Разъяснения Банка России от 22 октября 2020 г. № 716-Р-2020/4 "Об управлении риском информационных систем"

Вопрос

Может ли, исходя из масштабов деятельности кредитной организации (головной кредитной организации) (далее - кредитная организация), одно и то же должностное лицо быть ответственным за обеспечение функционирования информационных систем и за обеспечение непрерывности функционирования информационных систем?

Может ли, исходя из масштабов деятельности кредитной организации, одно и то же подразделение одновременно быть ответственным за обеспечение функционирования информационных систем и за обеспечение непрерывности функционирования информационных систем?

Ответ

Нормами Положения Банка России от 8 апреля 2020 года N 716-П "О требованиях к системе управления операционным риском в кредитной организации и банковской группе" (далее - Положение Банка России N 716-П) не запрещено совмещение функций по обеспечению функционирования информационных систем и по обеспечению непрерывности функционирования информационных систем. В связи с этим кредитная организация в зависимости от характера и масштабов деятельности в целях оптимизации затрат вправе объединить в одном структурном подразделении кредитной организации функции по обеспечению функционирования информационных систем и обеспечению непрерывности функционирования информационных систем, а также возложить ответственность за обеспечение непрерывности функционирования информационных систем на должностное лицо, ответственное за информационные системы.

Обращаем внимание, что в соответствии с подпунктом 8.8.10 пункта 8.8 Положения Банка России N 716-П в кредитной организации должно быть назначено должностное лицо, ответственное за обеспечение непрерывности функционирования информационных систем. Полагаем, что кредитной организации, в зависимости от характера и масштаба деятельности и сложности используемых ею информационных систем, целесообразно разделить функции по обеспечению функционирования информационных систем и обеспечению непрерывности функционирования информационных систем и отнести их к компетенции различных структурных подразделений и разных должностных лиц, поскольку функция обеспечения непрерывности функционирования информационных систем в большей степени относится к функции по обеспечению непрерывности деятельности кредитной организации.