Проект Указания Банка России “О требованиях к организации системы управления рисками организатора торговли и к документам организатора торговли, определяющим меры, направленные на снижение рисков” (по состоянию на 17.01.2017)

Настоящее Указание на основании частей 1 и 4 статьи 15, а также пункта 12 части 1 статьи 25 Федерального закона от 21 ноября 2011 года № 325-ФЗ «Об организованных торгах» (Собрание законодательства Российской Федерации, 2012, № 53, ст. 7607; 2013, № 30, ст. 4084; 2013, № 51, ст. 6699; 2015, № 27, ст. 4001; 2015, № 29, ст. 4357) (далее - Закон об организованных торгах) устанавливает требования к организации системы управления рисками организатора торговли, а также требования к документам организатора торговли, определяющим меры, направленные на снижение рисков.

Глава 1. Общие положения

1.1. Организатор торговли в целях осуществления управления рисками должен организовать систему управления рисками, связанными с организацией торгов, а также с осуществлением операций с собственным имуществом, которая должна соответствовать характеру и масштабу совершаемых им операций и содержать систему мониторинга рисков, обеспечивающую своевременное доведение необходимой информации до сведения органов управления организатора торговли.

1.2. Система управления рисками организатора торговли должна позволять на постоянной основе осуществлять следующие процессы:

1) процесс, позволяющий определять элементы риска (источники риска, события и их причины), которым он может быть подвержен (далее - идентификация риска);

2) процесс изучения природы и характера риска и определения уровня риска (далее - анализ риска);

3) процесс сравнения результатов анализа риска c допустимым уровнем риска (далее - сравнительная оценка рисков);

4) процесс, направленный на минимизацию риска, посредством отказа от риска, его снижения, передачи (страхования) (далее - воздействие на риск);

5) процесс мониторинга и контроля процессов и рисков;

6) процесс обмена информацией о рисках.

1.3. Система управления рисками организатора торговли должна позволять выявлять, оценивать и агрегировать риски, которые автономно или в сочетании друг с другом могут привести к существенным потерям организатора торговли (далее - значимые риски).

1.4. Процесс идентификации риска должен включать составление и описание элементов риска, которым может быть подвержен организатор торговли.

1.5. Процесс анализа рисков должен включать, в том числе, рассмотрение причин рисков, их последствий, возможности наступления таких последствий, а также отнесение риска к определенному виду.

1.6. Организатор торговли самостоятельно определяет виды рисков, при этом, он вправе группировать несколько видов рисков в один вид или подразделять вид риска на подвиды риска.

1.7. Процесс сравнительной оценки риска должен позволять определить приемлемость риска, выявленного в ходе процесса анализа риска, в соответствии с настоящей главой.

1.8. По результатам сравнительной оценки риска организатор торговли должен определить необходимость или отсутствие необходимости воздействия на риск.

1.9. Процесс воздействия на риск должен включать:

1) определение и оценку мер воздействия на риск;

2) определение, является ли уровень остаточного (после воздействия на риск) риска приемлемым;

3) определение и оценку новых мер воздействия на риск, если уровень остаточного риска неприемлем.

1.10. Система управления рисками организатора торговли должна предусматривать способы внутреннего и внешнего обмена информацией таким образом, чтобы поддерживать и обеспечивать распределение ответственности и полномочий по управлению рисками, в том числе в случае возникновения непредвиденных обстоятельств.

1.11. Организатор торговли обеспечивает документальную фиксацию фактов возникновения значимых рисков, включая, если применимо, описание событий их возникновения и реализации с указанием последствий, а также фактов воздействия на значимые риски.

Организатор торговли осуществляет хранение информации, предусмотренной настоящим пунктом, в течение не менее 5 лет со дня фиксации факта возникновения значимого риска.

1.12. Мониторинг и контроль рисков должны быть направлены на проверку:

1) предположений, на которых основана оценка риска;

2) соответствия результатов оценки риска фактической информации о риске;

3) соответствия применения методов оценки риска внутренним процедурам;

4) эффективности процесса воздействия на риск.

1.13. Мониторинг и контроль рисков должны распространяться на все процессы управления рисками в целях:

1) получения дополнительной информации для улучшения оценки риска (идентификации, анализа и сравнительной оценки риска);

2) выявления изменений во внешней и внутренней среде, включая изменения самого риска, который может потребовать пересмотра способов воздействия на риск;

3) идентификации новых или возникающих рисков.

1.14. Организатор торговли в случае совмещения своей деятельности с иными видами деятельности, при организации системы управления рисками обязан учитывать особенности таких видов деятельности и риски, связанные с их совмещением.

Глава 2. Требования к организации системы управления рисками организатора торговли

2.1. Организатор торговли в целях управления рисками определяет совокупность подразделений и работников, ответственных за управление рисками, в том числе назначает должностное лицо, ответственное за организацию системы управления рисками или формирует структурное подразделение, ответственное за организацию системы управления рисками (далее - служба по управлению рисками).

Передача части функций должностного лица, ответственного за организацию системы управления рисками (службы по управлению рисками) допускается только организации, входящей в одну группу лиц с организатором торговли и являющейся кредитной и (или) некредитной финансовой организацией, при условии наличия в указанной организации соответствующего структурного подразделения, а также с учетом требований настоящего Указания.

2.2. Организатор торговли в рамках системы управления рисками должен обеспечивать:

1) создание и обновление аналитической базы данных об убытках, понесенных вследствие реализации рисков, которая должна содержать информацию о видах убытков, их размере, датах возникновения, а также обо всех существенных событиях, приводящих к данным убыткам, включая обстоятельства их возникновения;

2) накопление соответствующей внешней информации о причинах и обстоятельствах возникновения рисков;

3) доступ лиц, ответственных за управление рисками организатора торговли, ко всей информации (документам), необходимой (необходимым) для управления рисками, включая доступ к указанной в подпунктах 1 и 2 настоящего пункта аналитической базе и внешней информации;

4) своевременное предоставление должностным лицом, ответственными за организацию системы управления рисками (руководителем службы по управлению рисками), информации, связанной с осуществлением управления рисками, единоличному исполнительному органу, совету директоров (наблюдательному совету) и иным органам управления организатора торговли.

2.3. В рамках системы управления рисками организатор торговли должен обеспечивать управление всеми рисками, присущими его деятельности, в том числе в рамках предоставления услуг, независимо от того, подконтролен организатору торговли их источник или нет, включая, но не ограничиваясь следующими видами рисков:

1) риском возникновения расходов (убытков) организатора торговли в результате отказа программно-технического комплекса организатора торговли (включая системы расчета индексов, информационные и торговые системы, а также иные программно-технические средства, непосредственно задействованные в деятельности по организации торгов), в том числе по причине ненадежности и недостатков внутренних процедур управления организатора торговли, ошибок, недобросовестных или умышленных действий (бездействий) работников организатора торговли и (или) участников торгов, технических сбоев, а также влияния внешних обстоятельств, включая воздействие вредоносных программ на программно-технические средства организатора торговли (операционный риск организатора торговли);

2) риском возникновения расходов (убытков) организатора торговли в результате уменьшения числа клиентов (участников торгов, эмитентов и иных контрагентов) или уменьшения объема торгов вследствие формирования в обществе негативного представления об операционной устойчивости организатора торговли, качестве оказываемых услуг или характере деятельности в целом (риск потери деловой репутации организатора торговли);

3) риском возникновения расходов (убытков) организатора торговли в результате ошибок (недостатков), допущенных при принятии решений, определяющих стратегию деятельности и развития организатора торговли (стратегический риск организатора торговли);

4) иными рисками, предусмотренными документом (документами), содержащим (содержащими) меры, направленные на снижение рисков организатора торговли (далее - Правила управления рисками).

2.4. Организатор торговли осуществляет управление операционным риском организатора торговли в соответствии с главой 3 настоящего Указания.

2.5. В целях управления риском потери деловой репутации организатор торговли применяет системы информационного обеспечения, обеспечивающие своевременное информирование единоличного исполнительного органа, совета директоров (наблюдательного совета) и иных органов управления организатора торговли о наличии негативных и позитивных отзывов о деятельности организатора торговли в сообщениях и материалах, распространенных средствами массовой информации, размещенных в информационно-телекоммуникационной сети «Интернет» и иных источниках.

2.6. В целях управления стратегическим риском организатор торговли:

1) обеспечивает эффективное управление проектами, в том числе посредством:

проведения предпроектного анализа целесообразности и успешности запуска проектов по расширению бизнеса, его модификации;

определения факторов (необходимых и достаточных) для успешной реализации проектов;

идентификации рисков, возникающих при реализации проектов;

анализа успешности реализации проектов, в том числе по итогам их завершения;

2) осуществляет долгосрочное планирование развития деятельности, в том числе посредством разработки стратегических документов (включая планы по увеличению баланса и прибыли, усложнению операционной структуры, расширению бизнеса, введению новых продуктов и направлений деятельности организатора торговли и др.). При этом организатор торговли обязан учитывать масштаб планируемого развития, его соответствие целям, обозначенным учредительными документами организатора торговли, а также возможности системы управления рисками организатора торговли.

Глава 3. Управление операционным риском организатора торговли и обеспечение непрерывности его деятельности

3.1. В целях управления операционным риском организатор торговли должен учитывать внутренние и внешние факторы (причины) операционного риска, в том числе:

1) случайные или преднамеренные действия физических и (или) юридических лиц, направленные против интересов организатора торговли;

2) несовершенство организационной структуры организатора торговли в части распределения полномочий подразделений и работников организатора торговли;

3) неблагоприятные внешние обстоятельства, находящиеся вне контроля организатора торговли.

3.2. Организатору торговли рекомендуется назначить отдельное должностное лицо, ответственное за управление операционным риском организатора торговли.

В случае назначения организатором торговли отдельного должностного лица, ответственного за управление операционным риском организатора торговли, реализация мер, предусмотренных пунктами 3.3 и 3.4 настоящего Указания, возлагается на такое должностное лицо.

3.3. В целях управления операционным риском организатор торговли:

1) принимает меры, направленные на предотвращение случаев пересечения полномочий и ответственности подразделений и работников организатора торговли;

2) определяет перечень требующих защиты от противоправных действий и сбоев программно-технических средств, предназначенных для осуществления деятельности по проведению организованных торгов (далее - средства проведения торгов), некорректное функционирование которых способно оказать неблагоприятное воздействие на деятельность по организации торгов и (или) повлечь существенную дестабилизацию, приостановление или прекращение организованных торгов;

3) обеспечивает внедрение (обновление), настройку и защиту используемых средств проведения торгов, в том числе посредством разработки комплексных мер защиты и обеспечения бесперебойной защиты средств проведения торгов, в том числе от несанкционированного внешнего воздействия специальными программными средствами (далее - кибератаки);

4) определяет перечень мер по предотвращению внедрения в средства проведения торгов вредоносных программ (программ-вирусов) или иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации и копирования информации или нейтрализации средств защиты информационных систем и программно-технических средств;

5) проводит регулярную идентификацию угроз, которые могут привести к неработоспособности средств проведения торгов, а также постоянный мониторинг текущего состояния средств проведения торгов, осуществляет контроль пользовательских прав и регламентов работников организатора торговли с целью принятия своевременных мер по устранению выявленных недостатков;

6) проводит регулярный мониторинг средств проведения торгов, в том числе на предмет необходимости их обновления, с целью снижения риска возникновения сбоев в их работе;

7) взаимодействует с участниками торгов в целях выявления и предотвращения кибератак, внедрения вредоносных программ (программ-вирусов), а также получения информации об иных событиях операционного риска;

8) выявляет и контролирует все потенциальные источники риска, возникшие вследствие взаимодействия с участниками торгов и контрагентами посредством телекоммуникационных или иных каналов связи, в том числе с использованием программно-технических средств, а также осуществляет управление рисками, возникающими из указанного взаимодействия, включая риски связанные с некорректным использованием участниками торгов программно-технических средств;

9) осуществляет мониторинг за надлежащим использованием участниками торгов программно-технических средств организатора торговли, информации и (или) программного обеспечения, полученных участником торгов от организатора торговли (иного уполномоченного организатором торговли лица) и переданных своему клиенту с целью предоставления прямого доступа к организованным торгам, а также разрабатывает и утверждает процедуры, направленные на осуществление такого мониторинга;

10) утверждает документы, устанавливающие требования к программно-техническим средствам используемым участниками торгов, а также клиентами участников торгов, в случае подключения таких клиентов к программно-техническим средствам, предназначенным для осуществления деятельности по проведению организованных торгов;

11) в целях предупреждения существенных нагрузок на средства проведения торгов, устанавливает пороговые значения в отношении объема поступающих заявок участников торгов и клиентов участников торгов и частоты их поступления;

12) осуществляет предварительный мониторинг заявок, поступивших от участников торгов, с учетом пороговых значений;

13) осуществляет нагрузочное, а также иное тестирование средств проведения торгов, в том числе направленное на наличие уязвимостей и точек проникновения при кибератаках, с периодичностью, определенной Правилами управления рисками, но не реже одного раза в полугодие, а также осуществляет оперативное устранение недостатков в работе средств проведения торгов организатора торговли при их выявлении;

14) осуществляет надлежащее информирование персонала организатора торговли о возможных событиях операционного риска, а также осуществляет обучение персонала организатора торговли по вопросам выявления, идентификации и оценки операционного риска;

15) предпринимает иные меры по управлению операционным риском организатора торговли, предусмотренные настоящим Указанием и Правилами управления рисками.

3.4. В целях обеспечения непрерывности деятельности организатора торговли, в случаях возникновения чрезвычайных обстоятельств, которые могут препятствовать нормальному осуществлению деятельности по организации торгов, организатор торговли:

1) определяет критически важные процессы, приостановление которых влечет нарушение нормального осуществления деятельности организатора торговли (далее - критически важные процессы), участников торгов и (или) контрагентов организатора торговли;

2) выявляет и проводит анализ факторов возникновения чрезвычайных ситуаций, которые способны привести к приостановлению критически важных процессов (далее - чрезвычайные ситуации);

3) определяет перечень возможных чрезвычайных ситуаций (в том числе с учетом норм Федерального закона от 21 декабря 1994 года № 68-ФЗ «О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера» (Собрание законодательства Российской Федерации, 1994, № 35, ст. 3648; 2004, № 35, ст. 3607; 2006, № 50, ст. 5284; 2010, № 31, ст. 4192; 2011, № 1, ст. 24, 54; 2012, № 14, ст. 1549; 2014, № 42, ст. 5615; 2015, № 10, ст. 1408; 2016, № 26, ст. 3887) исходя из оценки возможного ущерба и негативных последствий для организатора торговли, его контрагентов и клиентов вследствие нарушения обеспечения непрерывности деятельности с учетом вероятности и времени возникновения таких нарушений, а также специфики и масштаба деятельности организатора торговли;

4) выявляет и проводит анализ факторов возникновения чрезвычайных ситуаций, осуществляет разработку политик информационной безопасности и на постоянной основе осуществляет мероприятия по защите средств проведения торгов от противоправных действий;

5) распределяет ответственность и полномочия между работниками на случай возникновения чрезвычайных ситуаций;

6) разрабатывает и утверждает план действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности организатора торговли в случае возникновения нестандартных и чрезвычайных ситуаций (далее - План ОНиВД), предусматривающий использование дублирующих (резервных) автоматизированных систем и (или) устройств, а также восстановление средств проведения торгов, поддерживаемых внешним поставщиком (провайдером) услуг (далее - поставщик услуг). Организатор торговли определяет порядок проверки возможности выполнения плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности в случае возникновения нестандартных и чрезвычайных ситуаций;

7) проводит проверку (тестирование) и пересмотр Плана ОНиВД не реже одного раза в два года;

8) принимает меры, направленные на обеспечение непрерывности деятельности организатора торговли, в том числе направленные на обеспечение бесперебойного функционирования средств проведения торгов.

3.5. В целях обеспечения возобновления деятельности по организации торгов в максимально короткий срок с момента возникновения чрезвычайных ситуаций организатор торговли:

1) на ежедневной основе создает резервные копии информации о торгах, а также иной информации в рамках критически важных процессов.

Резервные копии должны содержать информацию за последние 5 лет;

2) обеспечивает наличие работоспособных независимых генераторов электричества необходимой мощности в основном и резервном офисах;

3) использует не менее двух поставщиков телекоммуникационных услуг для основного и резервного офисов;

4) определяет количество рабочих мест и техническое оснащение резервного офиса, достаточных для восстановления нормального функционирования критически важных процессов;

5) обеспечивает возможность незамедлительного с момента возникновения чрезвычайных ситуаций начала работы по переносу критически важных процессов, осуществляемых с использованием средств проведения торгов, из основного офиса в резервный офис;

6) поддерживает техническое состояние, технологическое и методологическое сопровождение резервного офиса на уровне, достаточном для обеспечения возможности функционирования всех критически важных процессов финансовой организации и обеспечения возможности поддержания этих процессов в течение одного месяца с момента возникновения чрезвычайной ситуации.

3.6. В случае передачи организатором торговли третьему лицу (в том числе поставщику услуг) отдельных функций, организатор торговли обязан определить меры воздействия на риски, возникающие в связи с неисполнением или ненадлежащим исполнением указанных функций таким лицом. При этом порядок передачи, требования к такому лицу, а также соответствующие меры воздействия должны быть зафиксированы во внутренних документах организатора торговли. Внутренними документами организатора торговли также должно быть предусмотрено:

1) обеспечение свободного доступа организатора торговли к информации и документам, находящимся в распоряжении третьего лица (поставщика услуг) и имеющим отношение к выполнению третьим лицом (поставщиком услуг) переданных функций организатора торговли;

2) обеспечение конфиденциальности информации, предоставленной организатором торговли третьему лицу (поставщику услуг);

3) порядок осуществления, переданных организатором торговли функций, в случае возникновения чрезвычайных ситуаций.

Ответственность за осуществление функций организатора торговли, переданных третьему лицу (поставщику услуг), несет организатор торговли. В случае неисполнения (ненадлежащего исполнения) третьим лицом (поставщиком услуг) функций, переданных ему организатором торговли, такие функции считаются неисполненными (исполненными ненадлежащим образом) организатором торговли.

Глава 4. Требования к Правилам управления рисками

4.1. Правила управления рисками должны содержать:

1) общие положения, определяющие принципы управления рисками организатора торговли (с описанием процессов по управлению рисками) должностным лицом, ответственным за управление рисками (службой по управлению рисками), включая правила идентификации, анализа, сравнительной оценки, воздействия, мониторинга и контроля рисков;

2) положения о мерах, принимаемых организатором торговли в целях выявления, мониторинга и предупреждения рисков в отношении средств проведения торгов, в том числе рисков, которые могут возникать в результате доступа третьих лиц к средствам проведения торгов, ошибок участников торгов или нарушения информационной безопасности;

3) положения об организационной структуре управления средствами проведения торгов, а также порядок разработки, модификации, тестирования и реализации новых средств проведения торгов или внесения изменений в существующие средства проведения торгов;

4) перечень внутренних документов организатора торговли, содержащих процедуры, указанные в подпункте 1 настоящего пункта, и относящихся к управлению рисками организатора торговли;

5) перечень мер, предпринимаемых организатором торговли для обеспечения конфиденциальности информации о рисках, в том числе конфиденциальности отчетов должностного лица, ответственного за управление рисками (службы по управлению рисками), о рисках организатора торговли;

6) периодичность проведения нагрузочного и иного тестирования средств проведения торгов, а также требования к сценариям, используемым для такого тестирования;

7) порядок и сроки информирования органов управления организатора торговли, его должностных лиц и структурных подразделений о рисках;

8) порядок передачи части функций организатора торговли поставщику услуг, включая процедуры определения поставщика услуг, заключение и прекращение договора с поставщиком услуг, с учетом требований, предусмотренных пунктом 3.4 настоящего Указания.

4.2. Правила управления рисками организатора торговли могут состоять из одного или нескольких документов.

Глава 5. Заключительные положения

5.1. Настоящее Указание в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от ___ _________ 2017 года № ___) вступает в силу по истечении трех месяцев после дня его официального опубликования.

Председатель Центрального банка Российской Федерации

Пояснительная записка
к проекту Указания Банка России «О требованиях к организации системы управления рисками организатора торговли и к документам организатора торговли, определяющим меры, направленные на снижение рисков» (далее - проект)

Банк России в соответствии с требованиями частей 1 и 4 статьи 15, а также пункта 12 части 1 статьи 25 Федерального закона от 21 ноября 2011 года № 325-ФЗ «Об организованных торгах» (далее - Закон об организованных торгах) разработал проект указания «О требованиях к организации системы управления рисками организатора торговли и к документам организатора торговли, определяющим меры, направленные на снижение рисков.

Проект подготовлен с целью актуализации действующих требований к организации системы управления рисками организатора торговли и к документам организатора торговли, определяющим меры, направленные на снижение рисков, в целях обеспечения устойчивости и стабильности финансового рынка и его инфраструктурных организаций, а также определения конкурентного поля деятельности организаторов торговли. В настоящее время данные требования установлены приказом ФСФР России от 25.06.2013 № 13-53/пз-н «Об утверждении требований к деятельности организатора торговли в части организации системы управления рисками и порядка осуществления внутреннего контроля, а также к отдельным внутренним документам организатора торговли» (далее - Приказ). Приказ также содержит требования к порядку осуществления внутреннего контроля организатора торговли. Таким образом, на текущий момент, два вида процессов (внутренний контроль и управление рисками организатора торговли) регулируются одним нормативным актом. При этом, в соответствии с действующей редакцией Закона об организованных торгах, организатор торговли также обязан организовать (осуществлять) внутренний аудит.

Банк России разработал два проекта нормативных актов, устанавливающих:

1) новые требования к порядку осуществления внутреннего контроля и внутреннего аудита организатором торговли (далее - Проект нормативного акта о внутреннем контроле и внутреннем аудите организатора торговли);

2) требования к организации системы управления рисками организатора торговли и к документам организатора торговли, определяющим меры, направленные на снижение рисков

Дополнительное внимание в проекте уделено управлению операционным рискам организатора торговли и обеспечению непрерывности его деятельности, а также к его Правилам управления рисками.

Положения о неприменении приказа будут предусмотрены в редакции Проекта нормативного акта о внутреннем контроле и внутреннем аудите организатора торговли. Предполагается одновременное вступление в силу нормативного акта, устанавливающего требования к внутреннему контролю и внутреннему аудиту организатора торговли, а также нормативного акта устанавливающего требования к организации системы управления рисками организатора торговли и к документам организатора торговли, определяющим меры, направленные на снижение рисков.

Среди прочего проект определяет перечень процессов управления рисками (идентификация, анализ, сравнительная оценка и т.д.), перечень основных рисков организатора торговли (риск потери деловой репутации, стратегический риск) и требования к управлению такими рисками. Также в нем приведены требования к управлению операционным риском организатора торговли и обеспечение непрерывности его деятельности, включая полномочия должностного лица, ответственного за управление операционным риском организатора торговли, а также требования к документам организатора торговли, определяющим меры, направленные на снижение рисков (Правила управления рисками).

При подготовке проекта использованы документы Международной организации комиссий по ценным бумагам (IOSCO), а именно механизмы для торговых площадок в части эффективного управления рисками электронной торговли и в части планов непрерывности деятельности, а также руководство по киберустойчивости для инфраструктуры финансового рынка.

Экспертные заключения по Проекту принимаются с 17 января по 30 января 2017 года по адресу электронной почты: fedyashovvb@mail.cbr.ru.