Постановление N 46 от 26.02.2020 об утверждении Регламента об аутсорсинге видов деятельности и операций банка

НАЦИОНАЛЬНЫЙ БАНК МОЛДОВЫ

ПОСТАНОВЛЕНИЕ

об утверждении Регламента об аутсорсинге

видов деятельности и операций банка

№ 46  от  26.02.2020

 (в силу 20.04.2020) 

Мониторул Офичиал ал Р. Молдова № 87-93 ст. 319 от 20.03.2020

* * *

ЗАРЕГИСТРИРОВАНО:

Министерство юстиции

№ 1545 от 5.03.2020 г.

министр __________ Фадей НАГАЧЕВСКИ

На основании пункта d) части (1) статьи 5, части (1) статьи 11, пункта с) части (1) статьи 27, пункта а) статьи 44 Закона о Национальном банке Молдовы № 548-XIII от 21 июля 1995 (переопубликован в Monitorul Oficial al Republicii Moldova, 2015, № 297-300, ст.544), с последующими изменениями, и статьи 82 Закона о деятельности банков № 202/2017 (Monitorul Oficial al Republicii Moldova, 2017, № 434-439, статья 727), с последующими изменениями, Исполнительный комитет Национального банка Молдовы

ПОСТАНОВЛЯЕТ:

1. Утвердить Регламент об аутсорсинге видов деятельности и операций банка (прилагается).

2. Признать утратившим силу Регламент об аутсорсинге видов деятельности и операций банка, утвержденный Постановлением Административного совета Национального банка Молдовы № 241/2011 (Monitorul Oficial al Republicii Moldova, 2011, № 227-232, статья 2099), с последующими изменениями.

3. В пункте 17 Регламента о внешнем аудите банков, утвержденного Постановлением Исполнительного комитета Национального банка Молдовы № 118/2018 (Monitorul Oficial al Republicii Moldova, 2018, № 183-194, статья 908), текст "Административного совета Национального банка Молдовы № 241 от 3 ноября 2011" заменить текстом "Исполнительного комитета Национального банка Молдовы № 46/2020";

4. В пункте 68 Регламента об основах управления деятельностью банка, утвержденного Постановлением Исполнительного комитета Национального банка Молдовы № 322/2018 (Monitorul Oficial al Republicii Moldova, 2019, № 1-5, статья 56), текст "Административного совета Национального банка Молдовы № 241 от 3 ноября 2011" заменить текстом "Исполнительного комитета Национального банка Молдовы № 46/2020".

5. В столбце № 4 таблицы ОРД 3.3D и в пункте 31 Порядка составления Отчета о различной информации в Инструкции о порядке составления и представления банками отчетов в пруденциальных целях, утвержденной Постановлением Административного совета Национального банка Молдова № 279/2011 (Monitorul Oficial al Republicii Moldova, 2011, № 216-221, статья 2008), слово "разрешения" заменить словами "предварительного разрешения".

6. Заявление и документы, представленные в Национальный банк Молдовы для получения предварительного разрешения Национального банка Молдовы об аутсорсинге материально значимых видов деятельности и нерешенные на день вступления в силу настоящего постановления, рассматриваются и решаются в соответствии с положениями регламента, указанного в пункте 1, при условии их дополнения банком в течение не более 30 дней с даты вступления в силу настоящего постановления. Заявление и документы рассматриваются в соответствии со сроками, установленными в главе III регламента, указанного в пункте 1, рассчитанными с даты дополнения пакета документов. Если заявление и документы не дополняются в указанный срок, Национальный банк Молдовы информирует банк о прекращении административной процедуры.

7. Банк, передавший на аутсорсинг виды деятельности и операции до вступления в силу данного постановления:

1) в случае материально значимых видов деятельности – считается, что располагает предварительным разрешением Национального банка Молдовы;

2) должен оформить в соответствии с положениями регламента, указанного в пункте 1 настоящего постановления, договор об аутсорсинге и в случае материально значимых видов деятельности с его представлением в Национальный банк Молдовы в четырехмесячный срок со дня вступления в силу настоящего постановления;

3) должен оформить в соответствии с положениями регламента, указанного в пункте 1 настоящего постановления внутренние нормы по оценке, управлению, контролю аутсорсинга видов деятельности и операций в четырехмесячный срок со дня вступления в силу настоящего постановления;

4) должен обеспечить, в случае аутсорсинга материально значимых ИТК, в отступление от положений подпунктов 2) и 3) настоящего пункта, соответствие положениям регламента, указанного в пункте 1 настоящего постановления, в течение 18 месяцев со дня вступления в силу настоящего постановления.

8. Настоящее постановление вступает в силу по истечении месяца со дня опубликования в Официальном мониторе Республики Молдова.

Утвержден

Постановлением

Исполнительного комитета

Национального банка Молдовы

№ 46 от 26 февраля 2020

РЕГЛАМЕНТ

об аутсорсинге видов деятельности и операций банка

Глава I

ОБЩИЕ ПОЛОЖЕНИЯ

1. Настоящий регламент устанавливает нормативную базу передачи на аутсорсинг видов деятельности/операций банка, включающую минимальные требования об оценке поставщика банком, минимальные требования к договору об аутсорсинге видов деятельности/операций банка, особенности передачи на аутсорсинг материально значимых видов деятельности, порядок управления рисками, связанными с аутсорсингом, уведомления и отчетности аутсорсинга и проведения внешнего аудита аутсорсинга видов деятельности/операций, положения о цепном аутсорсинге.

2. Понятия и выражения, используемые в настоящем регламенте, имеют значения, предусмотренные в Законе о деятельности банков № 202/2017 (далее – Закон № 202/2017), Закон № 271/2017 об аудите финансовой отчетности, в нормативных актах, изданных для их выполнения и в Регламенте о минимальных требованиях к управлению рисками информационных и коммуникационных технологий, информационной безопасности и непрерывности деятельности.

В настоящем регламенте следующие сокращения обозначают:

1) CISA (Certified Information Systems Auditor) – сертифицированный аудитор в области информационных систем, сертификация, выданная Ассоциацией аудита и контроля информационных систем (ISACA), которая является международной профессиональной ассоциацией и ориентирована на управление ИТ;

2) QSA (Qualified Security Assessor) – сертификация, выданная Советом по стандартам безопасности данных индустрии платежных карт (PCI SSC);

3) CISSP (Certified Information System Security Professional) – сертификация, выданная Международным консорциумом для сертификации безопасности информационных систем (ISC)².

[Пкт.2 изменен Пост.НБМ N 29 от 12.02.2025, в силу 20.03.2025]

[Пкт.2 дополнен Пост.НБМ N 198 от 07.10.2021, в силу 05.12.2021]

3. Настоящий закон применяется к банкам – юридическим лицам Республики Молдова, к отделениям других государств, которые лицензированы Национальным банком Молдовы, далее "банки".

4. Аутсорсинг не окажет влияние на ситуации, предусмотренные в пункте b) части 6 статьи 82 Закона № 202/2017.

5. Аутсорсинг деятельности по привлечению депозитов или кредитованию осуществляется в соответствии с частью (2) статьи 82 Закона № 202/2017.

6. Ответственность за надлежащее управление рисками, связанными с деятельностью/операциями, переданными на аутсорсинг, лежит на банке.

7. Банк несет первичную ответственность за оценку соответствия поставщика требованиям, предусмотренным настоящим регламентом.

8. Ответственность за соблюдение положений нормативных актов, связанных с процессом аутсорсинга, а также обеспечение надзора деятельности/операций, переданных на аутсорсинг, лежит на банке.

9. Не считается аутсорсингом приобретение банком следующих товаров и услуг:

1) действия, которые могут быть выполнены только поставщиком в соответствии с четкими положениями законодательства, включая внешний аудит;

2) рыночные информационные услуги, в том числе представление данных агентствами Bloomberg, Moody`s, Standard&Poor`s;

3) услуги, предоставленные через глобальные сетевые инфраструктуры платежных систем оплаты платежными карточками, в том числе Visa, Master Card;

4) услуги клиринговых и расчетных систем или других аналогичных структур для обеспечения клиринговых и расчетных услуг между клиринговыми палатами, центральными контрагентами (партнерами) и расчетными организациями, с одной стороны, и их членами, с другой;

5) виды деятельности, осуществляемые через глобальные инфраструктуры передачи финансовой информации, которые подлежат надзору со стороны соответствующих органов, в том числе системы SWIFT;

6) корреспондентские банковские услуги;

7) приобретение товаров и услуг, которое не выполняется банком, в том числе услуги архитектора, предоставление юридического заключения и представление в судах и административных органах, услуги по уборке, садоводству и содержанию помещений банка, медицинские услуги, обслуживание служебного транспорта, услуги общественного питания, услуги по автоматическому распределению товаров, административные услуги, туристические услуги, услуги регистрации, приема, делопроизводства и операторов телефонных станций, приобретение товаров (платежные карточки, устройства считывания платежных карт, канцелярские товары, персональные компьютеры, мебель) или коммунальные услуги (электричество, газ, вода, телефонная линия);

8) действия/операции, которые не предполагают доступ поставщика к информации о клиентах банка и составляют банковскую тайну, или к другой конфиденциальной информации о клиентах и их деятельности, или информации о деятельности, осуществленной банком.

10. Банк раскрывает информацию от аутсорсинга деятельности/операций банка в соответствии с нормами о публикации банками Республики Молдова пруденциальной информации и информации, связанной с их деятельностью.

Глава II

ОЦЕНКА ПОСТАВЩИКА И ДОГОВОР ОБ АУТСОРСИНГЕ

11. Банк, до заключения договора об аутсорсинге, оценивает поставщика, за исключением банка-юридического лица Республики Молдова, и отделение банка иностранного государство, с точки зрения деловой репутации, учитывая положения пункта 12.

Считается, что поставщик имеет хорошую деловую репутацию, если нет отрицательной информации о профессиональной компетентности в выполнении аутсорсинга деятельности/операции и ее целостности.

12. При оценке поставщика в соответствии с пунктом 11 банк учитывает, как минимум следующее:

1) бизнес-модель поставщика и его позиционирование на рынке (характер, масштаб, сложность его бизнеса, его финансовое положение, включая основные показатели эффективности, организационную структуру и структуру собственности поставщика, а также структуру группы, если таковая имеется);

2) результаты оценок и пересмотров, отраженные в последнем отчете об оценке, если поставщик контролируется компетентным органом;

3) результаты внутреннего аудита и/или внешнего аудита за последний год поставщика до передачи на аутсорсинг деятельности/операций банка, если таковые имеются;

4) информация о судимости и уголовном преследовании, о санкциях, примененных к поставщику в соответствии с налоговым, таможенным законодательством, а также о мерах и санкциях, применяемых любым органом надзора или профессиональным органом в экономической сфере в отношении поставщика;

5) информация о наличии политик относительно конфиденциальности и безопасности данных, полученных в результате аутсорсинга.

Способ запроса и оценки информации, на основании которой будет оценен поставщик в соответствии с данным пунктом, форма, в которой она представляется банку (заявлении, справки или другие документы, выданные государственными органами или другими субъектами), установлена во внутренних нормативных актах.

13. Банк письменно отмечает результаты оценки, указанной в пункте 11, включая окончательное заключение о соответствии поставщика критериям, установленным внутренними нормами банка об аутсорсинге его деятельности/операций и требованиям настоящего регламента.

14. Любой аутсорсинг должен быть предметом договора об аутсорсинге, который заключается в письменной форме и содержит как минимум следующее:

1) подробное описание деятельности/операции, подлежащей передаче на аутсорсинг;

2) специфические количественные и качественные требования по осуществлению передаваемой на аутсорсинг деятельности/операции, которые позволят банку оценить и отслеживать в течение срока действия договора насколько его осуществление является надлежащим;

3) указание места осуществления передаваемой на аутсорсинг деятельности/операции, в том числе обязанность поставщика информировать банк в случае изменения соответствующего местоположения;

4) четкое определение прав и обязанностей банка и поставщика с целью надлежащего выполнения передаваемой на аутсорсинг деятельности/операций и обеспечение соблюдения пруденциальных требований в течение срока действия договора;

5) положения об одностороннем расторжении договора банком, которое позволит передачу видов деятельности/операций иному поставщику, одобренному банком, или восстановление осуществления данной деятельности/операции банком, и которые соответствуют по крайней мере следующим ситуациям:

a) если поставщик нарушает применяемые законодательство, нормы и/или договорные положения;

b) если банк выявляет препятствия, которые отрицательно влияют на эффективность осуществления передаваемой на аутсорсинг деятельности/операции;

c) если существуют недостатки в отношении управления и секъюритизации конфиденциальных, персональных данных или другого характера и/или;

d) если расторжение договора предписано Национальным банком Молдовы;

6) положения о защите сведений, составляющих банковскую тайну и иные охраняемые законом виды тайн, в том числе в области защиты персональных данных, обработка данных сведений и хранение поставщиком данных видов тайн не менее тщательно, чем ее охраняет банк;

7) положения о мониторинге и постоянной оценке банком порядка исполнения договора поставщиком с целью обеспечения возможности оперативного принятия необходимых мер;

8) возложение на поставщика обязанности:

a) предоставлять банку по необходимости любую информацию, связанную с видом деятельности/операции по аутсорсингу;

b) обеспечивать полный доступ внутреннего аудита банка к данным, обрабатываемым поставщиком, касающимся предмета договора об аутсорсинге, предоставление без ограничений права изучения и проверки соответствующих данных внешним аудитом банка;

c) обеспечивать прямой доступ лиц, указанных в части (1) статьи 75¹ Закона № 548/1995 о Национальном банке Молдовы, к сведениям поставщика, обрабатываемым банком, касающимся предмета договора об аутсорсинге, а также возможность осуществления Национальным банком Молдовы проверок на месте (инспекции) согласно Регламенту о проверках на месте (инспекциях) в банках, утвержденному Постановлением Исполнительного комитета Национального банка Молдовы № 282/2018;

d) истребовать предварительное согласие банка на осуществление цепного аутсорсинга;

9) установление срока договора и соответствующего переходного периода, если поставщик после расторжения договора об аутсорсинге продолжил бы предоставлять вид деятельности/операции аутсорсинга;

10) подробное описание прав и обязанностей сторон в случае досрочного прекращения договора с целью обеспечить непрерывность предоставления вида деятельности/ осуществления операции;

11) положения по обеспечению непрерывности осуществления аутсорсингового вида деятельности/операции, в том числе в результате передачи прав и обязанностей, вытекающей из договора об аутсорсинге, в случае применения одного или нескольких инструментов резолюции в соответствии с Законом № 232/2016 об оздоровлении банков и банковской резолюции;

12) порядок разрешения споров;

13) иные положения о деятельности банков, не противоречащие как минимум нормативным актам о деятельности банков, конкуренции, предупреждению и борьбе с отмыванием денег и финансированием терроризма, процессе аутсорсинга, утвержденным Национальным банком Молдовы, а также внутренним правилам и процедурам банка.

15. При разработке договора об аутсорсинге банк должен учитывать уровень мониторинга, оценки, проверки и аудитинга, который должен быть пропорционален размеру, профилю риска, характеру и бизнес-модели, масштабу и сложности видов деятельности/операций, переданных на аутсорсинг.

16. Если договор об аутсорсинге включает несколько видов аутсорсинговой деятельности/операций, банк излагает в договоре аспекты, которые включают все эти виды.

17. В целях положений подпункта 2) пункта 14 при оценке адекватности выполнения деятельности/ осуществления операции, переданной на аутсорсинг поставщиком, банк может использовать информацию отчетов об аутсорсинговой деятельности/операции, составленных внутренним аудитом и/или в случае передачи на аутсорсинг, материального значимых видов деятельности, отчеты, составленные внешним аудитом банка и/или внутренним аудитом и/или внешним аудитом поставщика.

18. Национальный банк Молдовы вправе предписать расторжение договора об аутсорсинге в случаях, предусмотренных частью (9) статьи 82 Закона № 202/2017.

Глава III

ОСОБЕННОСТИ АУТСОРСИНГА МАТЕРИАЛЬНО

ЗНАЧИМЫХ ВИДОВ ДЕЯТЕЛЬНОСТИ

19. Банк осуществляет аутсорсинг материально значимых видов деятельности только после получения предварительного разрешения Национального банка Молдовы в соответствии с требованиями, установленными в настоящей главе.

20. Банк подает в Национальный банк Молдовы заявление на получение предварительного разрешения Национального банка Молдовы, к которому прилагаются как минимум следующие документы и сведения:

1) решение об аутсорсинге материально значимых видов деятельности, выданное руководящим органом, уполномоченным законом или уставом;

2) результаты оценки поставщика, в соответствии с пунктом 13;

3) экономическое обоснование аутсорсинга материально значимых видов деятельности и подробное его описание, и причины, по которым данные виды деятельности были признаны материально значимыми;

4) план анализа и управления рисками, связанными с аутсорсингом материально значимых видов деятельности, включая меры, которые должны осуществляться банком с целью обеспечения стабильности, результатов и непрерывности на уровне данной деятельности;

5) предполагаемое влияние на финансовые показатели и состояние банка в результате аутсорсинга;

6) представление сведений о поставщике, включающие, как минимум: наименование, местонахождение, сферу деятельности, мощность, ресурсы, в том числе человеческие, технологические и финансовые, рынок, на котором действует и позиция на нем, организационную структуру, данные о соответствующем опыте сотрудников, ответственных за аутсорсинг материально значимых видов деятельности, с приложением сертификата/квалификации, если таковые имеются, бизнес-модель поставщика, характер, степень и сложность его деятельности, финансовая отчетность не менее чем за последние 3 года деятельности с указанием принадлежности поставщика к группе, к которой принадлежит, и пояснение о его включении или не включении в консолидированный надзор на уровне группы;

7) проект договора об аутсорсинге;

8) внутренние правила банка по аутсорсингу материально значимых видов деятельности, утвержденные руководящим органом, уполномоченным законом или уставом, содержащие как минимум следующее:

a) критерии отбора поставщика в зависимости от деятельности/операции, передаваемой на аутсорсинг;

b) принципы, используемые в процессе аутсорсинга, учитывая специфику деятельности/операции, передаваемой на аутсорсинг;

c) описание способа восстановления соответствующего вида деятельности в деятельности банка, основы оценки рисков, связанных с аутсорсингом материально значимых видов деятельности и процесса его оценки, управления и контроля в соответствии с пунктами 31 и 32;

d) требования о порядке режима корректировки и усовершенствования системы внутреннего контроля и функции внутреннего аудита, системы внутренней отчетности, включая отчетность руководящему органу банка об изменениях профиля риска, связанного с деятельностью/операцией, передаваемой на аутсорсинг, для обеспечения того, чтобы передаваемые на аутсорсинг материально значимые виды деятельности не влияли на способность банка осуществлять эффективное корпоративное управление;

9) копия лицензии или разрешения поставщика, подписанное банком, за исключением случая, когда потенциальный поставщик является банком Республики Молдова или небанковским поставщиком платежных услуг, лицензированный согласно Закону № 114/2012 о платежных услугах и электронных деньгах, на осуществление деятельности, предполагаемой быть переданной на аутсорсинг, действительная на день подачи заявления.

21. Определение характера передаваемых на аутсорсинг материально значимых видов деятельности осуществляется в соответствии с положениями части (3) статьи 82 Закона № 202/2017.

22. Заявление, документы и сведения, указанные в пункте 20, составляются на румынском языке и подписывается уполномоченным лицом банка.

23. В случае если документы и/или сведения, указанные в пункте 20, являются неполными, Национальный банк Молдовы письменно уведомляет банк об этом факте в течение 10 рабочих дней с даты подачи заявления. Банк в течение 20 рабочих дней с даты получения письма Национального банка Молдовы заполняет и направляет в Национальный банк Молдовы недостающие документы и сведения.

24. Если банк не заполняет в срок, указанный в пункте 23, набор документов и сведений, Национальный банк Молдовы уведомляет банк о прекращении административной процедуры в течение 3 рабочих дней с даты истечения предоставленного срока.

25. В 30-дневный срок с даты получения полного пакета документов в соответствии с настоящей главой, Национальный банк Молдовы выдает предварительное разрешение на передачу на аутсорсинг материально значимых видов деятельности или отклоняет заявление, письменно уведомляя банк о принятом решении.

26. В случае, если документы и сведения, представленные в соответствии с настоящей главой, являются недостаточными для принятия решения о даче предварительного разрешения о передаче на аутсорсинг материально значимых видов деятельности, Национальный банк Молдовы вправе истребовать дополнительные документы и сведения. Национальный банк Молдовы может установить более длительный срок для принятия решения, указанного в пункте 25, который не должен превышать 90-дневный срок в соответствии с Административным кодексом, с уведомлением банка.

27. Банк обязан предоставить дополнительные документы и сведения в срок, указанный Национальным банком Молдовы, в течение которого срок, указанный в пункте 25, в зависимости от обстоятельств, в пункте 26, приостанавливается.

28. Предварительное разрешение о передаче на аутсорсинг материально значимых видов деятельности не может передаваться иному лицу и действительно в течение срока действия, заключенного между банком и поставщиком договора об аутсорсинге.

29. В случае отклонения заявления на получение предварительного разрешения Национального банка Молдовы о передаче на аутсорсинг материально значимых видов деятельности, будут указаны причины, на основе которых было отклонено заявление. Основанием для отклонения заявления на получение предварительного разрешения Национального банка Молдовы о передаче на аутсорсинг материально значимых видов деятельности является:

1) представление Национальному банку Молдовы недостоверной информации для принятия решения о выдаче предварительного разрешения о передаче на аутсорсинг материально значимых видов деятельности и/или;

2) случай, когда информация, которой располагает Национальный банк Молдовы, включая результаты оценки, указанной в пункте 13, и/или любые факты или обстоятельства, известные Национальному банку Молдовы, вызывают подозрения, что поставщик не имеет хорошую деловую репутацию;

3) непредставление документов и сведений, предусмотренных в пункте 26, и/или;

4) несоответствие проекта аутсорсингового контракта минимальным требованиям, указанным в главе II;

5) несоответствие деятельности банка положениям Закона № 202/2017 и нормативных актов, принятых во его исполнение, как следствие аутсорсинга данной деятельности;

6) установление несоразмерности, в том числе недостаточности мер контроля банка по отношению к рискам, связанным с аутсорсингом, или установление значительных рисков, несоразмерных преимуществам, указанным банком.

Глава IV

УПРАВЛЕНИЕ РИСКАМИ, СВЯЗАННЫМИ С ДЕЯТЕЛЬНОСТЬЮ

ПО ПЕРЕДАЧЕ НА АУТСОРСИНГ

30. Банк выделяет достаточные ресурсы для обеспечения соответствия требованиям, касающимся аутсорсинга, установленным Национальным банком Молдовы в нормативных актах, и предпринимает необходимые меры для обеспечения непрерывности деятельности/операций, переданных на аутсорсинг, а также документирования и мониторинга деятельности/операций, переданных на аутсорсинг, в том числе цепного аутсорсинга.

31. Банк, принимая во внимание принцип пропорциональности, устанавливает и обеспечивает реализацию политики аутсорсинга, включающую разработку основных этапов процесса аутсорсинга, определение принципов, обязанностей и процессов, связанных с аутсорсингом, включая способ управления рисками, связанных с деятельностью/операциями, переданными на аутсорсинг, на индивидуальном уровне, в зависимости от обстоятельств, на консолидированном уровне посредством своих внутренних правил, которые включают, по крайней мере, следующее:

1) установление обязанностей органа управления, включая его участие, в зависимости от обстоятельств:

a) при принятии решений по передаче на аутсорсинг материально значимых видов деятельности;

b) обеспечение оценки поставщика, за исключением банка-юридического лица Республики Молдова, и отделения банка иностранного государство, на преддоговорной стадии и периодически в течение договорной стадии на основе внутренних норм;

c) надлежащий мониторинг и оценка ежедневного надзора за деятельностью/операцией банка, включая управление рисками, связанными с аутсорсингом, финансовых показателей, а также организационной структуры/ структуры собственников поставщика таким образом, чтобы было возможно оперативное принятие любых необходимых мер;

2) вовлечение бизнес-направлений и функций внутреннего контроля в отношении деятельности/операции, переданной на аутсорсинг;

3) планирование аутсорсинга, которое включает по крайней мере, следующее:

a) прямой учет, при проведении анализа рисков до передачи на аутсорсинг, что касается потенциального влияния вида деятельности/операции, переданной на аутсорсинг, на существенные виды деятельности в банке;

b) установление сроков, условий осуществления видов деятельности/операций, переданных на аутсорсинг, и требований, касающихся вида деятельности/операции, переданной на аутсорсинг, в том числе требований к выбору поставщика, учитывая, что он располагает достаточными ресурсами, навыками, компетенциями, соответствующими этическими стандартами или кодексом поведения, принимая во внимание и качество вида деятельности/операции, переданной им на аутсорсинг;

c) критерии и процессы определения материально значимых видов деятельности;

d) процедуры, связанные с определением, оценкой, мониторингом и управлением рисками, связанными с видом деятельностью/операцией, переданной на аутсорсинг, включая влияние на финансовую деятельность и непрерывность деятельности банка, риски, с которыми банк может столкнуться в результате аутсорсинга, затраты и выгоды проекта по аутсорсингу, а также разработка методов, подлежащих использованию для управления этими рисками, на основе пропорциональности;

e) процедуры для выявления, оценки, управления и смягчения возможных конфликтов интересов в рамках процесса аутсорсинга/ цепного аутсорсинга;

f) планирование непрерывности деятельности, подлежащей аутсорсингу;

g) процесс утверждения договоров об аутсорсинге;

4) определение условий и способа проведения внешнего аудита вида деятельности/операции, переданной на аутсорсинг;

5) определение способа внедрения, мониторинга и управления процессом аутсорсинга/ цепного аутсорсинга, содержащего как минимум следующее:

a) постоянная оценка деловой репутации поставщика, за исключением банка-юридического лица Республики Молдова и отделения банка иностранного государства, учитывая положения пунктов 11–13;

b) процедуры уведомления и реагирования на изменения в рамках процесса аутсорсинга, в зависимости от обстоятельств, цепного аутсорсинга, или в ситуации поставщика, связанной с его финансовой позицией, организационными структурами или структурами собственности;

c) независимый пересмотр соответствия требованиям своих внутренних правил;

d) процессы выхода и восстановления видов деятельности/операций, переданных на аутсорсинг;

e) в случае аутсорсинга материально значимых видов деятельности, мониторинг любого индекса, показывающего, что поставщик не может эффективно выполнять вид деятельности/операцию, переданную на аутсорсинг в соответствии с нормативными актами, относящимися к процессу аутсорсинга;

6) установление способа корректировки и усовершенствования системы внутреннего контроля, системы внутренней отчетности, включая отчетность руководящему органу банка об изменениях профиля риска, связанного с видом деятельности/операцией, передаваемой на аутсорсинг, для обеспечения того, чтобы удостовериться, что вид деятельности/операция, передаваемая на аутсорсинг, не влияют на способность банка осуществлять эффективное корпоративное управление;

7) четкое установление ответственности внутри банка за мониторинг и управление требованиями, изложенными в подпункте 5) настоящего пункта и за документирование, управление и контроль процесса аутсорсинга, в зависимости от обстоятельств, цепного аутсорсинга. Документирование должно включать и обязательство ведения обновленного реестра по всем договорам об аутсорсинге на уровне банка, в случае необходимости, на консолидированном уровне;

8) организация, поддержание и периодическое тестирование, не менее одного раза в год, плана непрерывности, планов выхода и восстановления в результате чрезвычайных ситуаций, выявленных на основе анализа риска, если поставщик предполагает прекратить осуществление деятельности/ выполнение операции, передаваемой на аутсорсинг, до истечения срока, указанного в договоре об аутсорсинге;

9) установление порядка составления и представления органу управления, уполномоченному законом и уставом, отчетов о подверженностях рискам, связанных с аутсорсингом.

32. Внутренние нормы банка должны дифференцировать по крайней мере следующее:

1) передача на аутсорсинг материально значимых видов деятельности и другие виды деятельности/операции, переданные на аутсорсинг;

2) поставщики, имеющие лицензию или разрешение, и те, которые не имеют;

3) аутсорсинг видов деятельности/операций в рамках группы или вне группы; и

4) виды деятельности/операции, переданные на аутсорсинг, местным и зарубежным поставщикам.

33. Банк, в случае передачи на аутсорсинг видов деятельности/операций, разрешенных банку в соответствии со статьей 14 Закона № 202/2017, поставщику другого государства на аутсорсинг, должен обеспечить, чтобы аутсорсинг деятельности/операции в той мере, в которой ее осуществление требует лицензирование/ разрешение/ регистрацию компетентным органом страны происхождения поставщика, осуществлялся поставщиком из другого государства, имеющего лицензию/ разрешение/ регистрацию на осуществление соответствующей деятельности/операции и находящегося под надзором релевантного органа страны происхождения.

34. Внутренние нормы банка в области аутсорсинга деятельности/операции должны определять важные этапы аутсорсинга:

1) этап принятия решения, заключающийся в принятии решения о передаче на аутсорсинг либо о необходимости внесения изменений в договор об аутсорсинге/ договор о цепном аутсорсинге;

2) преддоговорной этап, состоящий из оценки поставщика, за исключением банка-юридического лица Республики Молдова и отделения банка иностранного государства, банком с точки зрения деловой репутации, в том числе его способности предоставлять услуги в соответствии с количественными и качественными требованиями, установленными банком, а также подготовка проекта договора и конкретного перечня предоставляемых услуг;

3) договорной этап, состоящий из:

a) исполнения, мониторинга и управления договором об аутсорсинге, который может включать мониторинг изменений относительно поставщика, к примеру значительные изменения в его финансовой позиции, организационной структуре или структуре собственности, в стратегии и прибыльности операций поставщика, цепном аутсорсинге деятельности/операции, в зависимости от обстоятельств;

b) периодическая оценка, по крайней мере один раз в год, поставщика, за исключением банка-юридического лица Республики Молдова и отделения банка иностранного государства в контексте с пунктами 11–13 для оценки его способности продолжать выполнять свои обязательства, связанные с аутсорсингом;

c) мониторинг выполнения договора об аутсорсинге функцией соответствия и внутреннего аудита;

d) установление процесса выхода и/или восстановления деятельности/операций, переданных на аутсорсинг;

4) последоговорной этап, заключающийся в анализе случаев прекращения договора и прерывания предоставления услуг поставщиком, включающий как минимум определение стратегий прекращения или прерывания деятельности/операции, переданной на аутсорсинг, требование документированного плана выхода и/или восстановления для каждого материально значимого вида деятельности, переданного на аутсорсинг, если подобный выход/восстановление считается возможным с учетом возможных прекращений деятельности/операции, переданной на аутсорсинг или неожиданного прекращения договора об аутсорсинге.

35. Внутренний аудит периодически оценивает актуальность и целесообразность внутренних правил, включая процесс управления рисками, связанными с аутсорсингом.

36. Банк для обеспечения комплексного и эффективного подхода к процессу планирования и обеспечения непрерывности деятельности, связанной с управлением рисками, в частности с операционным риском и риском концентрации, связанными с аутсорсингом деятельности/операций:

1) обеспечивает соответствие политик управления рисками, связанными с данными видами деятельности/операциями, бизнес-модели банка;

2) рассматривает, по крайней мере, планы и процедуры по обеспечению непрерывности видов деятельности/операций, переданных на аутсорсинг, и по восстановлению в результате чрезвычайных ситуаций, определенных на основе анализа рисков, которые периодически тестируются, не реже одного раза в год, для обеспечения их соответствия политикам и процедурам аутсорсинга.

Глава V

НОТИФИКАЦИЯ И ПРЕДСТАВЛЕНИЕ ОТЧЕТНОСТИ

ОБ АУТСОРСИНГЕ

37. Банк в период аутсорсинга материально значимых видов деятельности в течение десяти рабочих дней с даты обнаружения наступления одной из ситуаций, указанных в настоящем пункте, уведомляет Национальный банк Молдовы по меньшей мере о следующем:

1) об изменениях в информации, указанной в подпунктах 6), 7) и/или 9) пункта 20, включая изменения, приводящие к несоответствию поставщика критериям, установленным в настоящем регламенте;

2) о возможном восстановлении осуществления непосредственно банком переданных на аутсорсинг материально значимых видов деятельности с представлением подробного плана действий и конкретных сроков;

3) о результате оценки, осуществленной в контексте пункта b), подпункта 3) пункта 34, на основании которого банк делает вывод, что поставщик более не является адекватным для осуществления деятельности/операции, переданной на аутсорсинг, и/или более не отвечает требованиям настоящего регламента и/или внутренним регламентам банка;

4) о любых существенных изменениях, которые могли бы отрицательно повлиять на деятельность поставщика материально значимых видов деятельности, переданных на аутсорсинг, и/или на его способность исполнять свои обязательства, о возможных мерах, принимаемых банком в этих случаях, в том числе смена поставщика, об изменениях в расторжении договора об аутсорсинге.

38. Банк в течение 10 рабочих дней после аутсорсинга материально значимых видов деятельности уведомляет Национальный банк Молдовы об этом, прилагая копию договора об аутсорсинге.

39. Банк сообщает Национальному банку Молдовы информацию о материально значимых видах деятельности, переданных на аутсорсинг в соответствии с нормативными актами Национального банка Молдовы, относящимися к пруденциальной отчетности.

40. Банк сообщает Национальному банку Молдовы в течение не более 5 рабочих дней с даты выявления инцидента о любом инциденте, существенном изменении, зарегистрированном на уровне рисков, связанных с деятельностью/операцией, переданной на аутсорсинг, которая является ситуацией или эффектом с точки зрения управления рисками, связанными с деятельностью банка, которые могут привести к прерыванию аутсорсинга деятельности/операции и неспособности банка соблюдать законодательство в области.

41. Нотификации, указанные в пунктах 37 и 40, составляются на румынском языке и подписываются уполномоченным лицом банка.

Глава VI

ВНЕШНИЙ АУДИТ ВИДОВ ДЕЯТЕЛЬНОСТИ/ОПЕРАЦИЙ,

ПЕРЕДАННЫХ НА АУТСОРСИНГ

42. Внешний аудит видов деятельности/операций, переданных на аутсорсинг, осуществляется аудиторским обществом, одобренным Национальным банком Молдовы в соответствии с критериями пункта 44.

43. Банк ежегодно проводит внешний аудит аутсорсинга материально значимых видов деятельности.

44. В рамках ежегодного внешнего аудита аутсорсинга материально значимых видов деятельности аудиторское общество считается одобренным Национальным банком Молдовы, если оно соответствует следующим минимальным критериям:

1) имеет опыт работы в сфере аудита не менее 3 лет, из которых один год в субъектах публичного значения;

2) опыт аудиторского общества включает проекты по аудиту, аналогичные тому, который должен проводиться в связи с переданными на аутсорсинг материально значимых видов деятельности банка;

3) аудиторское общество и члены аудиторской группы, назначенной для аудита переданных на аутсорсинг материально значимых видов деятельности, признают общепризнанные стандарты и практику в области аудита и владеют подтверждающими сертификатами;

4) в случае аудита материально значимых видов деятельности, переданных на аутсорсинг, связанных с обработкой платежей платежной карточкой:

a) аудиторское общество имеет квалификацию QSA, если поставщик не подвергнут ежегодному аудиту, осуществленному аудиторским обществом с квалификацией QSA, или;

b) по крайней мере один аудитор в команде аудита имеет квалификацию CISA или CISSP, если поставщик не подвергнут ежегодному аудиту, осуществленному аудиторским обществом с квалификацией QSA, а его отчет доступен для банка и для Национального банка Молдовы;

5) в случае аудита услуг/систем информационно-коммуникационных технологий (далее – аутсорсинг ИКТ) материально значимых видов деятельности, переданных на аутсорсинг, по крайней мере, один аудитор имеет сертификат/сертификаты аудита в информационных системах.

[Пкт.44 изменен Пост.НБМ N 198 от 07.10.2021, в силу 05.12.2021]

45. В рамках ежегодного аудита переданных на аутсорсинг материально значимых видов деятельности банка аудиторское общество оценивает, по крайней мере, следующие аспекты, но не ограничиваясь ими:

1) соответствие и внедрение внутренних правил банка в области аутсорсинга;

2) соответствие внутренних правил поставщика характеру материально значимых видов деятельности, переданных на аутсорсинг;

3) способность поставщика (финансовая, технологическая, организационная и т.д.) по качественному, безопасному и непрерывному осуществлению материально значимых видов деятельности, переданных на аутсорсинг;

4) порядок управления рисками и инцидентами, связанными с аутсорсингом;

5) соблюдение относящихся к аутсорсингу договорных положений.

46. Национальный банк Молдовы может потребовать инициирование внешнего аудита деятельности/операций, переданных на аутсорсинг.

Национальный банк Молдовы может предъявить требования по порядку, форме, периоду, условиям осуществления проверки и оценки, включая требования к группе аудита и предельную дату представления отчета внешнего аудита деятельности/операций, переданных на аутсорсинг.

47. В случае передачи на аутсорсинг материально значимых видов деятельности Национальный банк Молдовы вправе, в рамках выдачи предварительного разрешения, указанного в пункте 19, устанавливать конкретные требования к внешнему аудиту деятельности/операций, переданных на аутсорсинг.

48. Внешний аудит видов деятельности/операций, переданных на аутсорсинг, может проводиться по инициативе и за счет поставщика при условии соблюдения установленных пунктами 42–47 требований, а также представления поставщиком отчета внешнего аудита видов деятельности/операций, переданных на аутсорсинг.

Глава VII

ЦЕПНОЙ АУТСОРСИНГ

49. Банк оценивает и управляет рисками, связанными с цепным аутсорсингом.

50. Банк может дать согласие на цепной аутсорсинг только в том случае, если субподрядчик принимает на себя те же обязательства, которые установлены для поставщика, включая обязательства в отношении Национального банка Молдовы.

51. Субподряд разрешается только с предварительного разрешения банка и на тех же условиях, что и передача на аутсорсинг видов деятельности/операций поставщику.

52. Банк пересматривает субподряд деятельности/операции, переданной на аутсорсинг, чтобы убедиться, что операционный риск и другие риски не увеличиваются в результате неадекватных методов контроля или других недостатков поставщика, который принимает на себя соответствующие виды деятельности/операции.

53. Банк принимает соответствующие меры в отношении рисков, связанных с невыполнением или ненадлежащим выполнением субподрядных видов деятельности/операций, которые отрицательно влияют на способность поставщика соблюдать принятые договорные обязательства.

54. Не разрешается субподряд переданных на аутсорсинг материально значимых видов деятельности (цепного аутсорсинга).

Глава VIII

АУТСОРСИНГ ИНФОРМАЦИОННО-КОММУНИКАЦИОННЫХ

ТЕХНОЛОГИЙ

Часть 1

Общие положения

55. Настоящая глава применяется к банкам, которые предполагают передать ИКТ на аутсорсинг.

56. В случае передачи на аутсорсинг ИКТ, которые являются материально значимыми видами деятельности для банка, он должен получить предварительное разрешение Национального банка Молдовы согласно требованиям, предусмотренным пунктами 19–29, соответствующим образом и пунктами 58–60, в зависимости от обстоятельств.

57. Нотификация, отчетность и проведение внешнего аудита при передачи ИКТ на аутсорсинг осуществляется согласно пунктам 37–41, соответствующим образом.

Часть 2

Договор об аутсорсинге ИКТ и управление рисками,

связанными с аутсорсингом ИКТ

58. В случае аутсорсинга ИКТ банк составляет договор об аутсорсинге ИКТ с поставщиком в соответствии с положениями пунктов 11–18 и соответственно должен включать по крайней мере:

1) период предварительного уведомления об изменениях, которые могут произойти в договоре;

2) обязательство поставщика, при необходимости, заключать договор обязательного страхования, связанного с конкретными рисками;

3) положения об информационной безопасности и непрерывности деятельности, содержащие как минимум:

a) обязанность поставщика соблюдать нормы ИКТ и стандарты безопасности информации и непрерывности деятельности, применяемые к банку;

b) специальные требования безопасности и непрерывности, представленные банком для ИКТ, переданных на аутсорсинг, которые хранят или содержат персональные данные;

c) требования по обеспечению доступности, применимости, целостности и конфиденциальности данных банка в информационной системе поставщика;

d) обязанность поставщика хранить банковские данные в информационных системах и базах данных таким образом, чтобы позволить идентификацию, экспорт/извлечение и удаление данных по требованию банка;

e) требования к поставщику относительно времени восстановления услуг по аутсорсингу материально значимых ИКТ, представленных в случае наступления некоторых инцидентов;

f) обязанность поставщика разрабатывать планы по восстановлению, связанные с услугами по аутсорсингу материально значимых ИКТ, представленными банку;

g) обязанность поставщика ежегодно осуществлять тесты на непрерывность услуг по аутсорсингу материально значимых ИКТ, с предоставлением результатов банку;

4) положения о праве доступа банка к ИКТ и информации, содержащие как минимум следующее:

a) обязанность поставщика предоставлять Национальному банку или любому другому субъекту или лицам, направленным банком, полный доступ ко всем помещениям, оборудованию и системам, использованным для предоставления услуг по аутсорсингу ИКТ;

b) право банка и надзорных органов запрашивать и получать от поставщика без необоснованных опозданий журналы аудита и связанные с ними резервные копии в результате расследований, аудиторских заданий или в случае прекращения отношений с поставщиком по любым причинам;

c) право банка к аудиту ИКТ, переданных на аутсорсинг, с использованием для этого отчетов проверок надзорных органов поставщика. В зависимости от обстоятельств, где это уместно, банк обеспечивает возможность осуществления тестов на применение услуг по аутсорсингу ИКТ, предоставляемых банком поставщику;

5) положения, относящиеся к обеспечению эффективного управления рисками в случае прекращения отношений с поставщиком, содержащие, по крайней мере, следующие аспекты, связанные с прекращением отношений с поставщиком:

a) возможность прекращения отношений с поставщиком как минимум в следующих случаях:

несоблюдение поставщиком правовых положений в области ИКТ, безопасности информации, персональных данных или непрерывности деятельности;

выявление препятствий, способных повлиять на эффективность или качество предоставленных услуг по аутсорсингу ИКТ поставщиком;

наличие критических уязвимостей, которые могут повлиять на безопасность информации и персональных данных клиентов банка, которые поставщик отказывается исправить или прогнозируемое время для исправления может отрицательно повлиять на клиентов банка;

b) переходный период в случае прекращения отношений с поставщиком или передачи другому поставщику с обязательством поставщика предоставить банку помощь;

c) обязанность поставщика создавать механизмы, которые позволят идентифицировать и удалять все данные, относящиеся к банку, включая связанные с процессом предоставления поставщиком услуг по аутсорсингу ИКТ, за исключением случаев, когда необходимо хранить данные, связанные с банком, для соответствия требованиям национального законодательства.

59. В дополнение к положения пунктов 30–36 банк определяет требования по обеспечению непрерывности ИКТ, безопасности информации, эффективности и качества аутсорсинга ИКТ и оценивает, по крайней мере, следующее:

1) возможное влияние каждого прерывания или нарушения в предоставлении поставщиком аутсорсинга ИКТ;

2) жизнеспособность краткосрочного и долгосрочного аутсорсинга ИКТ, включая соответствующие финансовые затраты;

3) влияние аутсорсинга ИКТ на работников банка;

4) правовые и репутационные аспекты, связанные с процессом аутсорсинга ИКТ;

5) влияние аутсорсинга ИКТ на способность банка управлять рисками ИКТ и информационной безопасностью, соблюдать нормативные и правовые требования;

6) влияние аутсорсинга ИКТ на способность банка осуществлять аудиторские задания, в том числе услуги по аутсорсингу;

7) влияние аутсорсинга ИКТ на операционный риск;

8) возможное влияние аутсорсинга ИКТ на качество услуг, предоставляемых клиентам банка;

9) риск концентрации, в том числе заключения договора с доминирующим или трудно заменимым поставщиком;

10) совокупный риск, возникающий в результате передачи нескольких функций банка одному и тому же поставщику;

11) риск потери банком контроля над аутсорсингом ИКТ;

12) если поставщик подлежит надзору со стороны компетентных органов;

13) для поставщиков систем cloud (распределенный набор систем/хранения данных, услуги которых доступны по требованию, предоставленные через сеть, для которой не известно точное физическое расположение), риски, связанные с использованным видом cloud (публичный/частный/гибридный) и физического расположения хранения/обработки данных;

14) риск переносимости технологий, используемых поставщиком;

15) возможность расширить или снизить объем аутсорсинга ИКТ без пересмотра договорных обязательств;

16) способность банка передавать аутсорсинг ИКТ другому поставщику, включая предполагаемые затраты, необходимое время, трудности, которые могут возникнуть;

17) способность банка реинтегрировать ИКТ, переданные на аутсорсинг, в деятельность банка.

60. В случае аутсорсинга ИКТ за пределами страны банк должен идентифицировать страновой риск, связанный с соответствующим поставщиком. При определении странового риска, связанного с соответствующим поставщиком, банк оценивает, по крайней мере, следующее:

1) сложность правил, относящихся к предоставлению услуг по аутсорсингу ИКТ, защита персональных данных и несостоятельность;

2) риск политической нестабильности, которая может повлиять на поставщика;

3) климатический риск и риск среды, где размещен поставщик;

4) культурные и/или лингвистические проблемы, связанные с ожиданиями банка в отношении услуг по аутсорсингу ИКТ;

5) часовой пояс, в котором находится поставщик, и доступность его персонала для своевременного устранения инцидентов.

61. В случае цепного аутсорсинга ИКТ банк выполняет положения пунктов 49–54 соответствующим образом.

Часть 3

Контроль деятельности аутсорсинга ИКТ

62. Банк для обеспечения эффективного управления рисками, связанными с реинтеграцией ИКТ, переданных на аутсорсинг, при прерывании отношений с поставщиком предпринимает, как минимум следующие меры:

1) разработка стратегии реинтеграции ИКТ, переданных на аутсорсинг, которая обеспечит непрерывность деятельности банка, соответствие требованиям нормативной базы и избежание влияния на качество обслуживания клиентов в случае прерывания отношений с поставщиком;

2) применение мер для того, чтобы стратегия, предусмотренная в подпункте 1) настоящего пункта, содержала как минимум следующее:

a) задачи стратегии;

b) анализ воздействия и анализ рисков, связанных с процессом реинтеграции аутсорсинга ИКТ;

c) выявление технико-организационных, человеческих и финансовых ресурсов, в том числе периода, необходимого для выполнения стратегии;

d) распределение ролей и обязанностей для управления стратегией;

e) критические факторы успеха в процессе реинтеграции;

f) показатели эффективности и качества услуг, переданных на аутсорсинг, которые должны быть отслежены банком и которые будут способствовать выполнению стратегии;

3) пересмотр не реже одного раза в год стратегии реинтеграции ИКТ, переданных на аутсорсинг, для обеспечения ее жизнеспособности.

63. Банк, за исключением субъектов, мажоритарным капиталом которых владеет банк, для обеспечения непрерывности действия в чрезвычайных случаях для аутсорсинга материально значимых ИКТ должны выполнять как минимум следующие аспекты:

1) выделение достаточных технических ресурсов для обеспечения в соответствии с планом непрерывности в местонахождении банка непрерывность ИКТ, переданных на аутсорсинг, и способность быстрого восстановления или приспособления к неблагоприятным ситуациям или изменениям в случае значительного инцидента/ чрезвычайной ситуации у поставщика или возбуждения процедуры резолюции или ликвидации банка органом резолюции;

2) наличие человеческих ресурсов, обладающих достаточными знаниями для обеспечения, при необходимости, реинтеграцию/ замену/ непрерывность, в соответствии с планом непрерывности банка, ИКТ, переданных на аутсорсинг;

3) развитие планов непрерывности, которые позволяют в оптимальное время полностью возобновить в местонахождении банка любых материально значимых ИКТ, переданных на аутсорсинг;

4) организация, не реже одного раза в год совместно с поставщиком тестирования планов непрерывности материально значимых ИКТ, переданных на аутсорсинг, с их восстановлением в местонахождении банка;

64. Банк для обеспечения эффективного надзора аутсорсинга ИКТ должен выполнять положения пункта 35 и как минимум следующее:

1) достаточное выделение технических, финансовых, а также человеческих ресурсов, обладающих знаниями для эффективного мониторинга аутсорсинга ИКТ;

2) непрерывный мониторинг эффективности и качества услуг по аутсорсингу ИКТ, представленных поставщиком для обеспечения их соответствия требованиям, установленным в договоре. Оценка эффективности может быть проведена посредством следующих источников, но не ограничиваясь ими: отчеты о поставке услуг, предоставленных поставщиком, показатели эффективности, качества, непрерывности, независимые пересмотры, сертификации, отчеты о тестах непрерывности;

3) периодический пересмотр и представление отчетов органу управления банка об изменениях профиля риска, связанного с аутсорсингом ИКТ.