсинг считается следующее:

20.1. представление Национальному банку Молдовы ошибочной информации для принятия решения о выдаче предварительного разрешения на передачу значимой функции на аутсорсинг;

20.2. если информация, доступная Национальному банку Молдовы, включая результаты оценки, упомянутой в пунктах 86-93, и/или любые факты или обстоятельства, известные Национальному банку Молдовы, указывают на то, что поставщик не имеет хорошей деловой репутации;

20.3. несоответствие проекта договора аутсорсинга минимальным требованиям, указанным в главе II;

20.4. несоблюдение минимальных условий, предусмотренных частью (4) ст.28 Закона № 114/2012;

20.5. несоответствие деятельности небанковского поставщика платежных услуг положениям Закона № 114/2012 и нормативных актов, принятых для его исполнения, в результате передачи соответствующей функции на аутсорсинг;

20.6. установление несоразмерности, в том числе недостаточности мер контроля небанковского поставщика платежных услуг в отношении рисков, связанных с аутсорсингом, или установление существенных рисков, несоразмерных выгодам, на которые ссылается небанковский поставщик платежных услуг.

Глава II

МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ К ДОГОВОРУ АУТСОРСИНГА

Часть 1

Преддоговорный этап

21. Небанковский поставщик платежных услуг должен оценить, подпадает ли договор с третьей стороной под понятие аутсорсинга. В рамках этой оценки необходимо рассмотреть вопрос о том, если:

21.1. функция (или ее часть), переданная поставщику услуг на аутсорсинг, регулярно или непрерывно выполняется этим поставщиком услуг;

21.2. эта функция (или ее часть) обычно подпадает под категорию функций, которые выполняет или может выполнять небанковский поставщик платежных услуг, даже если он не выполнял эту функцию в прошлом.

22. Прежде чем заключать какой-либо договор аутсорсинга, небанковский поставщик платежных услуг должен как минимум:

22.1. оценивать, охватывает ли договор аутсорсинга значимую функцию, предусмотренную частью (3) ст.28 Закона № 114/2012 и пунктом 7;

22.2. оценивать и обеспечивать для значимых функций соблюдение минимальных условий, предусмотренных частью (4) ст.28 Закона № 114/2012;

22.3. выявлять и оценивать все соответствующие риски договора аутсорсинга в соответствии с частью 1 главы VII;

22.4. соблюдать соответствующее обязательство добросовестности в отношении потенциального поставщика услуг, в соответствии с пунктами 86-93;

22.5. выявлять и оценивать конфликты интересов, которые может вызвать аутсорсинг, в соответствии с частью 2 главы VII.

23. При оценке того, относится ли договор аутсорсинга к значимой функции, небанковский поставщик платежных услуг должен учитывать, наряду с результатами оценки риска, изложенной в части 1 главы VII, по крайней мере, следующие факторы:

23.1. если договор аутсорсинга напрямую связан с оказанием платежных услуг, на осуществление которых небанковский поставщик платежных услуг имеет лицензию;

23.2. потенциальное влияние любого нарушения функции, переданной на аутсорсинг, или неспособности поставщика услуг предоставлять услуги на постоянной основе на согласованных уровнях обслуживания, на:

23.2.1. краткосрочную и долгосрочную финансовую устойчивость и жизнеспособность, включая, где это применимо, его активы, капитал, затраты, финансирование, ликвидность, прибыль и убытки;

23.2.2. непрерывность бизнеса и операционную устойчивость;

23.2.3. операционный риск, включая риск поведения, риск информационных и коммуникационных технологий (далее – ИКТ) и юридические риски;

23.2.4. репутационные риски;

23.3. потенциальное влияние договора аутсорсинга на способность поставщика небанковских платежных услуг для:

23.3.1. выявления, мониторинга и управления всеми рисками;

23.3.2. соблюдения всех требований нормативных актов;

23.3.3. проведения соответствующих аудитов переданной на аутсорсинг функции;

23.4. потенциального влияния на услуги, предоставляемые своим клиентам;

23.5. все договоры аутсорсинга, общая подверженность небанковского поставщика платежных услуг одному и тому же поставщику услуг и потенциальное совокупное влияние аутсорсинговых договоров в одной и той же сфере бизнеса;

23.6. размера и сложности любой затронутой области бизнеса;

23.7. возможности продления предлагаемого договора аутсорсинга без замены или пересмотра основного договора;

23.8. возможность передачи предлагаемого договора аутсорсинга другому поставщику услуг, если это необходимо, или желаемо, как по договору, так и на практике, включая предполагаемые риски, препятствия для непрерывности деятельности, затраты и временные интервалы для передачи ("заменяемость");

23.9. возможность реинтеграции аутсорсинговой функции в небанковском поставщике платежных услуг, если это необходимо или желательно;

23.10. защита данных и потенциальное влияние нарушения конфиденциальности или неспособности обеспечить доступность и целостность данных на небанковского поставщика платежных услуг и его клиентов, в том числе на соблюдение Закона о защите персональных данных № 133/2011, но не ограничиваясь этим.

24. Договор на аутсорсинг значимых функций должен содержать как минимум:

24.1. четкое описание аутсорсинговой функции, которая будет предоставлена;

24.2. дата начала и прекращения действия договора, если применимо, а также периоды уведомления для поставщика услуг и небанковского поставщика платежных услуг;

24.3. закон, применимый к договору;

24.4. финансовые обязательства сторон;

24.5. разрешен ли субподряд выполнения значимой функции или ее значимых частей, и если да, то условия, указанные в пунктах 25-27 и 29, которым подчиняется субподряд;

24.6. место(а), где обеспечивается значимая функция и/или где хранятся и обрабатываются соответствующие данные, включая возможное место хранения, а также условия, которые должны быть выполнены, включая требование уведомить небанковского поставщика платежных услуг, если поставщик услуг предлагает изменить место(а);

24.7. если применимо, положения, касающиеся доступности, целостности, конфиденциальности и безопасности соответствующих данных, как указано в пунктах 30-32;

24.8. право небанковского поставщика платежных услуг постоянно контролировать/осуществлять надзор за деятельностью поставщика услуг, включая запрос любой информации, касающейся аутсорсинговой деятельности, когда это необходимо;

24.9. согласованные уровни обслуживания, которые должны включать точные количественные и качественные целевые показатели производительности для функции, переданной на аутсорсинг, чтобы обеспечить своевременный мониторинг, чтобы в случае несоблюдения согласованных уровней обслуживания можно было предпринять соответствующие корректирующие действия без неоправданной задержки;

24.10. обязательства поставщика услуг по отчетности перед небанковским поставщиком платежных услуг, включая уведомление поставщика услуг о любых событиях, которые могут оказать существенное влияние на его способность эффективно выполнять значимую функцию в соответствии с согласованными уровнями обслуживания и в соответствии с применимым законодательством и требованиями, вытекающими из технических регламентов, и, где применимо, обязательства по отчетности службы внутреннего аудита поставщика услуг;

24.11. если поставщик услуг должен заключить обязательное страхование от определенных рисков и, если применимо, требуемый уровень страхования;

24.12. требования к внедрению и тестированию планов для непредвиденных ситуаций для непрерывности деятельности;

24.13. положения, которые гарантируют, что информация, хранящаяся в отношении небанковского поставщика платежных услуг, может быть получена в случае несостоятельности, резолюции или прерывания экономических операций поставщика услуг;

24.14. обязательство поставщика услуг сотрудничать с Национальным банком Молдовы, в том числе с другими лицами, назначенными им;

24.15. неограниченное право небанковского поставщика платежных услуг и Национального банка Молдовы проверять и аудировать поставщика услуг, в частности, в отношении значимых функций, переданных на аутсорсинг, как указано в пунктах 33-39;

24.16. права на прекращение, как указано в пунктах 40 и 41.

25. Если субподряд значимых функций разрешен, небанковский поставщик платежных услуг должен определить, является ли часть функции, подлежащей аутсорсингу, сама по себе значимой (т.е. большая часть значимой функции), и, если да, должен зарегистрировать ее в соответствии с пунктом 45.

26. Если разрешен субподряд значимых функций, договор должен:

26.1. указывать виды деятельности, исключаемые из субподряда;

26.2. указывать условия, которые должны быть выполнены в случае субподряда;

26.3. указывать, что поставщик услуг обязан контролировать услуги, которые он заключил по субподряду, чтобы обеспечить постоянное выполнение всех договорных обязательств между поставщиком услуг и небанковским поставщиком платежных услуг;

26.4. требовать от поставщика услуг получения предварительного разрешения, специального или общего, от небанковского поставщика платежных услуг, прежде чем передавать данные в субподряд;

26.5. включать обязательство поставщика услуг информировать небанковского поставщика платежных услуг о любом планируемом субподряде или любых существенных изменениях в нем, в частности, если это может повлиять на способность поставщика услуг выполнять свои обязанности по договору аутсорсинга. Сюда входят планируемые существенные изменения субподрядчиков и период уведомления, в частности, устанавливаемый период уведомления должен позволять небанковскому поставщику платежных услуг, который передает на аутсорсинг значительную функцию выполнять как минимум оценку риска предлагаемых изменений и противостоять изменениям до того, как запланированный субподряд или его существенные изменения вступят в силу;

26.6. гарантировать, при необходимости, что поставщик небанковских платежных услуг имеет право возражать против запланированного субподряда или его существенных изменений или что требуется явное одобрение;

26.7. обеспечить, чтобы небанковский поставщик платежных услуг имел договорное право расторгнуть договор в случае необоснованного заключения субподряда, например, если субподряд значительно увеличивает риски для небанковского поставщика платежных услуг, если поставщик услуг заключает субподряд без уведомления небанковского поставщика платежных услуг или если расторжение договора предписано Национальным банком Молдовы.

27. Небанковский поставщик платежных услуг может согласиться на субподряд только в том случае, если субподрядчик обязуется:

27.1. соблюдать положения Закона № 114/2012, настоящего Регламента и других применимых нормативных актов;

27.2. предоставлять небанковскому поставщику платежных услуг и Национальному банку Молдовы те же договорные права доступа и аудита, что и и те, которые предоставлены поставщиком услуг.

28. Если небанковский поставщик платежных услуг заключил договоры аутсорсинга с поставщиками услуг в рамках группы, к которой он принадлежит, небанковский поставщик платежных услуг должен обеспечить, чтобы:

28.1. органы управления несли полную ответственность за соблюдение всех нормативных требований и будут должным образом проинформированы о соответствующих изменениях в отношении поставщиков услуг;

28.2. мониторинг и аудит договоров аутсорсинга осуществлялся эффективно, в том числе путем получения соответствующих годовых отчетов, которые будут содержать, по крайней мере, краткое изложение оценки рисков и мониторинга эффективности;

28.3. получать индивидуальный реестр всех существующих договоров аутсорсинга без неоправданной задержки;

28.4. получать план выхода для значимых функций, если план задан на уровне группы.

Часть 2

Договорная стадия

29. Небанковский поставщик платежных услуг должен обеспечить надлежащий надзор за субподрядными поставщиками услуг в соответствии с политикой, определенной небанковским поставщиком платежных услуг. Если предлагаемый субподряд может иметь неблагоприятные последствия для договора аутсорсинга значимой функции или привести к увеличению риска, в том числе если условия пункта 27 не будут выполнены, небанковский поставщик платежных услуг должен реализовать свое право возражать против субподряда, если такое право было согласовано, и/или применить расторжение договора.

30. Небанковский поставщик платежных услуг обязан обеспечить соблюдение поставщиками услуг стандартов информационной безопасности или защиты информации.

31. Если применимо (например, в контексте аутсорсинга ИКТ-услуг), небанковский поставщик платежных услуг должен определить требования к безопасности данных и систем в договоре на аутсорсинг и постоянно контролировать соблюдение этих требований.

32. Без ущерба для требований, предусмотренных нормативными актами относительно обработки и защиты персональных данных, небанковский поставщик платежных услуг при аутсорсинге (особенно за рубежом) должен учитывать различия между национальными положениями о защите данных и соответствующими положениями другого государства. Небанковский поставщик платежных услуг должен гарантировать, что договор аутсорсинга включает в себя обязательство поставщика услуг защищать конфиденциальную, персональную или уязвимую информацию и соблюдать все юридические требования к защите данных, которые применяются к небанковскому поставщику платежных услуг (например, защита персональных данных и другие аналогичные обязательства по конфиденциальности в отношении информации о клиентах, при необходимости).

33. Небанковские поставщики платежных услуг должны обеспечить в рамках отношений, связанных с договором аутсорсинга, чтобы их функция внутреннего аудита имела возможность анализировать переданную функцию, используя риск-ориентированный подход.

34. Что касается аутсорсинга значимых функций, небанковский поставщик платежных услуг должен обеспечить посредством договора аутсорсинга, что поставщик услуг предоставляет ему, Национальному банку Молдовы или любому другому лицу, назначенному ими, следующее:

34.1. полный доступ ко всем соответствующим оперативным помещениям (например, центральным офисам и операционным центрам), включая полный спектр соответствующих устройств, систем, сетей, информации и данных, используемых для выполнения переданных функций, включая соответствующую финансовую информацию, персонал и внешних аудиторов поставщика услуг ("права на доступ и информацию");

34.2. неограниченные права на проверку и аудит, связанные с договором аутсорсинга ("права на аудит"), позволяющие контролировать договор аутсорсинга и обеспечивать соблюдение всех договорных и применимых требований законодательства.

35. Для аутсорсинга незначимых функций небанковский поставщик платежных услуг должен обеспечить права доступа и аудита, как указано в пунктах 33-39, на основе риск-ориентированного подхода с учетом характера аутсорсинговой функции и связанных с ней операционных и репутационных рисков, масштабируемости аутсорсинговой функции, потенциального влияния на дальнейшее функционирование его деятельности и срока действия договора. Небанковский поставщик платежных услуг должен учитывать, что переданные на аутсорсинг функции со временем могут стать значимыми.

36. Без ущерба для своей конечной ответственности за договоры аутсорсинга небанковские поставщики платежных услуг могут использовать:

36.1. централизованные аудиты, организуемые совместно с другими клиентами того же поставщика услуг и проводимые поставщиками платежных услуг и этими клиентами или назначенной ими третьей стороной, в целях более эффективного использования ресурсов аудита и снижения организационной нагрузки как для клиентов, так и для поставщика услуг;

36.2. сертификации, предоставленные третьими лицами и отчеты внутреннего аудита или сторонние отчеты, предоставленные поставщиком услуг.

37. Чтобы передать значимые функции на аутсорсинг, небанковские поставщики платежных услуг должны оценить, являются ли сторонние сертификаты и отчеты, упомянутые в подпункте 36.2, адекватными и достаточными для выполнения своих обязательств согласно законодательству, и не должны полагаться исключительно на эти отчеты с течением времени.

38. Небанковские поставщики платежных услуг должны использовать метод, указанный в подпункте 36.2, только если они:

38.1. согласны с планом аудита для аутсорсинговой функции;

38.2. обеспечивают, что предмет сертификации или аудиторского отчета охватывает системы (а именно, процессы, приложения, инфраструктуру, центры обработки данных и т. д.) и ключевые средства контроля, определенные небанковским поставщиком платежных услуг, а также соблюдение требований, вытекающих из законодательства;

38.3. тщательно и постоянно оценивают содержание сертификатов или отчетов об аудите и проверяют, что соответствующие отчеты или сертификаты не устарели;

38.4. обеспечивают включение ключевых систем и ключевых средств контроля в будущие версии отчета о сертификации или аудите;

38.5. согласны с пригодностью стороны, проводящей сертификацию или аудит (например, в отношении ротации сертифицирующего общества или аудиторской организации, квалификации, опыта, переоценки/проверки доказательств из основного дела аудита);

38.6. согласны с тем, что выдача сертификатов и проведение аудитов осуществляются в соответствии с соответствующими широко признанными профессиональными стандартами и что они включают проверку операционной эффективности реализованных ключевых средств контроля;

38.7. имеют договорное право запрашивать распространение области сертификации или аудиторских отчетов на другие соответствующие системы и средства контроля; количество и частота таких запросов на изменение объема должны быть разумными и законными с точки зрения управления рисками;

38.8. оставляют за собой договорное право проводить отдельные аудиты по своему усмотрению в отношении передачи на аутсорсинг значимых функций.

39. Перед проведением планового аудита небанковский поставщик платежных услуг, Национальный банк Молдовы и аудиторы или третьи лица, действующие от имени небанковского поставщика платежных услуг или Национального банка Молдовы, должны информировать поставщика услуг адекватно и в разумные сроки, за исключением случаев, когда это невозможно из-за чрезвычайной или кризисной ситуации или приведет к ситуации, когда аудит перестанет быть эффективным.

40. Договор аутсорсинга должен прямо разрешать небанковскому поставщику платежных услуг расторгнуть договор, в том числе в следующих ситуациях:

40.1. если поставщик услуг аутсорсинговых функций нарушает законодательство или применимые договорные положения;

40.2. если выявлены препятствия, которые изменили или могут изменить выполнение функции, переданной на аутсорсинг;

40.3. если произошли существенные изменения, влияющие на договор аутсорсинга или поставщика услуг (например, субподряд или смена субподрядчиков, изменения в организационной структуре, структуре собственности или финансовом положении поставщика услуг);

40.4. если есть недостатки в управлении и безопасности конфиденциальных, личных или уязвимых данных или информации; и

40.5. в случае мер по исправлению положения, предписанных Национальным банком Молдовы в соответствии с пп.d¹) части (2) ст.99 Закона № 114/2012.

41. Договор аутсорсинга должен способствовать передаче аутсорсинговой функции другому поставщику услуг или ее реинтеграции в рамках небанковского поставщика платежных услуг. Для этого договор аутсорсинга должен:

41.1. четко оговаривать обязательства действующего поставщика услуг в случае передачи аутсорсинговой функции другому поставщику услуг или в случае ее реинтеграции в состав небанковского поставщика платежных услуг, в том числе в отношении обработки данных;

41.2. установить соответствующий переходный период, в течение которого поставщик услуг после прекращения действия договора аутсорсинга продолжает выполнять переданную на аутсорсинг функцию, чтобы снизить риск перебоев;

41.3. включить обязанность поставщика услуг по поддержке поставщика небанковских платежных услуг с целью упорядоченной передачи функции в случае прекращения действия аутсорсингового договора.

42. Небанковские поставщики платежных услуг должны иметь, поддерживать и тестировать периодически или не реже одного раза в год адекватные планы обеспечения непрерывности бизнеса для значимых функций. Небанковские поставщики платежных услуг в рамках групповой или институциональной схемы защиты могут полагаться на централизованно установленные планы обеспечения непрерывности деятельности в отношении переданных на аутсорсинг функций.

43. Планы обеспечения непрерывности деятельности должны учитывать возможность того, что качество выполнения значимых функций, переданных на аутсорсинг, ухудшится до неприемлемого уровня или станет несоответствующим требованиям. Эти планы должны также учитывать потенциальное влияние неплатежеспособности поставщика услуг и, где это возможно, политические риски в юрисдикции поставщика услуг.

Часть 3

Требования к учету договоров аутсорсинга

44. В рамках системы управления рисками небанковские поставщики платежных услуг должны вести обновленный реестр информации о договорах аутсорсинга и документировать все текущие договора аутсорсинга, проводя различие между аутсорсингом значимых функций и другими аутсорсинговыми договорами. Небанковские поставщики платежных услуг, входящие в группу, могут вести реестр на центральном уровне.

45. Реестр должен включать как минимум следующую информацию по всем существующим договорам аутсорсинга:

45.1. ссылочный номер для каждого договора аутсорсинга;

45.2. дату начала и, если применимо, следующую дату продления договора, дату прекращения действия и/или периоды уведомления для поставщика услуг и небанковского поставщика платежных услуг;

45.3. краткое описание переданных на аутсорсинг функций, включая данные, которые передаются на аутсорсинг, а также сведения о том, были ли переданы персональные данные (например, ответ "да" или "нет" в отдельном поле данных) или передана ли их обработка поставщику услуг;

45.4. категория, присвоенная небанковским поставщиком платежных услуг, которая отражает характер функции, как указано в подпункте 45.3 (например, информационные технологии, функция контроля и т. д.), что должно облегчить идентификацию различных типов договоров;

45.5. название поставщика услуг, государственный идентификационный номер (если имеется), адрес зарегистрированного офиса и другие соответствующие контактные данные, а также название материнского общества (если применимо);

45.6. страна или страны, в которых должна предоставляться услуга, включая местоположение данных (т. е. страна или регион);

45.7. считается ли (да/нет) переданная на аутсорсинг функция значимой, включая, если применимо, изложение причин, по которым переданная на аутсорсинг функция считается значимой;

45.8. дата самой последней оценки значимости переданной на аутсорсинг функции;

45.9. другая соответствующая информация (заключенные договоры, измененные условия и т. д.).

46. Для передачи значимых функций на аутсорсинг в реестр должна быть включена как минимум следующая дополнительная информация:

46.1. является ли поставщик услуг или поставщик услуг-субподрядчик частью группы, независимо от того, принадлежит ли он небанковским поставщикам платежных услуг внутри группы;

46.2. дата последней оценки риска и краткое изложение основных результатов;

46.3. лицо или орган, принимающий решения (например, орган управления) небанковского поставщика платежных услуг, утвердивший договор аутсорсинга;

46.4. законодательство, применимое к договору аутсорсинга;

46.5. дата самого последнего аудита и дата следующего планового аудита, если применимо;

46.6. где это применимо, имена субподрядчиков, которым передаются значительные части значимых функций, включая страну, в которой субподрядчики зарегистрированы, где предоставляются услуги и, если применимо, место (т. е. страна или регион), где будут храниться данные;

46.7. результат оценки взаимозаменяемости поставщика услуг (например, простая, сложная или невозможная), возможность реинтеграции значимой функции в рамках небанковского поставщика платежных услуг или влияние нарушения значимой функции;

46.8. выявление альтернативных поставщиков услуг в соответствии с подпунктом 46.7;

46.9. если значимая аутсорсинговая функция поддерживает экономические операции, которые являются критическими с точки зрения времени;

46.10. стоимость предполагаемого годового бюджета.

47. Небанковские поставщики платежных услуг должны предоставлять Национальному банку Молдовы по запросу либо полный реестр всех существующих аутсорсинговых контрактов, либо отдельные его части, например, информацию обо всех аутсорсинговых договорах, которые попадают в одну из категорий, установленных в соответствии с подпунктом 45.4. Небанковские поставщики платежных услуг должны предоставлять эту информацию в электронной форме, которая может быть обработана (например, в обычно используемом формате базы данных, значения, разделенные запятыми).

48. Небанковские поставщики платежных услуг должны предоставлять Национальному банку Молдовы по запросу всю информацию, необходимую для осуществления эффективного надзора за небанковским поставщиком платежных услуг, включая, если применимо, копию договора аутсорсинга.

49. Без ущерба для части (1) ст.28 Закона № 114/2012, небанковские поставщики платежных услуг должны надлежащим образом и своевременно информировать Национальный банк Молдовы или участвовать в надзорном диалоге с Национальным банком Молдовы относительно планируемого аутсорсинга значимых функций и/или если переданная на аутсорсинг функция стала значимой, и должны предоставить как минимум информацию, упомянутую в пункте 45, а также запросить предварительное разрешение Национального банка Молдовы, подав заявление в соответствии с положениями пункта 12.

50. Небанковские поставщики платежных услуг должны информировать Национальный банк Молдовы в течение 10 рабочих дней о существенных изменениях и/или серьезных событиях, связанных с их договорами аутсорсинга, которые могут оказать серьезное влияние на предоставление платежных услуг или на непрерывность деятельности небанковских поставщиков платежных услуг.

51. Небанковские поставщики платежных услуг должны документировать оценки, проведенные в соответствии с настоящим Регламентом, и результаты их постоянного мониторинга (например, эффективность работы поставщика услуг, соблюдение согласованных уровней обслуживания, других договорных и нормативных требований, обновленную информацию об оценке рисков).

52. Небанковские поставщики платежных услуг должны информировать Национальный банк Молдовы в течение не более 5 рабочих дней о любом инциденте, значительной динамике, зафиксированной на уровне рисков, связанных с аутсорсинговой деятельностью/операцией, которые представляют собой ситуацию или эффект с точки зрения управления рисками, связанными с деятельностью небанковского поставщика платежных услуг, которые могут привести к прерыванию аутсорсинговой деятельности/операции и неспособности небанковского поставщика платежных услуг соблюдать законодательство в области.

Глава III

ОТВЕТСТВЕННОСТЬ ОРГАНА УПРАВЛЕНИЯ

53. Орган управления небанковского поставщика платежных услуг всегда несет полную ответственность, как минимум, за:

53.1. обеспечение того, чтобы небанковский поставщик платежных услуг постоянно выполнял условия, которые он должен соблюдать, чтобы оставаться лицензированным, включая любые другие условия, установленные Национальным банком Молдовы;

53.2. внутреннюю организацию небанковского поставщика платежных услуг;

53.3. выявление, оценку и управление конфликтами интересов;

53.4. определение стратегии и политики небанковского поставщика платежных услуг (например, бизнес-модель, склонность к риску, система управления рисками);

53.5. мониторинг ежедневного надзора небанковского поставщика платежных услуг за деятельностью аутсорсинга и работой поставщика услуг, включая управление всеми рисками, связанными с аутсорсингом.

54. Небанковский поставщик платежных услуг должен:

54.1. четко распределять обязанности по документации, управлению и контролю аутсорсинговых договоров;

54.2. выделять достаточные ресурсы для обеспечения соблюдения всех требований, предусмотренных нормативной базой, документацией и мониторингом всех аутсорсинговых договоров;

54.3. с учетом принципа пропорциональности, указанного в пункте 4, устанавливать функцию аутсорсинга или назначить лицо, выполняющее ключевую функцию, которое несет прямую ответственность перед органом управления за управление и надзор за рисками, связанными с аутсорсинговыми договорами, в рамках системы внутреннего контроля небанковского поставщика платежных услуг и надзор за документацией аутсорсинговых договоров. Небанковский поставщик платежных услуг должен, по крайней мере, обеспечить четкое разделение задач и ответственности по управлению и контролю аутсорсинговых договоров.

55. Небанковские поставщики платежных услуг должны всегда сохранять способность осуществлять свою основную деятельность. С этой целью они должны:

55.1. постоянно выполнять все свои условия лицензирования, включая эффективное выполнение органом управления своих обязанностей, изложенных в пункте 53;

55.2. поддерживать четкую и прозрачную организационную структуру, позволяющую обеспечивать соблюдение требований нормативной базы;

55.3. если оперативные задачи функций внутреннего контроля передаются на аутсорсинг (например, в случае внутригруппового аутсорсинга), осуществлять соответствующий надзор и быть в состоянии управлять рисками, возникающими в результате аутсорсинга значимых функций;

55.4. иметь достаточные ресурсы и возможности для обеспечения соблюдения положений подпунктов 55.1-55.3.

56. Орган управления небанковского поставщика платежных услуг, имеющего договоры аутсорсинга или намеревающегося заключить такие договоры, должен утвердить, внедрить и периодически обновлять (период между обновлениями не должен превышать 12 месяцев) политику аутсорсинга, охватывающую как минимум аспекты, изложенные в пункте 58.

57. При аутсорсинге небанковские поставщики платежных услуг должны, как минимум, гарантировать, что:

57.1. могут принимать и реализовывать решения, связанные со своей предпринимательской деятельностью и значимыми функциями, в том числе переданными на аутсорсинг;

57.2. поддерживают порядок деятельности и предоставляемых ими платежных услуг;

57.3. риски, связанные с текущими и планируемыми договорами аутсорсинга, должным образом выявляются, оцениваются, управляются и смягчаются, включая риски, связанные с ИКТ и финансовыми технологиями;

57.4. имеются соответствующие меры конфиденциальности в отношении данных и другой информации;

57.5. поддерживается адекватный поток соответствующей информации с поставщиками услуг;

57.6. в отношении аутсорсинга значимых функций они способны предпринять хотя бы одно из следующих действий в течение соответствующего периода времени:

57.6.1. передача функций альтернативным поставщикам услуг;

57.6.2. реинтеграция функции;

57.6.3. прерывание деловой деятельности, которая зависит от этой функции.

57.7. если персональные данные обрабатываются поставщиками услуг за пределами Республики Молдова, применяются адекватные меры и данные обрабатываются в соответствии с законодательством Республики Молдова, касающейся области обработки и защиты персональных данных.

Глава IV

ПОЛИТИКА АУТСОРСИНГА

58. Политика аутсорсинга должна определять принципы, обязанности и процессы, связанные с аутсорсингом и, по крайней мере, нацелены на:

58.1. обязанности органа управления в соответствии с пунктом 53, включая его участие, в зависимости от обстоятельств, при принятии решений по аутсорсингу значимых функций;

58.2. вовлечение лиц, ответственных за линии деятельности, функции внутреннего контроля и других лиц в аутсорсинговые договора;

58.3. планирование аутсорсинговых договоров, в том числе:

58.3.1. определение бизнес-требований в отношении договоров аутсорсинга;

58.3.2. критерии, включая упомянутые в пунктах 7 и 23, и процессы определения значимых функций;

58.3.3. идентификация, оценка и управление рисками в соответствии с частью 1 главы VII;

58.3.4. проверка потенциальных поставщиков услуг в соответствии с обязанностью добросовестности небанковского поставщика платежных услуг, включая меры, требуемые в соответствии с пунктами 91–93;

58.3.5. процедуры выявления, оценки, управления и смягчения потенциальных конфликтов интересов в соответствии с частью 2 главы VII;

58.3.6. планирование непрерывности деятельности в соответствии с пунктами 42 и 43;

58.3.7. процесс утверждения новых договоров аутсорсинга;

58.4. реализация, мониторинг и управление договорами аутсорсинга , в том числе:

58.4.1. непрерывная оценка деятельности поставщика услуг в соответствии с частью 1 главы VIII 1;

58.4.2. процедуры уведомления и ответа на поправки к договору аутсорсинга или поставщике услуг (например, финансовое положение, организационные или имущественные структуры, субподряды);

58.4.3. независимая оценка и аудит соблюдения требований правовой базы;

58.4.4. процессы обновления;

58.5. документация и ведение записей с учетом требований части 3 главы II;

58.6. стратегии выхода и процессы прекращения, включая требование о наличии документированного плана выхода для каждой значимой функции, передаваемой на аутсорсинг, если такой выход считается возможным, с учетом возможных перебоев в обслуживании или неожиданного прекращения действия договора аутсорсинга.

59. Политика аутсорсинга должна дифференцировать следующее:

59.1. аутсорсинг значимых функций и других договоров аутсорсинга;

59.2. аутсорсинг поставщикам услуг, имеющим лицензию/разрешение компетентного органа, и тем, кто не имеет лицензии/разрешения;

59.3. внутригрупповые аутсорсинговые договора и аутсорсинг организациям, не входящим в группу;

59.4. аутсорсинг поставщикам услуг, находящимся в Республике Молдова и за рубежом.

60. Небанковские поставщики платежных услуг должны обеспечить, чтобы политика охватывала выявление следующих потенциальных последствий договоров аутсорсинга значимых функций и чтобы они учитывались в процессе принятия решений:

60.1. профиль риска небанковского поставщика платежных услуг;

60.2. способность контролировать поставщика услуг и управлять рисками;

60.3. меры по обеспечению непрерывности деятельности;

60.4. осуществление своей деловой деятельности.

Глава V

ТРЕБОВАНИЯ К АУДИТУ

Часть 1

Аудит аутсорсинговой деятельности

61. Деятельность функции аудита должна охватывать, следуя подходу, основанному на оценке риска, независимую проверку деятельности, переданной на аутсорсинг. План и программа аудита должны включать, в частности, договоры аутсорсинга значимых функций.

62. В случае если аудит услуг/систем информационно-коммуникационных технологий (далее – ИКТ-аутсорсинг), которые считаются значимыми, по крайней мере, один аудитор имеет сертификат/сертификаты аудита информационных систем CISA.

63. Что касается процесса аутсорсинга, функция аудита должна подтвердить как минимум:

63.1. правильное и эффективное внедрение системы аутсорсинга небанковского поставщика платежных услуг, включая политику аутсорсинга, в соответствии с действующим законодательством, стратегией управления рисками и решениями органов управления;

63.2. соответствующий характер, качество и эффективность оценки значимости функций;

63.3. соответствующий характер, качество и эффективность оценки рисков для договоров аутсорсинга и поддержания соответствия риска со стратегией риска учреждения;

63.4. соответствующее участие органов управления;

63.5. надлежащий мониторинг и администрирование аутсорсинговых договоров.

Часть 2

Требования к субъекту аудита, осуществляющему внешний аудит

64. Национальный банк Молдовы утверждает аудиторскую организацию, которая осуществляет внешний аудит переданных функций. Небанковский поставщик платежных услуг проводит ежегодный внешний аудит переданных на аутсорсинг функций.

65. Национальный банк Молдовы утверждает субъект аудита, который в совокупности соответствует следующим критериям:

65.1. имеет опыт работы в сфере аудита не менее 3 лет;

65.2. опыт субъекта аудита включает проекты аудита, аналогичные тому, который будет осуществляться в связи с внешним аудитом функций, переданных на аутсорсинг;

65.3. аудиторский субъект, а также группа аудиторской организации, назначенная для миссии внешнего аудита функций, переданных на аутсорсинг, соответствуют лучшим стандартам и практикам в области аудита;

65.4. в случае внешнего аудита аутсорсинговых функций, связанных с обработкой платежей с платежными картами:

65.4.1. аудиторская организация имеет квалификацию QSA, если поставщик не подлежит ежегодному аудиту, проводимому аудиторской организацией, имеющей квалификацию QSA, или

65.4.2. по крайней мере, один член аудиторской группы аудиторской организации, нанятой небанковским поставщиком платежных услуг, имеет квалификацию CISA или CISSP, если поставщик подлежит ежегодному аудиту, проводимому аудиторской организацией, имеющей квалификацию QSA, и его отчет доступен небанковскому поставщику платежных услуг и Национальному банку Молдовы;

65.5. в случае аудита услуг/систем информационно-коммуникационных технологий, переданных на аутсорсинг (далее – ИКТ-аутсорсинг) со значимыми функциями, по крайней мере, один член аудиторской группы имеет сертификат/сертификаты аудита информационных систем CISA.

66. Для получения разрешения Национального банка Молдовы небанковский поставщик платежных услуг подает заявление с приложением следующих документов и информации:

66.1. выписка из протокола общего собрания акционеров/участников небанковского поставщика платежных услуг или, в зависимости от обстоятельств, органа управления/члена органа управления, уполномоченного уставом небанковского поставщика платежных услуг, на котором принято решение об утверждении/назначении аудиторской организации для проведения внешнего аудита переданных функций;

66.2. описание графика планируемой деятельности аудируемого лица по внешнему аудиту переданных функций на период управления;

66.3. заявление под собственную ответственность об отсутствии тесных связей субъекта аудита с небанковским поставщиком платежных услуг, подписанное ответственным лицом/руководителем субъекта аудита;

66.4. заявление под собственную ответственность о независимости аудиторов от команды аудиторской организации в соответствии с законодательством в области аудита, подписанное ответственным лицом/руководителем аудиторской организации;

66.5. согласованный проект договора на проведение аудита, который будет заключен между небанковским поставщиком платежных услуг и субъектом аудита, который включает как минимум следующее:

66.5.1. цель и сфера применения аудита;

66.5.2. обязанность аудиторской организации подготовить аудиторское заключение в соответствии со стандартами аудита, а также письмо на имя руководства, которое аудиторская организация обязана представить органу управления/члену органа управления небанковского поставщика платежных услуг и Национальному банку Молдовы, в течение 120 дней с последнего дня отчетного периода;

66.5.3. период управления, в течение которого проводится аудит в соответствии с Законом о бухгалтерском учете и финансовой отчетности № 287/2017;

66.5.4. обязанность субъекта аудита уведомить небанковского поставщика платежных услуг об изменении информации, относящейся к критериям, указанным в пункте 65, в течение 5 рабочих дней со дня изменения;

66.5.5. обязанность аудиторской организации передать Национальному банку Молдовы информацию, полученную в ходе аудиторской миссии, в случаях, предусмотренных частью (2) ст.30 Закона № 114/2012 и то, что это не является нарушением обязанности соблюдать конфиденциальность информации, связанной с деятельностью небанковского поставщика платежных услуг, которая в соответствии с законодательством или договорными условиями возлагается на аудиторское общество и не может влечь за собой ответственности любого характера.

66.6. сведения об обучении/профессиональной подготовке и опыте членов команды аудиторского субъекта в области внешнего аудита проверяемых аутсорсинговых функций, согласно пункту 65, с приложением копий подтверждающих документов, соответствие которых оригиналу подтверждено собственноручной или квалифицированной электронной подписью органа управления/члена органа управления.

Эта информация будет содержать как минимум: имя, фамилию; должность, занимаемую в аудиторском обществе; область ответственности внутри коллектива аудиторского субъекта; информацию об обучении/сертификатах (название учебного заведения, год, серия и номер диплома/сертификата); информацию об опыте работы в сфере аудита (название субъекта, год участия, сфера ответственности в команде субъекта аудита).

[Пкт.66 (подпкт.66.6) изменен Пост.НБМ N 229 от 02.10.2025, в силу 09.10.2025]

67. Заявление, а также прилагаемые документы и информация, указанные в пункте 66, должны быть составлены на румынском языке и представлены в Национальный банк Молдовы в копиях, соответствие которых оригиналу подтверждено собственноручной или квалифицированной электронной подписью органа управления/члена органа управления небанковской платежной системы, в течение 20 рабочих дней с момента утверждения/назначения аудитора общим собранием акционеров/участников небанковского поставщика платежных услуг или, в зависимости от обстоятельств, органом управления/членом органа управления, уполномоченным уставом небанковского поставщика платежных услуг. Национальный банк Молдовы в течение 30 дней со дня получения полного пакета документов и информации утверждает или отказывает в утверждении назначенного аудитора, письменно информируя о своем решении небанковского поставщика платежных услуг.

[Пкт.67 изменен Пост.НБМ N 229 от 02.10.2025, в силу 09.10.2025]

68. Национальный банк Молдовы проверяет полноту информации и документов, указанных в пункте 66 в течение 10 дней со дня их получения, имея право требовать от небанковского поставщика платежных услуг предоставления любых документов, указанных в пункте 66, в оригинале, когда сочтет это необходимым.

[Пкт.68 дополнен Пост.НБМ N 229 от 02.10.2025, в силу 09.10.2025]

69. Если в результате проверки полноты будет установлено, что представленные документы являются неполными или, в зависимости от обстоятельств, необходимо представить их в оригинале в соответствии с пунктом 68, Национальный банк Молдовы письменно информирует небанковского поставщика платежных услуг о недостатках, которые он должен устранить, а также о документах и информации, которые необходимо предоставить. Небанковский поставщик платежных услуг в течение 15 дней со дня получения письма Национального банка Молдовы заполняет и представляет в Национальный банк Молдовы недостающие документы и/или информацию и/или оригинальные документы, затребованные согласно пункту 68. 30-дневный срок, указанный в пункте 67, начинает течь после того, как Национальный банк Молдовы установит, что небанковский поставщик платежных услуг представил полный пакет документов и информации.

[Пкт.69 дополнен Пост.НБМ N 229 от 02.10.2025, в силу 09.10.2025]

70. В случае, если небанковский поставщик платежных услуг не устранит недостатки и/или не предоставит запрошенные документы и информацию в срок, предусмотренный пунктом 69, Национальный банк Молдовы информирует небанковского поставщика платежных услуг о прекращении административной процедуры.

71. Решение Национального банка Молдовы об отказе в утверждении субъекта аудита должно содержать основания, на основании которых отказано в утверждении субъекта аудита, запрошенном небанковским поставщиком платежных услуг. Основаниями для отказа считаются:

71.1. представление ошибочной информации в Национальный банк Молдовы;

71.2. несоответствие субъекта аудита хотя бы одному из критериев, указанных в пункте 65;

72. В ходе внешнего аудита функций, переданных на аутсорсинг небанковскому поставщику платежных услуг, субъект аудита проверяет и оценивает, по меньшей мере, следующие аспекты, не ограничиваясь ими:

72.1. адекватность и выполнение внутренних регламентов небанковских поставщиков платежных услуг в сфере аутсорсинга;

72.2. соответствие внутренних регламентов поставщика характеру переданных на аутсорсинг значимых функций;

72.3. возможности поставщика услуг (финансовые, технологические, организационные и т. д.) для качественного, безопасного и непрерывного выполнения переданных на аутсорсинг функций;

72.4. способ управления рисками и инцидентами, связанными с аутсорсингом;

72.5. соблюдение договорной базы аутсорсинга.

73. Национальный банк Молдовы может запросить инициирование внешнего аудита переданных на аутсорсинг функций, представив требования относительно порядка, формы, периода, условий проведения проверки и оценки, включая требования к аудиторской группе, а также срок представления отчета внешнего аудитора переданных на аутсорсинг функций.

74. Внешний аудит переданных на аутсорсинг функций может осуществляться по инициативе и по поручению поставщика услуг при условии соблюдения требований, установленных пунктами 64-73, а также представления поставщиком отчета внешнего аудитора о переданных на аутсорсинг функциях.

75. Отчет о внешнем аудите переданных на аутсорсинг функций представляется в Национальный банк Молдовы в течение 10 дней со дня подписания отчета руководителем субъекта аудита и руководителем группы субъекта аудита.

Глава VI

АУТСОРСИНГ ИНФОРМАЦИОННО-КОММУНИКАЦИОННЫХ ТЕХНОЛОГИЙ

76. Данная глава применяется к небанковским поставщикам платежных услуг, которые намерены передать ИКТ на аутсорсинг, включая управление информационными системами.

77. В случае аутсорсинга ИКТ небанковский поставщик платежных услуг составляет проект договора на аутсорсинг ИКТ, который будет включать как минимум:

77.1. обязанность поставщика услуг в случае необходимости заключить договор обязательного страхования в отношении конкретных выявленных рисков, имеющих низкую вероятность реализации, но имеющих существенное влияние;

77.2. положения, касающиеся информационной безопасности и непрерывности деятельности, которые будут содержать как минимум следующее:

77.2.1 обязательство поставщика услуг соблюдать правила ИКТ, а также стандарты информационной безопасности и непрерывности бизнеса, применимые к небанковскому поставщику платежных услуг;

77.2.2 особые требования безопасности и непрерывности, представленные небанковским поставщиком платежных услуг для аутсорсинговых ИКТ, которые хранят или содержат персональные данные;

77.2.3 требования к обеспечению доступности, целостности и конфиденциальности данных небанковского поставщика платежных услуг в информационной системе поставщика услуг;

77.2.4 обязанность поставщика услуг хранить данные небанковского поставщика платежных услуг в ИТ-системах и базах данных таким образом, чтобы обеспечить идентификацию, экспорт/извлечение и удаление данных по запросу небанковского поставщика платежных услуг;

77.2.5 требования к поставщику услуг относительно времени восстановления услуг аутсорсинга ИКТ, считающихся существенными в случае инцидентов;

77.3. положения о праве небанковского поставщика платежных услуг на доступ к ИКТ и информации, которые будут содержать как минимум следующее:

77.3.1 право небанковского поставщика платежных услуг и Национального банка Молдовы запрашивать и получать от поставщика услуг без неоправданной задержки аудиторские отчеты и соответствующие резервные копии в результате расследований, аудиторских миссий или в случае прерывания отношений с поставщиком услуг по любой причине;

77.3.2 право небанковского поставщика платежных услуг проводить аудит переданных на аутсорсинг ИКТ с использованием для этой цели контрольных отчетов органов надзора поставщика услуг. В зависимости от обстоятельств, в соответствующих случаях, небанковский поставщик платежных услуг должен обеспечить возможность проведения тестов на проникновение сторонних услуг ИКТ, предоставляемых небанковскому поставщику платежных услуг поставщиком услуг.

78. Небанковский поставщик платежных услуг в целях обеспечения эффективного управления рисками, связанными с реинтеграцией аутсорсинговых ИКТ, в связи с прерыванием отношений с поставщиком услуг, предпримет как минимум следующие меры:

78.1. разработает стратегию реинтеграции аутсорсинговых ИКТ, которая обеспечит непрерывность деятельности небанковского поставщика платежных услуг, соблюдение требований нормативной базы и избежание влияния на качество обслуживания клиентов в случае прерывания отношений с поставщиком услуг;

78.2. обеспечит, чтобы стратегия, предусмотренная подпунктом 78.1 настоящего пункта, содержала как минимум следующее:

78.2.1. цели стратегии;

78.2.2. анализ воздействия и анализ рисков, связанных с процессом реинтеграции аутсорсинговых услуг ИКТ;

78.2.3. определение организационно-технических, человеческих и финансовых ресурсов, включая период, необходимый для реализации стратегии;

78.2.4. распределение ролей и ответственности за управление стратегией;

78.2.5. успешные критические факторы в процессе реинтеграции;

78.2.6. показатели эффективности и качества аутсорсинговых услуг, которые будут контролироваться небанковским поставщиком платежных услуг и которые будут инициировать применение стратегии;

78.3. будет пересматривать, по крайней мере, один раз в год стратегию реинтеграции аутсорсинговых услуг ИКТ, чтобы гарантировать ее жизнеспособность.

79. Небанковский поставщик платежных услуг, чтобы обеспечить в чрезвычайных случаях непрерывность деятельности в отношении переданных на аутсорсинг ИКТ, которые считаются значимыми, будет соблюдать, по крайней мере, следующие аспекты:

79.1. выделение достаточных технических ресурсов для обеспечения в соответствии с планом непрерывности на территории небанковского поставщика платежных услуг непрерывности аутсорсинговых ИКТ и возможности быстрого восстановления или адаптации к неблагоприятным ситуациям или изменениям в случае крупного инцидента/чрезвычайной ситуации у поставщика услуг;

79.2. наличие человеческих ресурсов, обладающих достаточными знаниями для обеспечения, при необходимости, реинтеграции/замены/непрерывности в соответствии с планом непрерывности небанковского поставщика платежных услуг, аутсорсинговых ИКТ;

79.3. разработка планов обеспечения непрерывности, которые позволят в оптимальные сроки полностью возобновить в офисах небанковского поставщика платежных услуг любые переданные на аутсорсинг ИКТ, которые считаются значимыми;

79.4. организация совместно с поставщиком услуг тестирования аутсорсинговых планов обеспечения непрерывности ИКТ, считающихся значимыми, с их восстановлением в офисе небанковского поставщика платежных услуг.

Глава VII

УПРАВЛЕНИЕ РИСКАМИ И КОНФЛИКТАМИ ИНТЕРЕСОВ,

СВЯЗАННЫМИ С АУТСОРСИНГОМ

Часть 1

Управление рисками

80. При составлении договора аутсорсинга небанковский поставщик платежных услуг будет учитывать индивидуальный профиль риска, характер и бизнес-модель, масштаб и сложность деятельности небанковского поставщика платежных услуг, чтобы эффективно достичь целей требований, установленных нормативной базой.

81. Небанковские поставщики платежных услуг должны ежегодно оценивать потенциальное влияние договоров аутсорсинга на их операционный риск, должны учитывать результаты оценки при принятии решения о том, следует ли передать функцию на аутсорсинг поставщику услуг, и должны принимать соответствующие меры во избежание неоправданных дополнительных операционных рисков до заключения договоров аутсорсинга. Период между оценками не будет превышать 12 месяцев.

82. Оценка должна включать, по мере необходимости, сценарии возможных событий риска, включая события очень серьезного операционного риска. В рамках анализа сценариев небанковские поставщики платежных услуг должны оценить потенциальное влияние плохих или неадекватных услуг, включая риски, связанные с внешними процессами, системами, людьми или событиями. Небанковские поставщики платежных услуг, принимая во внимание принцип пропорциональности, упомянутый в пункте 4, должны документировать проведенный анализ и полученные результаты, а также оценить степень, в которой договор аутсорсинга увеличит или уменьшит их операционный риск.

83. В рамках оценки рисков небанковские поставщики платежных услуг должны также учитывать ожидаемые выгоды и затраты предлагаемого договора аутсорсинга, включая взвешивание любого риска, который можно уменьшить или лучше контролировать, по сравнению с любым риском, который может возникнуть в результате предлагаемого договора аутсорсинга, принимая во внимание как минимум:

83.1. риски концентрации, в том числе от:

83.1.1. аутсорсинга доминирующему поставщику услуг, которого невозможно легко заменить;

83.1.2. множественных договоров аутсорсинга с одним и тем же поставщиком услуг или тесно связанными поставщиками услуг;

83.2. совокупных рисков, возникающих в результате передачи на аутсорсинг нескольких функций внутри небанковского поставщика платежных услуг, а в случае групп лиц - совокупных рисков на консолидированной основе;

83.3. мер, принимаемых небанковским поставщиком платежных услуг и поставщиком услуг для управления и снижения рисков.

84. Если договор аутсорсинга включает в себя возможность для поставщика услуг передавать важные функции другим поставщикам услуг по субподряду, небанковский поставщик платежных услуг должен учесть:

84.1. риски, связанные с субподрядом, включая дополнительные риски, которые могут возникнуть, если субподрядчик находится за рубежом или в другой стране, чем поставщик услуг;

84.2. риск того, что длинные и сложные цепочки субподрядов уменьшат способность небанковского поставщика платежных услуг контролировать значительную аутсорсинговую функцию, а также способность Национального банка Молдовы эффективно контролировать их.

85. При проведении оценки рисков перед аутсорсингом и в ходе постоянного мониторинга деятельности поставщика услуг небанковский поставщик платежных услуг должен как минимум:

85.1. идентифицировать и классифицировать соответствующие функции и связанные с ними данные и системы с точки зрения чувствительности и необходимых мер безопасности;

85.2. проводить углубленный анализ с учетом рисков функций, данных и связанных систем, которые рассматриваются для аутсорсинга или были переданы на аутсорсинг, и устранить потенциальные риски, в частности операционные риски, включая юридические, ИКТ, нормативные и репутационные риски, а также надзорные ограничения, связанные со странами, в которых аутсорсинговые услуги предоставляются или могут предоставляться и в которых данные хранятся или могут храниться;

85.3. учитывать последствия места нахождения поставщика услуг (внутри или за пределами Республики Молдова);

85.4. принимать во внимание политическую стабильность и ситуацию с безопасностью в соответствующих юрисдикциях, в том числе:

85.4.1. законодательство, включая законодательство о защите данных;

85.4.2. положения законодательства о несостоятельности, которые будут применяться в случае неплатежеспособности поставщика услуг, и любые ограничения, которые могут возникнуть в отношении срочного восстановления, в частности, данных небанковского поставщика платежных услуг;

85.5. определять и принимать решения о соответствующем уровне защиты конфиденциальности данных, о непрерывности аутсорсинговой деятельности, а также о целостности и прослеживаемости данных и систем в контексте соответствующего аутсорсинга. Небанковский поставщик платежных услуг должен также рассмотреть конкретные меры, где это необходимо, для данных в пути, данных в памяти и данных в состоянии покоя, например, использование технологий шифрования в сочетании с соответствующей архитектурой управления ключами.

86. Прежде чем заключить договор аутсорсинг и рассмотреть операционные риски, связанные с функцией, передаваемой на аутсорсинг, небанковский поставщик платежных услуг должен убедиться в рамках процесса отбора и оценки, что поставщик услуг адекватен. Поставщик считается адекватным, если отсутствует негативная информация о профессиональной компетентности при выполнении переданных функций и его добросовестности.

87. Небанковский поставщик платежных услуг при оценке поставщика в соответствии с пунктом 86 будет учитывать как минимум следующее:

87.1. бизнес-модель поставщика и его положение на рынке (характер, масштаб, сложность его бизнеса, его финансовое положение, включая основные показатели эффективности, организационная структура и структура собственности поставщика, а также структура группы, если таковая имеется);

87.2. результаты оценок и обзоров, отраженные в последнем отчете об оценке, если поставщик находится под надзором компетентного органа;

87.3. отчеты о внутреннем аудите и/или внешнем аудите поставщика за последний год перед передачей на аутсорсинг значимых операционных функций, если таковые имеются;

87.4. сведения о судимости и нахождении под уголовным расследованием, санкциях, примененных к поставщику в соответствии с налоговым и таможенным законодательством, а также о мерах и санкциях, применяемых любым надзорным органом или профессиональным органом в экономической сфере в отношении поставщика;

87.5. информация о политике конфиденциальности и безопасности данных, хранящихся в результате аутсорсинга.

88. Способ запроса и оценки информации, на основании которой будет осуществляться оценка поставщика согласно пунктам 86 и 87, форма ее предоставления небанковскому поставщику платежных услуг (декларации о собственной ответственности, справки или иные документы, выданные органами государственной власти или иными лицами), устанавливаются внутренними нормативными актами небанковского поставщика платежных услуг.

89. Небанковский поставщик платежных услуг фиксирует в письменной форме результаты оценки, указанной в пунктах 86 и 87, в том числе окончательное заключение о соответствии поставщика критериям, установленным во внутренних положениях небанковского поставщика платежных услуг в отношении аутсорсинга его функций, и требованиям настоящего Регламента.

90. Что касается существенных функций, помимо требований, установленных в пунктах 86-89, небанковские поставщики платежных услуг должны гарантировать, что поставщик услуг имеет хорошую деловую репутацию, адекватные и достаточные навыки, опыт, знания, способность выполнять значимые аутсорсинговые функции, ресурсы (например, человеческие, ИТ, финансовые ресурсы), организационную структуру и, если применимо, необходимую лицензию или регистрацию для надежного и профессионального выполнения важной функции с целью выполнения своих обязательств на протяжении всего срока действия договорного проекта. Считается, что поставщик имеет хорошую деловую репутацию, если отсутствует негативная информация о профессиональной компетентности при осуществлении аутсорсинговой деятельности/операции и ее добросовестности.

91. Дополнительные факторы, которые должен учитывать небанковский поставщик платежных услуг при оценке деловой репутации потенциального поставщика услуг, включают, помимо прочего:

91.1. его бизнес-модель, характер, масштаб, сложность бизнеса, его финансовое положение, структура собственности и, если применимо, структура группы;

91.2. долгосрочные отношения с поставщиками услуг, которые уже прошли оценку и предоставляют услуги небанковскому поставщику платежных услуг;

91.3. если поставщик услуг является материнским предприятием или дочерним предприятием небанковского поставщика платежных услуг;

91.4. контролируется ли поставщик услуг компетентными органами;

91.5. информация о политике конфиденциальности и безопасности данных, которые хранятся или будут храниться в результате аутсорсинга.

92. Если аутсорсинг предполагает обработку персональных или конфиденциальных данных, небанковский поставщик платежных услуг должен обеспечить реализацию поставщиком услуг соответствующих технических и организационных мер для защиты данных.

93. Небанковский поставщик платежных услуг должен принять необходимые меры для обеспечения того, чтобы поставщики услуг действовали в соответствии с ценностями и кодексом поведения небанковского поставщика платежных услуг. В частности, в отношении поставщиков услуг, расположенных за рубежом, и, где применимо, их субподрядчиков, небанковские поставщики платежных услуг должны обеспечить, чтобы поставщик услуг действовал этически и социально ответственно.

Часть 2

Управление конфликтами интересов

94. Небанковские поставщики платежных услуг должны выявлять, оценивать и управлять конфликтами интересов в отношении своих договоров аутсорсинга.

95. Если аутсорсинг создает значительные конфликты интересов, в том числе между организациями внутри одной группы, небанковский поставщик платежных услуг должен принять соответствующие меры для управления этими конфликтами интересов.

96. Если функции обеспечивает поставщик услуг, входящий в группу или принадлежащий небанковскому поставщику платежных услуг, группе, условия, в том числе финансовые условия аутсорсинговой услуги, должны определяться объективно. Однако при установлении цен на услуги можно учитывать синергию, возникающую в результате предоставления одних и тех же или аналогичных услуг нескольким организациям внутри группы, при условии, что поставщик услуг остается автономно жизнеспособным; внутри группы на это не должна влиять недееспособность другого объекта в группе.

Глава VIII

НАДЗОР ЗА ПОСТАВЩИКАМИ УСЛУГ, СТРАТЕГИИ ВЫХОДА

Часть 1

Осуществление надзора за функциями, переданными на аутсорсинг,

небанковским поставщиком платежных услуг

97. Небанковский поставщик платежных услуг должен постоянно контролировать работу поставщиков услуг в отношении всех договоров аутсорсинга, основываясь на риск-ориентированном подходе и уделяя первоочередное внимание передаче значимых функций на аутсорсинг, включая обеспечение доступности, целостности и безопасности данных и информации. Если риск, характер или масштаб переданной на аутсорсинг функции существенно изменились, небанковский поставщик платежных услуг должен провести повторную оценку значимости этой функции в соответствии с пунктами 7 и 23.

98. Небанковский поставщик платежных услуг должен проявлять необходимую компетентность, осторожность и усердие при мониторинге и управлении аутсорсинговыми договорами.

99. Небанковские поставщики платежных услуг должны отслеживать и управлять своими внутренними рисками концентрации, вызванными договорами аутсорсинга, с учетом положений части 1 главы VII.

100. Небанковские поставщики платежных услуг должны обеспечивать на постоянной основе, уделяя особое внимание важным аутсорсинговым функциям, чтобы договоры аутсорсинга соответствовали необходимым стандартам производительности и качества в соответствии с их политикой путем:

100.1. обеспечения регулярного получения соответствующих отчетов от поставщиков услуг;

100.2. оценки эффективности поставщиков услуг, которая предполагает использование таких инструментов, как ключевые показатели эффективности, ключевые показатели контроля, отчеты о предоставлении услуг, самосертификация и независимая оценка;

100.3. рассмотрения всей другой соответствующей информации, полученной от поставщика услуг, включая отчеты о гарантиях и тестировании непрерывности деятельности.

101. Небанковские поставщики платежных услуг должны учитывать все признаки того, что поставщики услуг, скорее всего, не будут выполнять значимую функцию, переданную на аутсорсинг, эффективно или в соответствии с применимыми требованиями, вытекающими из нормативной базы. В случае выявления недостатков небанковские поставщики платежных услуг должны принять соответствующие корректирующие или исправительные меры. Такие меры могут включать в себя расторжение договора аутсорсинга с немедленным вступлением в силу, если это необходимо.

Часть 2

Стратегии выхода

102. При передаче значимых функций на аутсорсинг небанковские поставщики платежных услуг должны иметь документированную стратегию выхода, соответствующую их политике аутсорсинга и планам обеспечения непрерывности деятельности, принимая во внимание как минимум следующие возможности:

102.1. прекращение договоров аутсорсинга;

102.2. неспособность поставщика услуг;

102.3. ухудшение качества предоставляемой функции и фактические или потенциальные перерывы в деятельности, вызванные неадекватным предоставлением функции или необеспечением ее;

102.4. значительные риски, возникающие в результате правильного и непрерывного применения функции.

103. Небанковские поставщики платежных услуг должны обеспечить возможность выхода из договоров аутсорсинга без необоснованного нарушения их коммерческой деятельности, без ограничения соблюдения требований, вытекающих из нормативной базы, и никоим образом не нанося ущерба непрерывности и качеству предоставляемых ими услуг клиентам. С этой целью они должны:

103.1. разработать и реализовать комплексные, документированные и, при необходимости, достаточно проверенные планы выхода (например, путем проведения анализа потенциальных затрат, последствий, ресурсов и временных затрат передачи аутсорсинговой услуги альтернативному поставщику услуг);

103.2. определить альтернативные решения и разработать планы перехода, чтобы позволить небанковскому поставщику платежных услуг извлечь переданные на аутсорсинг функции и данные от поставщика услуг и передать их альтернативным поставщикам услуг или небанковскому поставщику платежных услуг, или принять другие меры для обеспечения дальнейшего предоставления значимой функции достаточно контролируемым и проверенным способом, принимая во внимание проблемы, которые могут возникнуть из-за местоположения данных и применяя необходимые меры для обеспечения непрерывности деятельности на этапе перехода.

104. При разработке стратегии выхода небанковский поставщик платежных услуг должен:

104.1. определить цели стратегии выхода;

104.2. провести анализ экономического воздействия, пропорционального рискам переданных на аутсорсинг процессов, услуг или деятельности, чтобы определить человеческие и финансовые ресурсы, необходимые для реализации плана выхода, а также необходимое время;

104.3. распределить роли, конкретные обязанности и достаточные ресурсы для управления планами выхода и перехода деятельности;

104.4. определить критерии успеха передачи аутсорсинговых функций и данных;

104.5. определить индикаторы, которые будут использоваться для мониторинга договора аутсорсинга (как это предусмотрено в части 1 главы VIII), включая индикаторы, основанные на неприемлемых уровнях услуг, которые должны привести к выходу.

Часть 3.

Надзор со стороны Национального банка Молдова

105. При установлении соответствующих методов мониторинга соблюдения небанковским поставщиком платежных услуг условий лицензирования Национальный банк Молдовы определит, представляют ли аутсорсинговые договоры существенное изменение условий и обязательств, связанных с лицензированием небанковского поставщика платежных услуг.

106. Национальный банк Молдовы должен гарантировать, что он может эффективно контролировать небанковского поставщика платежных услуг, включая тот факт, что небанковский поставщик платежных услуг обеспечил в рамках договора аутсорсинга, что поставщики услуг имеют обязательство предоставлять права аудита и доступа небанковским поставщикам платежных услуг и Национальному банку Молдовы в соответствии с пунктами 33-39.

107. Анализ рисков аутсорсинга небанковского поставщика платежных услуг будет проводиться Национальным банком Молдовы в рамках других надзорных процессов, включая специальные запросы или во время проверок.

108. В дополнение к информации, зарегистрированной в реестре, как указано в части 3 главы II, Национальный банк Молдовы может запросить дополнительную информацию у небанковских поставщиков платежных услуг, особенно для договоров аутсорсинга значимых функций, включая, но не ограничиваясь этими:

108.1. подробный анализ рисков;

108.2. наличие плана по обеспечению непрерывности деятельности, подходящей для услуг, предоставляемых небанковскому поставщику платежных услуг;

108.3. стратегия выхода, которая будет использоваться, если договор аутсорсинга расторгнут любой из сторон или если произойдет сбой в предоставлении аутсорсинговых услуг;

108.4. существующие ресурсы и меры для постоянного и адекватного мониторинга аутсорсинговой деятельности.

109. В дополнение к информации, запрашиваемой в соответствии с частью 3 настоящей главы, Национальный банк Молдовы может запросить у небанковского поставщика платежных услуг подробную информацию о любом договоре аутсорсинга, даже если рассматриваемая функция не считается значимой.

110. Национальный банк Молдовы на основе риск-ориентированного подхода оценивает, если небанковский поставщик платежных услуг:

110.1. контролирует и надлежащим образом администрирует, в частности, договора аутсорсинга значимых функций;

110.2. имеет достаточные эффективные ресурсы для мониторинга и управления аутсорсинговыми договорами;

110.3. выявляет и управляет всеми соответствующими рисками;

110.4. выявляет, оценивает и надлежащим образом управляет конфликтами интересов в договорах аутсорсинга, например, в случае внутригруппового аутсорсинга;

110.5. соблюдает положения нормативных актов, касающихся процесса аутсорсинга, в том числе внутренних актов, принятых в этой связи, а также обеспечивает надзор за аутсорсинговой деятельностью/операциями.

111. Национальный банк Молдовы обеспечивает, чтобы небанковские поставщики платежных услуг внедрили соответствующую систему управления бизнесом и рисками для выявления и управления своими рисками.

112. В случае выявления рисков концентрации Национальный банк Молдовы должен отслеживать развитие таких рисков и оценивать их потенциальное влияние как на других небанковских поставщиков платежных услуг, так и на стабильность финансового рынка.

113. Если выявлены причины, которые приводят к выводу, что небанковский поставщик платежных услуг больше не имеет прочной основы для администрирования деятельности или больше не соответствует требованиям, вытекающим из нормативной базы, Национальный банк Молдовы может применить меры, которые могут включать ограничение области применения аутсорсинговых функций или наложения расторжения одного или нескольких договоров аутсорсинга.

114. Национальный банк Молдовы должен быть уверен, что он может обеспечить эффективный надзор, особенно когда небанковский поставщик платежных услуг передает на аутсорсинг значимые функции, выполняемые за рубежом.