Положение 850-П

Объекты:

• Кредитные организации (КО), зарегистрированные на территории Российской Федерации;
• Филиалы иностранных банков, осуществляющие деятельность на территории Российской Федерации.

Когда необходимо выполнять требования:

Кредитные организации и филиалы иностранных банков должны реализовывать требования к операционной надежности начиная с внедрения технологических процессов.

Самое главное:

Положение 850-П устанавливает обязательные для кредитных организаций и филиалов иностранных банков комплексные требования к операционной надежности. Его основная цель — обеспечение бесперебойного и непрерывного оказания клиентам (физическим и юридическим лицам) банковских услуг даже в условиях кибератак, техногенных сбоев, форс-мажорных обстоятельств или иных операционных инцидентов. Документ смещает фокус с защиты информации на обеспечение устойчивости всего комплекса бизнес-процессов, ИТ-систем и вспомогательной инфраструктуры кредитных организаций и филиалов иностранных банков.

Кредитные организации наряду, с выполнением требований Положения Банка России 850-П, должны выполнять требования к системе управления операционным риском, установленные Положением Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее - Положение Банка России № 716-П).

Используемые термины:

Требования к операционной надежности – требования, установленные в 850-П, к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг.

Объекты информационной инфраструктуры – автоматизированные системы, программное обеспечение, средства вычислительной техники, телекоммуникационное оборудование, используемое для осуществления банковской деятельности.

Технологические процессы – процессы, как вид деятельности, осуществляемые банками и филиалами иностранных банков:

1. Технологический процесс, обеспечивающий привлечение денежных средств физических лиц во вклады.
2. Технологический процесс, обеспечивающий привлечение денежных средств юридических лиц во вклады.
3. Технологический процесс, обеспечивающий размещение привлеченных во вклады денежных средств физических и (или) юридических лиц от своего имени и за свой счет.
4. Технологический процесс, обеспечивающий осуществление переводов денежных средств по поручению физических лиц по их банковским счетам.
5. Технологический процесс, обеспечивающий осуществление переводов денежных средств по поручению юридических лиц, в том числе банков-корреспондентов, по их банковским счетам, за исключением переводов по распоряжениям участников платежной системы (для переводов денежных средств по распоряжениям участников платежной системы - в соответствии с Положением Банка России от 3 октября 2017 года № 607-П «О требованиях к порядку обеспечения бесперебойности функционирования платежной системы, показателям бесперебойности функционирования платежной системы и методикам анализа рисков в платежной системе, включая профили рисков»).
6. Технологический процесс, обеспечивающий открытие и ведение банковских счетов физических лиц.
7. Технологический процесс, обеспечивающий открытие и ведение банковских счетов юридических лиц.
8. Технологический процесс, обеспечивающий осуществление переводов денежных средств без открытия банковских счетов, в том числе электронных денежных средств (за исключением почтовых переводов).
9. Технологический процесс, обеспечивающий выполнение операций на финансовых рынках.
10. Технологический процесс, обеспечивающий выполнение кассовых операций;
11. Технологический процесс, обеспечивающий работу онлайн-сервисов дистанционного обслуживания и доступа к осуществлению операций.
12. Технологический процесс, обеспечивающий размещение и обновление биометрических персональных данных в единой биометрической системе.
13. Технологический процесс, обеспечивающий идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц.

Пороговый уровень допустимого времени простоя и (или) деградации технологических процессов – пороговый уровень допустимого времени простоя и (или) нарушения технологических процессов, приводящих к неоказанию или ненадлежащему оказанию банковских услуг при:

• возникновении отказов и (или) нарушений функционирования объектов информационной инфраструктуры, и (или) несоответствии их функциональных возможностей и характеристик потребностям кредитных организаций, филиалов иностранных банков (далее - сбои объектов информационной инфраструктуры);
• реализации риска преднамеренных действий со стороны работников кредитной организации, филиала иностранного банка и (или) третьих лиц с использованием программных и (или) программно-аппаратных средств, направленных на объекты информационной инфраструктуры кредитной организации, филиала иностранного банка в целях нарушения и (или) прекращения их функционирования, и (или) создания угрозы безопасности информации, подготавливаемой, обрабатываемой и хранимой такими объектами, а также в целях несанкционированного присвоения, хищения, изменения, удаления данных и иной информации (структуры данных, параметров и характеристик систем, программного кода) и нарушения режима доступа.

Кредитные организации – кредитные организации, за исключением центрального контрагента в значении, установленном пунктом 17 статьи 2 Федерального закона от 7 февраля 2011 года № 7-ФЗ «О клиринге, клиринговой деятельности и центральном контрагенте», и центрального депозитария в значении, установленном в статье 2 Федерального закона от 7 декабря 2011 года № 414-ФЗ «О центральном депозитарии».

Филиалы иностранных банков – иностранные банки, осуществляющие деятельность на территории Российской Федерации через свои филиалы.

Показатели операционной надежности – сигнальные и контрольные значения, предусмотренные пунктом 5.1 Положения Банка России № 716-П, которые должны установить и соблюдать кредитные организации для каждого технологического процесса:

• допустимого отношения общего количества банковских операций и иных операций, осуществляемых в рамках технологического процесса, совершенных во время нарушений технологических процессов, приводящих к неоказанию или ненадлежащему оказанию банковских услуг (далее - деградация технологического процесса), в рамках события операционного риска или серии связанных событий операционного риска, вызванных информационными угрозами и (или) сбоями объектов информационной инфраструктуры, которые привели к неоказанию или ненадлежащему оказанию банковских услуг (далее - инцидент операционной надежности), к ожидаемому количеству банковских операций и иных операций, осуществляемых в рамках технологических процессов, за тот же период в случае непрерывного оказания банковских услуг, установленного кредитной организацией (далее - допустимая доля деградации технологического процесса);
• допустимого времени простоя и (или) деградации технологических процессов кредитных организаций в рамках инцидента операционной надежности (в случае несоблюдения в течение временного периода, превышающего пять минут, сигнального значения допустимой доли деградации технологического процесса);
• допустимого суммарного времени простоя и (или) деградации технологического процесса кредитных организаций (в случае несоблюдения в течение временного периода, превышающего пять минут, сигнального значения допустимой доли деградации технологического процесса) в течение очередного календарного года.

Поставщик услуг в сфере информационных технологий – третье лицо, оказывающее услуги в сфере информационных технологий, связанные с выполнением технологических процессов.

Основные элементы, подлежащие обеспечению операционной надежности:

Кредитные организации должны обеспечивать учет и контроль элементов критичной архитектуры:

• технологических процессов, реализуемых непосредственно кредитными организациями, филиалами иностранных банков;
• подразделений (работников) кредитных организаций, филиалов иностранных банков, ответственных за разработку технологических процессов, поддержание их выполнения, реализацию технологических процессов (далее - подразделения кредитных организаций, филиалов иностранных банков);
• объектов информационной инфраструктуры кредитных организаций, филиалов иностранных банков, задействованных при выполнении каждого технологического процесса;
• технологических участков, предусмотренных подпунктом 5.2 пункта 5 Положения Банка России от 30 января 2025 года № 851-П «Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» (далее соответственно - технологические участки, Положение Банка России № 851-П), в рамках технологических процессов, реализуемых непосредственно кредитными организациями, филиалами иностранных банков;
• технологических процессов, технологических участков в рамках технологических процессов, реализуемых поставщиками услуг в сфере информационных технологий;
• работников кредитных организаций, филиалов иностранных банков или иных лиц, осуществляющих физический и (или) логический доступ, или программных сервисов, осуществляющих логический доступ к объектам информационной инфраструктуры (далее - субъекты доступа), задействованных при выполнении каждого технологического процесса;
• взаимосвязей и взаимозависимостей кредитных организаций, филиалов иностранных банков с иными кредитными организациями, филиалами иностранных банков, некредитными финансовыми организациями, поставщиками услуг в сфере информационных технологий в рамках выполнения технологических процессов (далее при совместном упоминании - участники технологического процесса);
• каналов передачи защищаемой информации, установленной пунктом 1 Положения Банка России № 851-П, обрабатываемой и передаваемой в рамках технологических процессов участниками технологического процесса.

Для обеспечения учета и контроля состава технологических процессов, технологических участков в рамках технологических процессов, которые реализуются поставщиками услуг в сфере информационных технологий, кредитные организации, филиалы иностранных банков должны вести отдельный реестр, содержащий сведения об указанных поставщиках услуг.

Также стоит обратить внимание на то, что кредитные организации в отношении элементов критичной архитектуры, указанных выше, являющихся значимыми объектами критической информационной инфраструктуры в соответствии с пунктом 3 статьи 2 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее - Федеральный закон № 187-ФЗ), должны выполнять требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленные в соответствии с пунктом 4 части 3 статьи 6 Федерального закона № 187-ФЗ.

Требования к управлению изменениями критичной архитектуры:

Кредитные организации, филиалы иностранных банков должны выполнять следующие требования в рамках управления изменениями критичной архитектуры:

• организацию и выполнение процедур управления изменениями в критичной архитектуре, включая планирование и внедрение изменений в критичной архитектуре, направленных на обеспечение недопустимости неоказания или ненадлежащего оказания банковских услуг;
• управление конфигурациями (настраиваемыми параметрами) объектов информационной инфраструктуры;
• управление уязвимостями и обновлениями (исправлениями) объектов информационной инфраструктуры.

Требования к выявлению, регистрации инцидентов операционной надежности и реагированию на них:

Кредитные организации должны выполнять требования к выявлению, регистрации инцидентов операционной надежности и реагированию на них, а также восстановлению выполнения технологических процессов и функционирования объектов информационной инфраструктуры после реализации таких инцидентов, которые включают в себя:

• выявление и регистрацию инцидентов операционной надежности;
• реагирование на инциденты операционной надежности в отношении критичной архитектуры;
• восстановление функционирования технологических процессов и объектов информационной инфраструктуры после реализации инцидентов операционной надежности;
• анализ причин и последствий реализации инцидентов операционной надежности;
• организацию взаимодействия между подразделениями кредитных организаций, а также между кредитными организациями и Банком России, иными участниками технологического процесса в рамках реагирования на инциденты операционной надежности и восстановления выполнения технологических процессов и функционирования объектов информационной инфраструктуры после реализации инцидентов операционной надежности.

При этом филиалы иностранных банков должны разработать комплекс мер для обнаружения, регистрации случаев нарушения технологических процессов и реагирования на них, а также для восстановления нормального хода технологических операций.

Требования к взаимодействию с поставщиками услуг в сфере информационных технологий:

Кредитные организации, филиалы иностранных банков должны выполнять требования к взаимодействию с поставщиками услуг в сфере информационных технологий, которые включают в себя:

• принятие мер, направленных на нейтрализацию информационных угроз, связанных с привлечением поставщиков услуг в сфере информационных технологий, в том числе защиту объектов информационной инфраструктуры от возможной реализации информационных угроз со стороны поставщиков услуг в сфере информационных технологий;
• принятие мер, направленных на нейтрализацию информационных угроз, обусловленных технологической зависимостью функционирования объектов информационной инфраструктуры кредитных организаций, филиалов иностранных банков от поставщиков услуг в сфере информационных технологий.

При выполнении данных требований стоит учитывать мнение Банка России о целесообразности осуществления перехода на отечественное программное и аппаратное обеспечение в рамках управления рисками, указанными выше.

Что необходимо кредитным организациям фиксировать во внутренней документации:

Кредитные организации во внутренних документах, предусмотренных подпунктами 4.1.2-4.1.4 пункта 4.1 Положения Банка России № 716-П, должны фиксировать:

• Политику управления операционным риском и внутренние документы, описывающие процедуры управления операционным риском, а также процедуры оценки эффективности функционирования системы управления операционным риском;
• Внутренние документы, устанавливающие в кредитной организации (головной кредитной организации банковской группы) структуру и организацию системы управления операционным риском, в том числе полномочия и функции руководителей подразделения, ответственного за организацию управления операционным риском, специализированных подразделений, центров компетенций с учетом исключения конфликта интересов;
• Порядок оценки уполномоченным подразделением и (или) организацией, осуществляющей внешний аудит, эффективности функционирования системы управления операционным риском, в том числе выполнения принятых в кредитной организации (головной кредитной организации банковской группы) процедур управления операционным риском.

Филиалы иностранных банков должны установить процедуры в рамках обеспечения операционной надежности:

• определение и описание состава процедур, направленных на выполнение требований к операционной надежности;
• определение перечня и порядка организационного взаимодействия подразделений кредитных организаций, филиалов иностранных банков, участвующих в соблюдении требований к операционной надежности, с учетом исключения конфликта интересов;
• определение порядка осуществления контроля за соблюдением требований к операционной надежности в рамках системы внутреннего контроля;
• выделение ресурсного обеспечения для выполнения требований к операционной надежности;
• порядок утверждения и условия пересмотра процедур, направленных на выполнение требований к операционной надежности.

Также кредитные организации во внутренних документах должны устанавливать критерии шкалы качественных оценок и методику определения оценок для качественных потерь от реализации инцидентов операционной надежности в соответствии с подпунктом 3.13.2 пункта 3.13 Положения Банка России № 716-П в случае, если указанные потери не определяются в денежном выражении.

А филиалы иностранных банков должны установить порядок фиксации случаев простоя технологических процессов в течение временного периода, превышающего значения порогового уровня допустимого времени простоя и (или) деградации технологических процессов, предусмотренных приложением 1 к Положению 850-П, который предусматривает регистрацию следующей информации:

• о принятых мерах и проведенных мероприятиях по реагированию на выявленный филиалами иностранных банков или Банком России случай простоя технологических процессов;
• о результате восстановления технологического процесса.

Регистрация инцидентов операционной надежности:

Кредитные организации в рамках выполнения требований Положения Банка России №716-П, а также филиалы иностранных банков должны:

• планировать применение организационных и технических мер, направленных на выполнение требований к операционной надежности;
• реализовывать требования к операционной надежности на стадиях создания, ввода в эксплуатацию, эксплуатации (использования по назначению, технического обслуживания и ремонта), модернизации, вывода из эксплуатации объектов информационной инфраструктуры;
• осуществлять контроль соблюдения требований к операционной надежности.

Кредитные организации, филиалы иностранных банков должны:

• вести базу событий и регистрировать инциденты операционной надежности, вследствие которых возникли прямые и (или) непрямые потери кредитной организации;
• должны предусматривать во внутренних документах классификацию типов инцидентов операционной надежности с использованием перечня типов инцидентов операционной надежности, размещаемого Банком России на официальном сайте Банка России в сети «Интернет».

Для каждого инцидента операционной надежности требуется регистрировать следующую информацию:

• данные, позволяющие выявить причину несоблюдения установленных сигнальных и контрольных значений показателей операционной надежности;
• информацию о принятых мерах и проведенных мероприятиях по реагированию на выявленный кредитными организациями или Банком России инцидент операционной надежности;
• информацию о результате восстановления технологического процесса.

Информирование Банка России:

Кредитные организации информируют о:

• выявленных инцидентах операционной надежности (в случае несоблюдения в течение временного периода, превышающего пять минут, сигнального значения допустимой доли деградации технологических процессов) кредитных организаций, а также о принятых мерах и проведенных мероприятиях по реагированию на выявленный кредитными организациями или Банком России инцидент операционной надежности;
• планируемых мероприятиях по раскрытию информации, включая выпуск пресс-релизов и проведение пресс-конференций, размещение информации на своих официальных сайтах в сети «Интернет», в отношении указанных в абзаце втором настоящего пункта инцидентов операционной надежности и случаев простоя технологических процессов до проведения указанных мероприятий.

Филиалы иностранных банков информируют о:

• выявленных случаях простоя технологических процессов в течение временного периода, превышающего значения порогового уровня допустимого времени простоя и (или) деградации технологических процессов, предусмотренных приложением 1 к Положению 850-П, а также принятых мерах и проведенных мероприятиях по реагированию на выявленные филиалами иностранных банков или Банком России случаи простоя технологических процессов;
• планируемых мероприятиях по раскрытию информации, включая выпуск пресс-релизов и проведение пресс-конференций, размещение информации на своих официальных сайтах в сети «Интернет», в отношении указанных в абзаце пятом настоящего пункта случаев простоя технологических процессов до проведения указанных мероприятий.

Осуществление передачи информации, указанной выше, осуществляется при помощи АСОИ ФинЦЕРТ или при помощи резервного способа взаимодействия, информация о которых размещается на официальном сайте Банка России в сети «Интернет».

Некоторые возможные риски несоблюдения требований 850-П:

1. Существенные надзорные меры и ограничения со стороны Банка России, ведущие к коммерческому ущербу.

• Основание: Прямые полномочия Банка России по защите интересов клиентов и стабильности финансовой системы.
• Риски: Выдача предписания о запрете на запуск новых продуктов, услуг или IT-систем до приведения операционной надежности в соответствие с требованиями. Наложение ограничений на привлечение новых клиентов для проблемных сервисов. Эти меры напрямую блокируют развитие бизнеса и ведут к потере рыночной доли.

2. Признание кредитной организации неплатежеспособной вследствие операционного сбоя и отзыв лицензии.

• Основание: Статья 74 Федерального закона №86-ФЗ «О Центральном банке РФ» и статья 20 Федерального закона №395- I «О банках и банковской деятельности». Продолжительный сбой в проведении платежей или доступе клиентов к средствам может быть расценен как фактическое прекращение выполнения банковских операций, что является основанием для отзыва лицензии.
• Риски: Полное прекращение деятельности, переход под управление Агентства по страхованию вкладов, необратимые репутационные потери для собственников и руководства кредитной организации, филиала иностранного банка.

3. Массовые судебные иски от клиентов и контрагентов о возмещении убытков, вызванных простоем.

• Основание: Гражданский кодекс РФ (обязательства из договоров банковского счета, вклада, расчетов). Клиенты, не сумевшие провести критический платеж (например, по договору поставки, уплаты налогов) из-за сбоя у кредитной организации или филиала иностранного банка, могут взыскать с банка упущенную выгоду, штрафы и пени.
• Риски: Коллективные иски на крупные суммы, существенные судебные издержки, репутационный урон, раскрываемый в ходе судебных процессов. Потенциальный ущерб может многократно превышать прямой операционный убыток от инцидента.

4. Стратегическая потеря доверия рынка и вывод корпоративных клиентов.

• Основание: Для корпоративных клиентов из различных секторов экономики, непрерывность расчетов — критический фактор. Происходящие сбои в функционировании сервисов, предоставляемых кредитными организациями и филиалами иностранных банков, могут демонстрировать ненадежность кредитной организации и филиала иностранных банков как партнера.
• Риски: Массовый отток крупных корпоративных клиентов и их оборотов на счета в другие банки. Потеря статуса «банка-казначея» для крупных холдингов. Долгосрочное снижение кредитных рейтингов и удорожание фондирования на межбанковском рынке.

Приложение 1. Пороговый уровень допустимого времени простоя и (или) деградации технологических процессов кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы

Приложение 2. Сигнальные и контрольные значения допустимой доли деградации технологических процессов кредитных организаций