Положения Банка России 779-П и 787-П: разбор требования операционной надёжности для финансовых организаций

Положение Банка России от 15 ноября 2021 г. № 779-П "Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)" и Положение Банка России от 12 января 2022 г. № 787-П "Об обязательных для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг" представляют собой ключевые регуляторные документы, направленные на повышение устойчивости финансового сектора к внешним и внутренним воздействиям.

Несмотря на различную область применения (779-П касается некредитных финансовых организаций, а 787-П — кредитных), эти документы содержат схожие требования к операционной надежности и направлены на обеспечение непрерывности оказания финансовых услуг в любых условиях.

КТО ПОДПАДАЕТ ПОД ДЕЙСТВИЕ ПОЛОЖЕНИЙ?

Для Положения 779-П:

• Некредитные финансовые организации (НФО)
• Микрофинансовые организации
• Ломбарды
• Негосударственные пенсионные фонды
• Страховые компании
• Профессиональные участники рынка ценных бумаг

Для Положения 787-П:

• Кредитные организации (банки)
• Иностранные банки, осуществляющие деятельность на территории РФ через свои филиалы
• Небанковские кредитные организации

Оба документа направлены на создание единой системы обеспечения непрерывности финансовых услуг, что особенно актуально в условиях цифровизации и роста киберугроз.

ОСНОВНЫЕ ТРЕБОВАНИЯ ПОЛОЖЕНИЙ 779-П И 787-П

Терминология и концепции

Положения вводят ряд важных терминов, которые необходимо учитывать при реализации системы операционной надежности:

• Операционная надежность — способность финансовой организации обеспечивать непрерывность оказания услуг при возникновении внешних и внутренних воздействий
• Технологический процесс — совокупность операций, направленных на оказание финансовой услуги
• Объекты информационной инфраструктуры — компоненты ИТ-систем, обеспечивающие функционирование технологических процессов

Ключевые требования

В п.6 Положения № 787-П и аналогичных разделах 779-П представлены следующие обязательные требования:

Требования к целевым значениям

• Установление показателей операционной надежности
• Определение максимально допустимого периода простоя
• Установление целевых значений времени восстановления услуг

Идентификация и управление элементами

• Классификация технологических процессов по критичности
• Определение элементов, критичных для оказания услуг
• Установление взаимосвязей между элементами инфраструктуры

Выявление и регистрация инцидентов

• Создание системы мониторинга инцидентов
• Разработка процедур регистрации и классификации инцидентов
• Определение критериев срабатывания механизмов восстановления

Восстановление технологических процессов

• Разработка планов восстановления для различных сценариев
• Определение приоритетов восстановления услуг
• Установление процедур тестирования планов восстановления

Взаимодействие с третьими лицами

• Оценка надежности внешних поставщиков услуг
• Включение требований к операционной надежности в договоры
• Организация совместного тестирования планов восстановления

Тестирование операционной надежности

• Ежегодное тестирование планов восстановления
• Проведение сценарного анализа различных кризисных ситуаций
• Документирование результатов тестирования и разработка корректирующих мероприятий

ОСОБЕННОСТИ РЕАЛИЗАЦИИ ДЛЯ РАЗЛИЧНЫХ ТИПОВ ОРГАНИЗАЦИЙ

Важно отметить, что Центральный Банк не предъявляет требований по управлению риском для НФО, что позволяет реализовать систему операционной надежности в виде отдельного блока без интеграции с общей системой управления рисками. Нераспространение требований Положения 716-П на некредитные финансовые организации упрощает процесс внедрения системы операционной надежности.

Для кредитных организаций, напротив, система операционной надежности должна быть интегрирована в общую систему управления рисками и информационной безопасности.

ОСНОВНЫЕ ЭТАПЫ ВНЕДРЕНИЯ СИСТЕМЫ ОПЕРАЦИОННОЙ НАДЕЖНОСТИ

1. Предварительный аудит

• Анализ текущих процессов оказания финансовых услуг
• Идентификация критически важных технологических процессов
• Оценка текущего уровня операционной надежности
• Выявление существующих несоответствий требованиям Положений

2. Разработка методологии

• Разработка целевых показателей операционной надежности
• Формирование требований к элементам инфраструктуры
• Разработка сценариев тестирования и восстановления

3. Внедрение организационных мер

• Разработка регламентирующих документов
• Создание системы мониторинга и управления инцидентами
• Установление процедур взаимодействия с третьими лицами
• Обучение сотрудников новым процессам

4. Внедрение технических мер

• Настройка систем резервного копирования
• Внедрение механизмов отказоустойчивости
• Организация резервных каналов связи
• Внедрение систем мониторинга и обнаружения инцидентов

5. Тестирование и отладка

• Проведение первоначального тестирования планов восстановления
• Анализ результатов тестирования и корректировка процессов
• Проведение повторного тестирования после внесения изменений
• Документирование результатов и разработка плана постоянного улучшения

6. Поддержание соответствия

• Регулярное обновление документации
• Проведение плановых тестирований
• Мониторинг изменений в регуляторных требованиях
• Корректировка системы в соответствии с новыми требованиями

ПОЧЕМУ ВАЖНО ВНЕДРИТЬ СИСТЕМУ ОПЕРАЦИОННОЙ НАДЕЖНОСТИ?

Несоблюдение требований Положений 779-П и 787-П может привести к:

• Финансовым санкциям со стороны регулятора
• Приостановке лицензии на осуществление финансовой деятельности
• Увеличению числа простоя и потере доходов
• Потере доверия клиентов и партнеров
• Репутационным рискам

Кроме того, эффективная система операционной надежности позволяет:

• Снизить риск финансовых потерь из-за простоя
• Повысить уровень доверия клиентов
• Улучшить управление рисками
• Обеспечить непрерывность бизнес-процессов в условиях кризиса
• Получить конкурентное преимущество на рынке

НАШИ УСЛУГИ ПО ВНЕДРЕНИЮ СИСТЕМЫ ОПЕРАЦИОННОЙ НАДЕЖНОСТИ

Почему выбирают нас?

• Лицензированная деятельность — мы обладаем официальной лицензией ФСТЭК России на проведение работ по технической защите конфиденциальной информации
• Экспертная команда — в штате работают сертифицированные специалисты с глубоким знанием регуляторных требований и практическим опытом
• Практический подход — наши решения учитывают специфику вашей бизнес-модели и масштаба деятельности

Этапы нашего сопровождения

1. Диагностический аудит

• Удаленная проверка существующей организационно-распорядительной документации
• Анализ текущих процессов обеспечения непрерывности финансовых услуг
• Выявление критических несоответствий требованиям Положений

2. Технический анализ

• Обследование технологических процессов и участков
• Проведение анкетирования и интервьюирования ответственных сотрудников
• Оценка текущего уровня защиты информационной инфраструктуры

3. Подготовка рекомендаций

• Разработка предварительной отчетной документации
• Формирование дорожной карты внедрения системы операционной надежности
• Определение приоритетных направлений для устранения недостатков

4. Внедрение изменений

• Разработка и доработка организационно-распорядительной документации
• Помощь в реализации технических мер обеспечения операционной надежности
• Обучение персонала новым процессам и процедурам

5. Тестирование и подтверждение

• Проведение тестирования планов восстановления
• Подтверждение устранения выявленных несоответствий
• Подготовка итоговой отчетной документации

РЕЗУЛЬТАТЫ СОТРУДНИЧЕСТВА

По завершении проекта вы получите:

• Полностью соответствующую требованиям Положений 779-П и 787-П систему операционной надежности
• Готовый пакет документации для подтверждения соответствия регуляторным требованиям
• Рекомендации по постоянному мониторингу и поддержанию уровня операционной надежности
• Обученный персонал, способный эффективно управлять процессами восстановления
• Подтвержденную оценку соответствия, необходимую для регуляторной отчетности