Изменения в управлении рисками при аутсорсинге

Материал подготовлен с использованием правовых актов по состоянию на 12 февраля 2021 г.

Комментируются основные изменения и дополнения, внесенные постановлением Правления Национального банка от 07.12.2020 № 386 в процедуру управления рисками при аутсорсинге.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Инструкция об управлении рисками при аутсорсинге, утв. постановлением Правления Национального банка от 08.01.2020 № 1 (далее – Инструкция № 1)

● постановление Правления Национального банка от 07.12.2020 № 386 «Об изменении постановления Правления Национального банка Республики Беларусь от 8 января 2020 г. № 1» (далее – Постановление № 386)

Постановлением № 386 уточнено определение аутсорсинга, которое дополнено условиями, требующими одновременного соблюдения:

● договорные отношения между банком и аутсорсинговой организацией носят длительный характер или договоры между ними заключаются регулярно;

● функция банка, которая передается для выполнения аутсорсинговой организацией, связана с осуществляемой им банковской операцией;

● информацию о клиентах банка или иные сведения, составляющие банковскую или иную охраняемую законом тайну, банк передает аутсорсинговой организации или предоставляет доступ к такой информации или сведениям иным образом.

Банку предоставлено право в ЛПА предусмотреть дополнительные условия при передаче функций на аутсорсинг и порядок их применения.

Внесено уточнение, что передача банком функций, связанных с получением услуг международных платежных систем, международных телекоммуникационных систем передачи информации или совершения платежей, не относится к аутсорсингу (п. 2¹ Инструкции № 1).

При передаче банком функций, связанных с обслуживанием (доработкой, модификацией, техобслуживанием) лицензионного программного обеспечения, которые не относятся к аутсорсингу, необходимо оценивать следующие риски, которые связаны с такой передачей: операционный риск, в т.ч. правовой риск, киберриск и риск использования услуг третьей стороны, репутационный риск и риск концентрации (п. 2² Инструкции № 1).

Из критически важной функции, которой является внутренний аудит банка, исключено уточнение о привлечении сторонней организации для выполнения работ по осуществлению внутреннего аудита в банке (аутсорсинг внутреннего аудита) по отдельным операциям или направлениям деятельности (бизнес-линиям, бизнес-процессам).  

Еще одна критическая функция, такая как банковская деятельность, в т.ч. осуществление операций по банковским счетам клиентов банка, дополнена возможностью ее передачи на аутсорсинг не только банку, имеющему специальное разрешение (лицензию) на осуществление соответствующей банковской операции, но и небанковской кредитно-финансовой организации и ООО «Банк развития Республики Беларусь.

Из основных условий (принципов), которые должны выполняться банком и аутсорсинговой организацией при передаче функций на аутсорсинг, исключена недопустимость передачи банковских операций на аутсорсинг. Тем самым регулятор снимает ограничения на передачу на аутсорсинг банковских операций (п. 4 Инструкции № 1).

Уточнена периодичность оценки финансовой устойчивости аутсорсинговой организации, которая должна осуществляться не реже 1 раза в год. Кроме того, банк должен оценивать вероятность нарушения своей непрерывности или устойчивого функционирования, если будут реализованы риски у аутсорсинговой организации или у лиц, которые привлекаются ею для выполнения функций банка по осуществлению банковских операций.

Предусмотрено, что управление рисками, которые включены в состав операционного риска и связаны с аутсорсингом, осуществляется в соответствии с ЛПА банка (п. 5 Инструкции № 1).

Дополнительно с согласия аутсорсинговой организации и в согласованном объеме банки размещают на своих сайтах в сети Интернет информацию о бенефициарных владельцах аутсорсинговой организации (п. 7 Инструкции № 1).

Определен термин «бенефициарный владелец», под которым понимается физическое или юридическое лицо, являющееся собственником имущества аутсорсинговой организации, или владеющее не менее чем 10 % акций этой организации, или прямо или косвенно (через третьих лиц) в конечном итоге имеющее право или возможность давать обязательные для аутсорсинговой организации указания, влиять на принимаемые ею решения или иным образом контролировать ее действия.

Расширен перечень информации, которая включается в реестр договоров, предусматривающих аутсорсинг. В реестре, кроме ранее отмеченных сведений, указываются регистрационный номер аутсорсинговой организации в ЕГР, данные бенефициарных владельцев (фамилия, имя, отчество (при наличии), резидентство – для физлиц, наименование и резидентство – для юрлиц) и иная информация в объеме, согласованном с аутсорсинговой организацией.