Положение Банка России от 31.03.2026 N 885-П

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ

ПОЛОЖЕНИЕ

от 31 марта 2026 г. N 885-П

О ПОРЯДКЕ

ОБЕСПЕЧЕНИЯ БЕСПЕРЕБОЙНОСТИ ФУНКЦИОНИРОВАНИЯ

ПЛАТЕЖНОЙ СИСТЕМЫ БАНКА РОССИИ, ПОКАЗАТЕЛЯХ БЕСПЕРЕБОЙНОСТИ

ФУНКЦИОНИРОВАНИЯ ПЛАТЕЖНОЙ СИСТЕМЫ БАНКА РОССИИ И МЕТОДИКАХ

АНАЛИЗА РИСКОВ В ПЛАТЕЖНОЙ СИСТЕМЕ БАНКА РОССИИ

Настоящее Положение на основании статьи 82.2 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", пунктов 13 и 14 части 1 и части 9 статьи 20, пункта 4 части 1 статьи 24, пунктов 4 - 6 части 3 статьи 28 Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе" устанавливает порядок обеспечения бесперебойности функционирования платежной системы Банка России, показатели бесперебойности функционирования платежной системы Банка России и методики анализа рисков в платежной системе Банка России.

Раздел I. Общие положения

Глава 1. Основные положения о бесперебойности функционирования платежной системы Банка России

1.1. Бесперебойность функционирования платежной системы Банка России (далее соответственно - ПС, БФПС) обеспечивается при соблюдении Банком России, а также операционным центром и платежным клиринговым центром внешней платежной системы (далее - ОПКЦ внешней платежной системы) одного из следующих условий оказания услуг платежной инфраструктуры (далее - УПИ) в ПС в отношении распоряжений о переводе денежных средств, представленных в электронном виде по каналам связи:

1.1.1. УПИ оказываются согласно требованиям статей 17 - 19 Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе" (далее - Федеральный закон N 161-ФЗ), условиям договоров, на основании которых осуществляется банковское обслуживание участников ПС, договора о взаимодействии платежных систем, предусмотренного частью 37 статьи 15 Федерального закона N 161-ФЗ, в течение временного интервала, указанного в приложении 1 к настоящему Положению.

1.1.2. Восстановление оказания УПИ в случае приостановления их оказания в соответствии с пунктом 3.6 настоящего Положения, восстановление оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения осуществляются в следующие сроки:

не более двух часов для сервиса срочного перевода и сервиса несрочного перевода при восстановлении оказания УПИ в случае приостановления их оказания;

не более сорока восьми часов для сервиса срочного перевода и сервиса несрочного перевода и не более двух часов для сервиса быстрых платежей ПС (далее - СБП) при восстановлении оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения.

1.2. Гарантированный уровень бесперебойности оказания операционных услуг, характеризующий качество функционирования операционных и технологических средств ПС, являющейся в соответствии с частью 11 статьи 22 Федерального закона N 161-ФЗ системно значимой платежной системой, достигается при соблюдении пороговых уровней показателя доступности операционного центра, определение которого осуществляется в соответствии с пунктом 8.5 настоящего Положения.

1.3. Банк России, осуществляя деятельность по обеспечению БФПС с соблюдением требований глав 2 и 3 Положения Банка России от 3 октября 2017 года N 607-П "О требованиях к порядку обеспечения бесперебойности функционирования платежной системы, показателям бесперебойности функционирования платежной системы и методикам анализа рисков в платежной системе, включая профили рисков" <1> (далее - Положение Банка России N 607-П), установленных в отношении оператора ПС, должен:

--------------------------------

<1> Зарегистрировано Минюстом России 22 декабря 2017 года, регистрационный N 49386, с изменениями, внесенными Указанием Банка России от 9 января 2023 года N 6352-У (зарегистрировано Минюстом России 5 мая 2023 года, регистрационный N 73250).

1.3.1. Организовать и оценивать систему управления рисками в ПС, присущими бизнес-процессу функционирования ПС.

1.3.2. Осуществлять управление операционными рисками, правовыми рисками, рисками информационной безопасности, рисками ликвидности, кредитными рисками, реализация которых способна оказать воздействие на деятельность Банка России и оператора внешней платежной системы, выполняющего функции ОПКЦ внешней платежной системы, в части неоказания УПИ в соответствии со шкалой оценки воздействия риска, приведенной в подпункте 3.2.3 пункта 3.2 настоящего Положения (далее - риски в ПС), а также совершать иные действия, предусмотренные пунктом 3.1 настоящего Положения (далее при совместном упоминании - управление рисками в ПС);

определять показатели БФПС в соответствии с требованиями, предусмотренными приложением 1 к Положению Банка России N 607-П, а также иные показатели БФПС;

проводить плановую оценку рисков в ПС, а также внеплановые оценки рисков в ПС с использованием методики анализа рисков в ПС, предусматривающей разработку и поддержание в актуальном состоянии классификаторов (структурированных перечней) рисков в ПС, реализовавшихся рисков в ПС, причин реализовавшихся рисков в ПС, и составление профилей рисков.

1.3.3. Выявлять реализовавшиеся риски в ПС, регистрировать реализовавшиеся риски в ПС, которым присвоен уровень воздействия на деятельность Банка России как оператора ПС в соответствии со шкалой оценки воздействия риска, приведенной в подпункте 3.2.3 пункта 3.2 настоящего Положения, определять их влияние на БФПС, а также совершать иные действия, предусмотренные пунктом 4.1 настоящего Положения, в целях восстановления оказания УПИ в случае приостановления их оказания и восстанавливать оказание УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения (далее при совместном упоминании - управление реализовавшимися рисками в ПС).

1.3.4. Организовать и осуществлять взаимодействие Банка России, ОПКЦ внешней платежной системы и участников ПС, направленное на обеспечение БФПС.

1.3.5. Осуществлять контроль за соблюдением ОПКЦ внешней платежной системы порядка обеспечения БФПС, установленного настоящим Положением.

1.4. Банк России в соответствии с пунктом 13 части 1 статьи 20 Федерального закона N 161-ФЗ должен организовывать деятельность по обеспечению БФПС согласно организационной модели управления рисками, указанной в пункте 1 части 2 статьи 28 Федерального закона N 161-ФЗ, предусматривающей самостоятельное управление Банком России рисками в ПС.

Глава 2. Организация обеспечения бесперебойности функционирования платежной системы Банка России

2.1. Организационная структура, используемая Банком России при обеспечении БФПС, должна включать три уровня:

на первом уровне - управление рисками в ПС, а также управление реализовавшимися рисками в ПС должны осуществляться структурными подразделениями подразделений Банка России при выполнении ими бизнес-процесса функционирования ПС (далее - ПУРиН), руководителями ПУРиН, структурным подразделением Банка России, ответственным за определение требований к защите информации в ПС, структурным подразделением Банка России, ответственным за организацию и осуществление контроля за соблюдением требований к защите информации в ПС, руководителем структурного подразделения центрального аппарата Банка России, реализующего полномочия оператора ПС и ответственного за функционирование ПС в целом (далее - подразделение, реализующее полномочия оператора ПС), заместителем Председателя Банка России, курирующим вопросы организации и функционирования национальной платежной системы (далее - курирующий руководитель Банка России), Председателем Банка России, структурными подразделениями ОПКЦ внешней платежной системы, выполняющими бизнес-процесс функционирования ПС в части оказания операционных услуг и услуг платежного клиринга при осуществлении перевода денежных средств с использованием СБП (далее - ПУРиН внешней платежной системы), а также структурным подразделением ОПКЦ внешней платежной системы, ответственным за организацию и осуществление контроля за соблюдением требований к защите информации в СБП;

на втором уровне - координация и методологическая поддержка деятельности по обеспечению БФПС должны выполняться подразделением, реализующим полномочия оператора ПС, и структурным подразделением центрального аппарата Банка России, ответственным за развитие системы управления рисками Банка России (далее - УРСУР), Комитетом по управлению рисками в ПС (далее - Комитет), а также подразделением ОПКЦ внешней платежной системы, ответственным за контроль рисков в СБП (далее - УпКР);

на третьем уровне должны проводиться оценка системы управления рисками в ПС Службой главного аудитора Банка России и оценка системы управления рисками ОПКЦ внешней платежной системы подразделением, осуществляющим внутренний аудит ОПКЦ внешней платежной системы.

2.2. Обеспечение БФПС должно осуществляться следующими субъектами организационной структуры:

Председателем Банка России;

курирующим руководителем Банка России;

Комитетом;

руководителем подразделения, реализующего полномочия оператора ПС;

руководителем ПУРиН;

работниками подразделений Банка России, в состав которых в том числе входят ПУРиН (далее - работники структурных подразделений Банка России);

работниками УРСУР, выполняющими методологические функции по управлению рисками, присущими бизнес-процессу функционирования ПС (далее - работники УРСУР);

работниками структурного подразделения Банка России, реализующего полномочия оператора ПС, выполняющими методологические функции по управлению реализовавшимися рисками в ПС (далее - работники оператора ПС);

риск-координаторами структурного подразделения Банка России, реализующего полномочия оператора ПС, назначенными руководителем подразделения, реализующего полномочия оператора ПС, для координации и выполнения работ по обеспечению БФПС (далее - риск-координаторы бизнес-процесса функционирования ПС);

риск-координаторами ПУРиН, назначенными руководителем ПУРиН для координации и выполнения работ по обеспечению БФПС в рамках компетенции данного ПУРиН (далее - риск-координаторы ПУРиН);

работниками УпКР, осуществляющими координацию и методологическую поддержку деятельности по обеспечению БФПС в части оказания операционных услуг и услуг платежного клиринга при осуществлении перевода денежных средств с использованием СБП (далее - работники УпКР);

риск-координаторами ПУРиН внешней платежной системы, осуществляющими координацию и выполнение работ по обеспечению БФПС в части оказания операционных услуг и услуг платежного клиринга при осуществлении перевода денежных средств с использованием СБП в рамках компетенции данного структурного подразделения ОПКЦ внешней платежной системы (далее - риск-координаторы ПУРиН внешней платежной системы);

работниками структурного подразделения ОПКЦ внешней платежной системы, ответственного за организацию и осуществление контроля за соблюдением требований к защите информации в СБП (далее - работники, осуществляющие контроль за соблюдением требований к защите информации в СБП);

работниками структурного подразделения Банка России, ответственного за определение требований к защите информации в ПС (далее - работники, определяющие требования к защите информации);

работниками структурного подразделения Банка России, ответственного за организацию и осуществление контроля за соблюдением требований к защите информации в ПС (далее - работники, осуществляющие контроль за соблюдением требований к защите информации).

2.2.1. Председатель Банка России:

рассматривает и утверждает отчет об обеспечении БФПС;

принимает решения о выделении ресурсов для обеспечения БФПС.

2.2.2. Курирующий руководитель Банка России:

осуществляет контроль за обеспечением БФПС;

согласовывает предложения руководителя подразделения, реализующего полномочия оператора ПС, по мерам реагирования на риски в ПС 111 зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению, и обеспечивает организацию выполнения принятых решений;

согласовывает начало (окончание) применения показателей БФПС;

утверждает план действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности Банка России как оператора ПС (далее - план ОНиВД), за исключением плана ОНиВД ОПКЦ внешней платежной системы;

принимает решения о применении мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, приводящего к приостановлению оказания одной или нескольких УПИ более чем на два часа, в том числе об активации последовательности действий плана ОНиВД, а также принимает решения о реагировании на реализовавшиеся риски в ПС, воздействие которых требует перехода на оказание УПИ с использованием резервного комплекса программных и (или) технических средств;

принимает решения по спорным вопросам, возникающим при обеспечении БФПС, в том числе при отсутствии по ним согласованной позиции у подразделений Банка России, обеспечивающих функционирование ПС.

2.2.3. Руководитель подразделения, реализующего полномочия оператора ПС, должен обеспечивать БФПС посредством выполнения следующих мероприятий:

2.2.3.1. В части управления рисками в ПС руководитель подразделения, реализующего полномочия оператора ПС, должен:

обеспечивать формирование и поддержание в актуальном состоянии описания бизнес-процесса функционирования ПС;

совместно с руководителями ПУРиН обеспечивать идентификацию рисков в ПС, присущих бизнес-процессу функционирования ПС;

утверждать перечень рисков в ПС;

совместно с руководителями ПУРиН обеспечивать проведение оценки рисков в ПС;

организовать ведение профиля рисков в ПС, в том числе риска нарушения БФПС, и утверждать профиль рисков в ПС, подготовленный по результатам проведенной оценки рисков в ПС, а также допустимые уровни рисков в ПС;

обеспечивать подготовку, направление курирующему руководителю Банка России предложений о реагировании на риски в ПС III зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению, и выполнение принятых решений по ним;

рассматривать и согласовывать предложения риск-координаторов ПУРиН, риск-координаторов ПУРиН внешней платежной системы по мерам реагирования на риски в ПС II зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению, обеспечивать организацию выполнения принятых решений по ним;

обеспечивать подготовку плана ОНиВД, его тестирование и пересмотр;

направлять курирующему руководителю Банка России предложения по показателям БФПС (при наличии) и обеспечивать выполнение принятых решений по ним;

обеспечивать мониторинг уровней рисков в ПС и их анализ, в том числе в режиме реального времени, посредством определения с заданной периодичностью текущих значений показателей БФПС и сопоставления их в режиме реального времени с пороговыми значениями показателей БФПС, а также принимать решение о назначении ответственного ПУРиН за мониторинг уровней рисков в ПС с использованием показателей БФПС 1-БФПС 5, определение которых осуществляется в соответствии с главой 8 настоящего Положения;

принимать меры, направленные на решение проблем, возникших у нескольких подразделений Банка России при обеспечении БФПС;

обеспечивать подготовку для Председателя Банка России отчета об обеспечении БФПС;

обеспечивать выполнение решений Комитета, в том числе сформированных по итогам проведенной оценки системы управления рисками в ПС;

обеспечивать непрерывность исполнения обязанностей, возложенных настоящим Положением на риск-координаторов бизнес-процесса функционирования ПС и риск-координаторов ПУРиН, в период их отсутствия на рабочем месте более одного рабочего дня (для риск-координаторов ПУРиН в соответствии с графиком работы ПУРиН).

2.23.2. В части управления реализовавшимися рисками в ПС руководитель подразделения, реализующего полномочия оператора ПС, должен:

обеспечивать выявление и регистрацию реализовавшихся рисков в ПС;

обеспечивать полноту и корректность сведений о зарегистрированных реализовавшихся рисках в ПС;

обеспечивать проведение оценки влияния на БФПС каждого и всех в совокупности реализовавшихся в течение календарного месяца рисков в ПС при выполнении бизнес-процесса функционирования ПС;

принимать решения о применении мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, включая активацию последовательности действий плана ОНиВД в отношении реализовавшихся рисков в ПС, приводящих к нарушению оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, за исключением решений, отнесенных к компетенции курирующего руководителя Банка России, руководителей ПУРиН;

обеспечивать подготовку предложений о применении мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, включая активацию последовательности действий плана ОНиВД, отнесенных к компетенции курирующего руководителя Банка России, и выполнение принятых решений о применении указанных мер;

принимать меры, направленные на решение проблем, возникших у нескольких подразделений Банка России при обеспечении БФПС.

2.2.3.3. В части организации взаимодействия Банка России, ОПКЦ внешней платежной системы и участников ПС в целях обеспечения БФПС руководитель подразделения, реализующего полномочия оператора ПС, должен:

обеспечивать информирование участников ПС о приостановлении и восстановлении оказания УПИ в ПС;

обеспечивать информирование ОПКЦ внешней платежной системы о приостановлении и восстановлении оказания Банком России УПИ в рамках СБП.

2.2.3.4. В части осуществления контроля за соблюдением ОПКЦ внешней платежной системы требований настоящего Положения руководитель подразделения, реализующего полномочия оператора ПС, должен:

обеспечивать рассмотрение документов, определяющих деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП;

утверждать подготовленные риск-координаторами бизнес-процесса функционирования ПС результаты рассмотрения документов, определяющих деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП.

2.2.4. Руководители ПУРиН должны обеспечивать БФПС в части компетенции ПУРиН посредством выполнения следующих мероприятий:

2.2.4.1. В части управления рисками в ПС руководители ПУРиН должны:

обеспечивать формирование и поддержание в актуальном состоянии описания выполняемых шагов (операций) бизнес-процесса функционирования ПС, в том числе посредством направления руководителю подразделения, реализующего полномочия оператора ПС, предложений о внесении изменений в их описание;

обеспечивать идентификацию рисков в ПС, присущих бизнес-процессу функционирования ПС, и осуществлять согласование перечня рисков в ПС, подготовленного риск-координаторами ПУРиН;

обеспечивать проведение оценки рисков в ПС;

организовывать ведение информации о рисках в ПС в рамках профиля рисков в ПС в части компетенции ПУРиН и согласовывать содержание данной информации, подготовленной риск-координаторами ПУРиН, в профиле рисков в ПС по результатам оценки рисков в ПС;

обеспечивать подготовку, направление руководителю подразделения, реализующего полномочия оператора ПС, предложений о реагировании на риски в ПС III и II зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению, и выполнение принятых решений по ним;

обеспечивать подготовку плана ОНиВД, его тестирование и пересмотр в части компетенции ПУРиН;

рассматривать предложения риск-координаторов ПУРиН по показателям БФПС, вносить предложения по показателям БФПС руководителю подразделения, реализующего полномочия оператора ПС, и обеспечивать выполнение принятых решений по ним;

обеспечивать проведение мониторинга уровней рисков в ПС на предмет применения мер реагирования;

обеспечивать подготовку материалов для включения в отчет об обеспечении БФПС;

обеспечивать выполнение решений Комитета, в том числе сформированных по итогам проведенной оценки системы управления рисками в ПС;

обеспечивать осведомленность работников ПУРиН о рисках в ПС и порядке управления ими.

2.2.4.2. В части управления реализовавшимися рисками в ПС руководители ПУРиН должны:

обеспечивать выявление и регистрацию реализовавшихся рисков в ПС;

обеспечивать полноту и корректность сведений о зарегистрированных реализовавшихся рисках в ПС;

обеспечивать проведение оценки влияния на БФПС каждого реализовавшегося риска в ПС и всех в совокупности реализовавшихся в течение календарного месяца рисков в ПС при выполнении бизнес-процесса функционирования ПС в части компетенции ПУРиН;

принимать решения о применении мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, за исключением решений, отнесенных к компетенции курирующего руководителя Банка России, руководителя подразделения, реализующего полномочия оператора ПС;

обеспечивать применение мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе по активации последовательности действий плана ОНиВД, в отношении реализовавшихся рисков в ПС, приводящих к приостановлению оказания УПИ более чем на два часа.

2.2.4.3. В части организации взаимодействия Банка России, ОПКЦ внешней платежной системы и участников ПС по обеспечению БФПС руководители ПУРиН должны:

обеспечивать информирование участников ПС о приостановлении и восстановлении оказания УПИ, если такое информирование отнесено к компетенции ПУРиН;

обеспечивать информирование ОПКЦ внешней платежной системы о приостановлении и восстановлении оказания Банком России УПИ в СБП, если такое информирование отнесено к компетенции ПУРиН.

2.2.5. Работники подразделений Банка России должны выполнять решения по обеспечению БФПС, принятые Председателем Банка России, курирующим руководителем Банка России, руководителем подразделения, реализующего полномочия оператора ПС, и руководителями соответствующих ПУРиН, а также информировать риск-координаторов ПУРиН своего подразделения Банка России об идентифицированных рисках, присущих бизнес-процессу функционирования ПС, и реализовавшихся рисках в ПС, представлять документы и информацию по запросам риск-координаторов бизнес-процесса функционирования ПС и риск-координаторов ПУРиН своего подразделения Банка России.

2.2.6. Работники УРСУР должны осуществлять координацию и методологическую поддержку деятельности по управлению рисками, присущими бизнес-процессу функционирования ПС, в том числе:

осуществлять верификацию сведений о рисках в ПС и сведений о показателях БФПС;

разрабатывать и поддерживать в актуальном состоянии структурированные справочники источников риска, областей реализации рисков и мер реагирования;

проводить анализ данных о рисках в ПС и об управлении ими, в том числе на предмет выявления проблем, возникших у нескольких подразделений Банка России при обеспечении БФПС, и при их выявлении готовить предложения для подразделений Банка России и (или) руководства Банка России, направленные на урегулирование проблем, возникших у нескольких подразделений Банка России при обеспечении БФПС.

2.2.7. Работники оператора ПС должны осуществлять координацию и методологическую поддержку деятельности по управлению реализовавшимися рисками в ПС.

2.2.8. Работники, осуществляющие контроль за соблюдением требований к защите информации в СБП, должны проводить оценку соответствия текущего уровня защиты информации объектов информационной инфраструктуры ОПКЦ внешней платежной системы, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер" <2> (далее - ГОСТ Р 57580.1-2017), согласно методике оценки соответствия защиты информации, определенной в разделе 6 национального стандарта Российской Федерации ГОСТ Р 57580.2-2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия" <3> (далее - ГОСТ Р 57580.2-2018).

--------------------------------

<2> Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года N 822-ст (М., ФГУП "Стандартинформ", 2017) и введен в действие 1 января 2018 года.

<3> Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года N 156-ст (М., ФГУП "Стандартинформ", 2018) и введен в действие 1 сентября 2018 года.

2.2.9. Риск-координаторы бизнес-процесса функционирования ПС должны оказывать методологическую поддержку руководителям ПУРиН, риск-координаторам ПУРиН и другим работникам ПУРиН, а также работникам УпКР по вопросам обеспечения БФПС и выполнять следующие мероприятия:

2.2.9.1. В части управления рисками в ПС риск-координаторы бизнес-процесса функционирования ПС должны:

контролировать актуальность описания бизнес-процесса функционирования ПС;

идентифицировать риски, присущие бизнес-процессу функционирования ПС, и формировать перечень рисков в ПС;

согласовывать подготовленные ПУРиН результаты оценки рисков в ПС и составлять профиль рисков в ПС;

рассматривать предложения ПУРиН, ПУРиН внешней платежной системы, направленные через работников УпКР, о применении мер реагирования в отношении рисков в ПС III и II зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению;

осуществлять контроль за выполнением ПУРиН решений о применении в отношении рисков в ПС мер реагирования, принятых курирующим руководителем Банка России и руководителем подразделения, реализующего полномочия оператора ПС, в том числе посредством направления запросов о представлении информации и документов руководителям ПУРиН, риск-координаторам ПУРиН и другим работникам ПУРиН;

обеспечивать подготовку плана ОНиВД, участвовать в его тестировании и пересмотре;

согласовывать определенные риск-координаторами ПУРиН показатели БФПС;

подготавливать предложения для руководителя подразделения, реализующего полномочия оператора ПС, по назначению ответственного ПУРиН за мониторинг уровней рисков в ПС с использованием показателей БФПС 1-БФПС 5 и подготавливать предложения для руководителя подразделения, реализующего полномочия оператора ПС, по принятию мер, направленных на совершенствование бизнес-процесса функционирования ПС;

осуществлять подготовку для Председателя Банка России отчета об обеспечении БФПС;

доводить до сведения работников УпКР информацию о решениях Комитета, сформированных по итогам проведенной оценки системы управления рисками в ПС;

подготавливать предложения для руководителя подразделения, реализующего полномочия оператора ПС, по реализации решений Комитета, сформированных по итогам проведенной оценки системы управления рисками в ПС.

2.2.9.2. В части управления реализовавшимися рисками в ПС риск-координаторы бизнес-процесса функционирования ПС должны:

согласовывать сведения о выявленных риск-координаторами ПУРиН реализовавшихся рисках в ПС;

согласовывать результаты оценки влияния на БФПС каждого реализовавшегося риска в ПС и всех в совокупности реализовавшихся в течение календарного месяца рисков в ПС при выполнении бизнес-процесса функционирования ПС;

согласовывать предложения риск-координаторов ПУРиН о применении в отношении реализовавшихся рисков в ПС при выполнении бизнес-процесса функционирования ПС мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе последовательности действий плана ОНиВД;

осуществлять контроль за выполнением работниками ПУРиН решений о применении мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе посредством направления запросов о представлении информации и документов руководителям ПУРиН, риск-координаторам ПУРиН и другим работникам ПУРиН.

2.2.9.3. В части осуществления контроля за соблюдением ОПКЦ внешней платежной системы порядка обеспечения БФПС риск-координаторы бизнес-процесса функционирования ПС должны:

анализировать документы, определяющие деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП, на их соответствие требованиям глав 2 - 4 настоящего Положения;

формировать предложения по устранению выявленных несоответствий в документах ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП;

направлять на утверждение руководителю подразделения, реализующего полномочия оператора ПС, сформированные предложения по устранению выявленных несоответствий в документах ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП.

2.2.10. Риск-координаторы ПУРиН, риск-координаторы ПУРиН внешней платежной системы должны проводить следующие мероприятия в части компетенции ПУРиН, ПУРиН внешней платежной системы:

2.2.10.1. В части управления рисками в ПС риск-координаторы ПУРиН, риск-координаторы ПУРиН внешней платежной системы должны:

контролировать актуальность описания бизнес-процесса функционирования ПС (для риск-координаторов ПУРиН);

контролировать актуальность документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России (для риск-координаторов ПУРиН внешней платежной системы);

участвовать в идентификации рисков в ПС и формировании перечня рисков в ПС;

проводить оценку рисков в ПС и заполнять профиль рисков в ПС в части рисков бизнес-процесса функционирования ПС, управление которыми отнесено к компетенции ПУРиН;

проводить оценку рисков в ПС и заполнять профиль рисков ОПКЦ внешней платежной системы, управление которыми отнесено к компетенции ПУРиН внешней платежной системы (для риск-координаторов ПУРиН внешней платежной системы);

подготавливать предложения о применении в отношении рисков в ПС III и II зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению, мер реагирования и согласовывать их с руководителями ПУРиН (для риск-координаторов ПУРиН), с руководителями ПУРиН внешней платежной системы (для риск-координаторов ПУРиН внешней платежной системы);

осуществлять контроль за выполнением ПУРиН решений, принятых курирующим руководителем Банка России (руководителем подразделения, реализующего полномочия оператора ПС, руководителями ПУРиН в части, относящейся к компетенции ПУРиН), о применении мер реагирования, в том числе посредством направления запросов о представлении информации и документов работникам ПУРиН;

осуществлять контроль за выполнением работниками ПУРиН внешней платежной системы решений, принятых руководителем ПУРиН внешней платежной системы в части, относящейся к компетенции ПУРиН внешней платежной системы, о применении мер реагирования, а также решений о применении в отношении рисков ОПКЦ внешней платежной системы дополнительных мер реагирования;

подготавливать предложения к плану ОНиВД, участвовать в тестировании плана ОНиВД и пересмотре плана ОНиВД;

подготавливать по результатам оценки рисков в ПС предложения по показателям БФПС;

проводить мониторинг уровней рисков в ПС;

участвовать в подготовке материалов для включения в отчет об обеспечении БФПС.

2.2.10.2. В части управления реализовавшимися рисками в ПС риск-координаторы ПУРиН, риск-координаторы ПУРиН внешней платежной системы должны:

выявлять и регистрировать реализовавшиеся риски в ПС;

проводить оценку влияния на БФПС каждого реализовавшегося риска в ПС и всех в совокупности реализовавшихся в течение календарного месяца рисков в ПС, управление которыми отнесено к компетенции ПУРиН, ПУРиН внешней платежной системы, и направлять результаты оценки на согласование риск-координаторам бизнес-процесса функционирования ПС (для риск-координаторов ПУРиН), на верификацию работникам УпКР (для риск-координаторов ПУРиН внешней платежной системы);

подготавливать предложения для руководителей ПУРиН, руководителей ПУРиН внешней платежной системы о применении в отношении реализовавшихся рисков в ПС мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе последовательности действий плана ОНиВД;

осуществлять контроль за выполнением работниками ПУРиН, работниками ПУРиН внешней платежной системы решений о применении мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе посредством направления запросов о представлении информации и документов работникам ПУРиН, работникам ПУРиН внешней платежной системы.

2.2.10.3. В части организации взаимодействия Банка России, ОПКЦ внешней платежной системы и участников ПС по обеспечению БФПС:

риск-координаторы ПУРиН должны контролировать выполнение мероприятий по информированию участников ПС о приостановлении и восстановлении оказания УПИ, если такое информирование отнесено к компетенции ПУРиН, ОПКЦ внешней платежной системы о приостановлении и восстановлении оказания Банком России УПИ в рамках СБП, если такое информирование отнесено к компетенции ПУРиН;

риск-координаторы ПУРиН внешней платежной системы должны контролировать выполнение работниками ПУРиН внешней платежной системы мероприятий по информированию Банка России и участников ПС о приостановлении и восстановлении оказания УПИ в рамках СБП.

2.2.11. Работники УпКР должны осуществлять контроль за соблюдением требований БФПС в рамках СБП в части функций ОПКЦ внешней платежной системы и проводить следующие мероприятия:

2.2.11.1. В части управления рисками в ПС работники УпКР должны:

осуществлять верификацию актуальности документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России;

идентифицировать риски ОПКЦ внешней платежной системы, формировать перечень рисков ОПКЦ внешней платежной системы, а также осуществлять верификацию перечня рисков в ПС в части СБП, подготовленного риск-координаторами ПУРиН внешней платежной системы;

обеспечивать проведение риск-координаторами ПУРиН внешней платежной системы оценки рисков ОПКЦ внешней платежной системы;

составлять профиль рисков ОПКЦ внешней платежной системы, верифицировать профиль рисков ОПКЦ внешней платежной системы, подготовленный риск-координаторами ПУРиН внешней платежной системы, а также направлять профиль рисков ОПКЦ внешней платежной системы риск-координаторам бизнес-процесса функционирования ПС;

обеспечивать подготовку предложений риск-координаторами ПУРиН внешней платежной системы о применении дополнительных мер реагирования в отношении рисков ОПКЦ внешней платежной системы III и I зоны карты зон рисков, приведенной в приложении 2 к настоящему Положению, согласовывать их;

обеспечивать подготовку плана применения дополнительных мер реагирования, указанных в профиле рисков ОПКЦ внешней платежной системы, и направлять его риск-координаторам бизнес-процесса функционирования ПС;

осуществлять контроль за выполнением ПУРиН внешней платежной системы решений о применении в отношении рисков ОПКЦ внешней платежной системы мер реагирования;

обеспечивать подготовку плана ОНиВД ОПКЦ внешней платежной системы, участвовать в его тестировании и пересмотре;

рассматривать предложения риск-координаторов ПУРиН внешней платежной системы по показателям БФПС;

направлять предложения по показателям БФПС (при наличии) риск-координаторам бизнес-процесса функционирования ПС;

обеспечивать проведение мониторинга уровней рисков ОПКЦ внешней платежной системы;

обеспечивать выполнение решений Комитета, сформированных по итогам проведенной оценки системы управления рисками в ПС и оценки системы управления рисками ОПКЦ внешней платежной системы.

2.2.11.2. В части контроля за управлением реализовавшимися рисками в СБП работники УпКР должны:

контролировать выявление и регистрацию реализовавшихся рисков в СБП, согласовывать сведения о выявленных риск-координаторами ПУРиН внешней платежной системы реализовавшихся рисках в СБП и направлять указанные сведения риск-координаторам бизнес-процесса функционирования ПС;

контролировать полноту и корректность данных о зарегистрированных реализовавшихся рисках в СБП;

обеспечивать проведение оценки влияния на БФПС каждого реализовавшегося риска в СБП и всех в совокупности реализовавшихся в течение календарного месяца рисков в СБП, а также направлять результаты указанной оценки риск-координаторам бизнес-процесса функционирования ПС.

2.2.11.3. В части организации взаимодействия Банка России, ОПКЦ внешней платежной системы и участников ПС по обеспечению БФПС работники УпКР должны контролировать выполнение мероприятий по информированию Банка России и участников ПС о приостановлении и восстановлении оказания УПИ в части СБП, а также направлять риск-координаторам бизнес-процесса функционирования ПС информацию, указанную в подпункте 5.2.1 пункта 5.2 настоящего Положения.

2.2.11.4. В части осуществления контроля за соблюдением ОПКЦ внешней платежной системы порядка обеспечения БФПС работники УпКР должны:

обеспечивать разработку в соответствии с требованиями настоящего Положения и поддержание в актуальном состоянии документов ОПКЦ внешней платежной системы, определяющих деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП;

направлять риск-координаторам бизнес-процесса функционирования ПС на рассмотрение документы, определяющие деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП;

контролировать соблюдение требований документов, определяющих деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП, работниками ПУРиН внешней платежной системы.

2.2.12. Работники, определяющие требования к защите информации, должны:

проводить мониторинг уровня риска информационной безопасности в ПС на основе показателей БФПС 6, БФПС 7, БФПС 8 и БФПС 9, определенных в главах 7 и 8 настоящего Положения;

предоставлять риск-координаторам бизнес-процесса функционирования ПС результаты мониторинга уровня риска информационной безопасности в ПС в части показателей БФПС 6, БФПС 7, БФПС 8 и БФПС 9, определенных в главах 7 и 8 настоящего Положения, для включения в отчет об обеспечении БФПС;

разрабатывать и предоставлять риск-координаторам бизнес-процесса функционирования ПС последовательность действий плана ОНиВД в отношении реализовавшихся рисков в ПС в части защиты информации в ПС.

2.2.13. Работники, осуществляющие контроль за соблюдением требований к защите информации, должны:

организовать контроль за соблюдением требований к защите информации в ПС;

организовать проведение оценки соответствия текущего уровня защиты информации объектов информационной инфраструктуры Банка России, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018;

проводить мониторинг уровня риска информационной безопасности в ПС на основе показателя БФПС 10, показателя БФПС 11, определенных в главах 7 и 8 настоящего Положения;

предоставлять риск-координаторам бизнес-процесса функционирования ПС результаты мониторинга уровня риска информационной безопасности в ПС в части показателей БФПС 10 и БФПС 11, определенных в главах 7 и 8 настоящего Положения, для включения в отчет об обеспечении БФПС;

разрабатывать и предоставлять риск-координаторам бизнес-процесса функционирования ПС последовательность действий плана ОНиВД в отношении реализовавшихся рисков в ПС, связанных с защитой информации в ПС, в части показателей БФПС 10 и БФПС 11, определенных в главах 7 и 8 настоящего Положения;

организовывать применение в отношении реализовавшихся рисков в ПС при выполнении бизнес-процесса функционирования ПС, связанных с защитой информации в ПС, в части показателей БФПС 10 и БФПС 11, определенных в главах 7 и 8 настоящего Положения, мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС;

информировать структурное подразделение Банка России, ответственное за определение требований к защите информации в ПС, и риск-координаторов бизнес-процесса функционирования ПС о реализовавшихся рисках в ПС, связанных с защитой информации в ПС, в случае если нарушения пороговых значений показателей БФПС 10 и БФПС 11, определенных в главах 7 и 8 настоящего Положения, приводят к реализовавшимся рискам в ПС, связанным с защитой информации в ПС.

2.3 Обязанности субъектов организационной структуры при выполнении ими деятельности по управлению рисками в ПС, предусмотренной главой 3 настоящего Положения, и деятельности по управлению реализовавшимися рисками в ПС, предусмотренной главой 4 настоящего Положения, реализуются в соответствии с договором о взаимодействии платежных систем, заключенным между Банком России и оператором внешней платежной системы в соответствии с частью 37 статьи 15 Федерального закона N 161-ФЗ (далее - договор о взаимодействии платежных систем).

Раздел II. Порядок обеспечения бесперебойности функционирования платежной системы Банка России

Глава 3. Управление рисками в платежной системе Банка России

3.1. Управление рисками в ПС должно осуществляться в соответствии с пунктом 13 части 1 статьи 20 Федерального закона N 161-ФЗ посредством поддержания в актуальном состоянии описания бизнес-процесса функционирования ПС и документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России, подготовки и актуализации перечня рисков в ПС, идентификации рисков в ПС, проведения оценки рисков в ПС и действующих мер реагирования, принятия решения о реагировании на риски в ПС после применения действующих мер реагирования, утверждения профиля рисков в ПС, актуализации данных о рисках в ПС, а также мониторинга уровней рисков в ПС.

3.2. Оценка рисков в ПС должна выполняться подразделениями Банка России, структурными подразделениями ОПКЦ внешней платежной системы в соответствии с разделом IV настоящего Положения и следующими мероприятиями (далее при совместном упоминании - методики анализа рисков в ПС):

3.2.1. Идентификация рисков в ПС должна осуществляться не реже одного раза в год с последовательным применением следующих способов управления рисками в ПС и сопоставлением полученных результатов:

способ, при котором риски в ПС должны идентифицироваться риск-координаторами бизнес-процесса функционирования ПС совместно с руководителями ПУРиН, риск-координаторами ПУРиН и работниками структурных подразделений Банка России, обладающими профессиональным опытом и знаниями о бизнес-процессе функционирования ПС, работниками УпКР совместно с риск-координаторами ПУРиН внешней платежной системы;

способ, при котором риски в ПС должны идентифицироваться руководителем подразделения, реализующего полномочия оператора ПС.

3.2.2. Для выявления проблем, возникших у нескольких подразделений Банка России при обеспечении БФПС, идентификации должны подлежать как риски в рамках бизнес-процесса функционирования ПС, так и риски в рамках иных бизнес-процессов, реализация которых является источником рисков бизнес-процесса функционирования ПС.

3.2.3. Для определения уровня риска в ПС должна осуществляться оценка риска в ПС с использованием шкалы оценки вероятности реализации риска, приведенной в приложении 3 к настоящему Положению, и следующей шкалы оценки воздействия риска:

3.2.3.1. Очень сильное воздействие, характеризующееся недостижением целей или невыполнением (ненадлежащим выполнением) функций Банка России в части оказания УПИ, выразившимся в:

непоступлении в рамках операционного дня в течение периода времени, превышающего два часа, в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 75 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 10 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 10 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.2. Сильное воздействие, характеризующееся задержкой в выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившейся в:

непоступлении в рамках операционного дня в течение периода времени от одного часа до двух часов (включительно) в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 50 процентов, но меньше 75 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 5 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 5 процентов от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.3. Среднее воздействие, характеризующееся нарушением в выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившимся в:

непоступлении в рамках операционного дня в течение периода времени от 30 минут до одного часа (включительно) в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения. 25 процентов, но меньше 50 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.4. Низкое воздействие, характеризующееся перебоями в выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившимися в:

непоступлении в рамках операционного дня в течение периода времени от 35 до тридцати минут (включительно) в ПС ни одного распоряжения от участников ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода;

или превышении доли количества распоряжений, исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 10 процентов, но меньше 25 процентов (включительно) от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 0,5 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 0,5 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.5. Незначительное воздействие, характеризующееся перебоями в осуществлении отдельных процедур при выполнении функций Банка России в части оказания УПИ в рамках ПС, выразившимися в:

превышении доли количества распоряжений, поступивших от одного участника ПС и исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 2 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от указанного участника ПС за предыдущий календарный месяц;

или превышении доли количества распоряжений, поступивших от двух и более участников ПС и исполненных более чем за 5 минут с использованием сервиса срочного перевода и (или) более чем за 35 минут с использованием сервиса несрочного перевода до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 5 процентов от значения медианы количества исполненных с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в течение операционного дня распоряжений, поступивших от указанных участников ПС за предыдущий календарный месяц;

или превышении доли недополученных распоряжений в СБП 0,1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц;

или превышении доли распоряжений, исполненных с использованием СБП более чем за 30 секунд до момента восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, 0,1 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.2.3.6. Определение недополученных распоряжений в СБП должно осуществляться ОПКЦ внешней платежной системы по формуле:

где:

Pj - количество распоряжений, ожидаемых для исполнения в СБП в j-й минуте. Определяется на основании средних значений в аналогичном j-й минуте периоде времени за последний месяц;

Cj - количество исполненных распоряжений в СБП в j-й минуте;

M - продолжительность негативных (неблагоприятных) последствий реализовавшегося риска в ПС или оценка продолжительности воздействия риска, в минутах.

3.2.3.7. Шкала оценки воздействия риска, предусмотренная в подпунктах 3.2.3.1 - 3.2.3.5 настоящего пункта, также применяется в целях оценки негативных (неблагоприятных) последствий реализовавшегося риска в ПС.

3.2.4. Решение о применении мер реагирования по выявленным рискам должно приниматься в зависимости от расположения рисков на карте рисков.

Для рисков, расположенных в I зоне карты рисков, решение о применении мер реагирования должно приниматься на уровне руководителя ПУРиН, во II зоне - на уровне руководителя подразделения, реализующего полномочия оператора ПС, в III зоне - на уровне курирующего руководителя Банка России.

3.2.5. Проведение оценки рисков в ПС должно осуществляться с использованием следующей информации:

сведений, представленных работниками Банка России и работниками ОПКЦ внешней платежной системы;

результатов мониторинга уровней рисков в ПС;

сведений о реализовавшихся рисках в ПС;

результатов оценки системы управления рисками в ПС, проведенной Службой главного аудитора Банка России, и результатов оценки системы управления рисками ОПКЦ внешней платежной системы, проведенной подразделением, осуществляющим внутренний аудит ОПКЦ внешней платежной системы;

результатов оценки системы управления рисками в ПС, проведенной Комитетом;

результатов мероприятий, проведенных органами государственного контроля (надзора).

3.2.6. План ОНиВД должен разрабатываться в качестве меры реагирования на риски в ПС (рекомендуемый образец плана ОНиВД приведен в приложении 4 к настоящему Положению), а также исходя из следующего:

последовательности действий, включенные в план ОНиВД, должны разрабатываться в отношении операционных рисков в ПС, для которых в качестве мер реагирования предусматривается разработка плана ОНиВД;

план ОНиВД должен состоять из последовательностей действий, каждое из которых регламентирует деятельность ПУРиН, подразделений Банка России, обеспечивающих функционирование ПС, или подразделения, руководителем которого является руководитель подразделения, реализующего полномочия оператора ПС, в пределах их компетенции при обеспечении оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения.

3.2.7. Плановая оценка рисков в ПС должна проводиться в сроки, установленные оператором ПС. Внеплановая оценка рисков в ПС должна проводиться по решению руководителя подразделения, реализующего полномочия оператора ПС.

3.2.8. Внеплановая полная оценка рисков в ПС должна проводиться в отношении всех рисков в ПС при внесении изменений в бизнес-процесс функционирования ПС по решению руководителя подразделения, реализующего полномочия оператора ПС, и должна быть завершена не позднее истечения 6 месяцев со дня принятия указанного решения.

3.2.9. Внеплановая частичная оценка отдельных рисков в ПС (отдельного риска в ПС) должна проводиться по решению руководителя подразделения, реализующего полномочия оператора ПС, и должна быть завершена не позднее истечения 4 месяцев со дня:

возникновения события, реализация которого привела к приостановлению (прекращению) оказания УПИ и описание которого в профиле рисков не предусмотрено либо негативные последствия от реализации которого превышают негативные последствия, предусмотренные для этого реализовавшегося риска в ПС в профиле рисков;

установления по результатам проводимого мониторинга уровней рисков в ПС факта превышения текущими значениями показателей БФПС пороговых значений показателей БФПС, указанных в главе 8 настоящего Положения;

выявления риска в ПС, для которого уровень присущего риска до применения способов управления рисками в ПС может превысить или превысил уровень допустимого риска.

3.2.10. По результатам проведенной плановой оценки рисков в ПС, внеплановой полной оценки рисков в ПС и внеплановой частичной оценки отдельных рисков в ПС (отдельного риска в ПС) риск-координаторы ПУРиН, риск-координаторы ПУРиН внешней платежной системы, работники УпКР должны заполнить профиль рисков в ПС в части своей компетенции, риск-координаторы бизнес-процесса функционирования ПС должны составить профиль рисков в ПС (рекомендуемый образец профиля рисков приведен в приложении 5 к настоящему Положению).

Профиль рисков в ПС, составленный по результатам проведенной плановой оценки рисков в ПС, внеплановой полной оценки рисков в ПС, а также допустимые уровни рисков в ПС должны быть одобрены Комитетом.

3.3. Мониторинг уровней рисков в ПС обеспечивает выявление изменений уровней рисков в ПС после применения действующих мер реагирования.

Мониторинг уровней рисков в ПС должен проводиться в соответствии с разделом III настоящего Положения, а также на основе следующих мероприятий:

3.3.1. По результатам мониторинга уровней рисков в ПС доводится до руководителей, указанных в пункте 2.1 настоящего Положения, и до руководителей ОПКЦ внешней платежной системы в части, относящейся к их компетенции, информация о повышении уровней рисков в ПС после применения действующих мер реагирования до и выше допустимого.

3.3.2. Показатели БФПС должны определяться на основании следующей информации:

данных последних оценок рисков в ПС;

сведений о реализовавшихся рисках в ПС;

результатов мониторинга уровней рисков в ПС;

другой информации, свидетельствующей о целесообразности определения показателей БФПС.

3.3.3. Показатели БФПС определяются для мониторинга уровня одного риска в ПС или одновременного мониторинга уровней нескольких рисков в ПС. Для мониторинга уровня одного риска в ПС может быть определено несколько показателей БФПС.

3.3.4. В целях мониторинга уровня риска информационной безопасности в ПС должны быть предусмотрены следующие дополнительные мероприятия:

оценка соответствия текущего уровня защиты информации объектов информационной инфраструктуры Банка России, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018;

оценка соответствия текущего уровня защиты информации объектов информационной инфраструктуры ОПКЦ внешней платежной системы, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018;

оценка выполнения требований к защите информации, обязательных для ОПКЦ внешней платежной системы в соответствии с Положением Банка России от 25 июля 2022 года N 802-П "О требованиях к защите информации в платежной системе Банка России" <4> (далее - Положение Банка России N 802-П);

--------------------------------

<4> Зарегистрировано Минюстом России 25 ноября 2022 года, регистрационный N 71124, с изменениями, внесенными Указанием Банка России от 12 января 2026 года N 7271-У (зарегистрировано Минюстом России 2 июня 2026 года, регистрационный N 86871).

оценка выполнения требований, обязательных для работников структурных подразделений Банка России.

3.4. В целях управления рисками в ПС должны использоваться следующие меры реагирования:

осуществление расчета в ПС до конца операционного дня;

обеспечение возможности предоставления внутридневного кредита и кредита овернайт;

осуществление перевода за счет денежных средств, находящихся на счетах участников ПС, в том числе с использованием лимита внутридневного кредита и кредита овернайт, а также за счет денежных средств, объединенных в пул ликвидности;

изменение последовательности расположения распоряжений участников ПС во внутридневной очереди;

прием распоряжений на бумажном носителе и отчуждаемых машинных носителях информации;

определение требований для участников ПС, являющихся кредитными организациями, в части управления риском информационной безопасности участника ПС;

определение требований к защите информации ОПКЦ внешней платежной системы в соответствии с Положением Банка России N 802-П;

определение требований к защите информации, обязательных для работников структурных подразделений Банка России;

определение требований для системно значимых кредитных организаций, являющихся участниками СБП (далее - системно значимый участник СБП), в части обеспечения доступности и непрерывности оказания услуг по переводу денежных средств с использованием СБП своим клиентам.

В целях управления рисками в ПС могут применяться дополнительные меры реагирования при условии, что их применение обеспечивает снижение уровня воздействия от реализации риска в ПС или снижение вероятности реализации риска в ПС.

3.5. В случае если действующая система управления рисками в ПС не обеспечила три и более раза в течение календарного года возможности восстановления оказания УПИ во всех сервисах ПС в сроки, определенные в пункте 1.1 настоящего Положения (при приостановлении их оказания), в систему управления рисками в ПС должны быть внесены изменения.

3.6. Критериями отнесения событий, реализовавшихся при оказании УПИ, к событиям приостановления оказания УПИ являются:

в части сервиса срочного перевода и (или) сервиса несрочного перевода - непоступление в операционный и платежный клиринговый центр ПС, функции которого выполняет Банк России, в течение периода времени, превышающего 15 минут, ни одного распоряжения, направленного участником ПС для исполнения с использованием сервиса срочного перевода и (или) сервиса несрочного перевода в рамках операционного дня, в котором предоставлялись сервис срочного перевода и (или) сервис несрочного перевода в соответствии с графиком функционирования ПС;

в части СБП - превышение доли недополученных распоряжений в СБП 0,5 процента от значения суточной медианы распоряжений, исполненных с использованием СБП за предыдущий календарный месяц.

3.7. Приостановление оказания УПИ в связи с проведением технологических и (или) регламентных работ, предусмотренных Банком России, не относится к событиям приостановления оказания УПИ.

3.8. Системно значимые участники СБП обязаны соблюдать пороговый уровень показателя БФПС 12, определенный подпунктом 8.13.3 пункта 8.13 настоящего Положения, и пороговый уровень показателя БФПС 13, определенный подпунктом 8.14.2 пункта 8.14 настоящего Положения.

Глава 4. Управление реализовавшимися рисками в платежной системе Банка России

4.1. Управление реализовавшимися рисками в ПС должно осуществляться посредством выявления сведений о реализовавшихся рисках в ПС, регистрации реализовавшихся рисков в ПС, оценки влияния на БФПС каждого реализовавшегося риска в ПС, оценки влияния на БФПС всех реализовавшихся рисков в ПС, а также применения мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе последовательности действий плана ОНиВД, в отношении реализовавшихся рисков в ПС.

4.2. Выявление сведений о реализовавшихся рисках в ПС должно проводиться на основании информации о нарушении оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, полученной от работников ПУРиН, работников ПУРиН внешней платежной системы и работников структурных подразделений Банка России, а также сведений, направляемых ОПКЦ внешней платежной системы в Банк России в соответствии с пунктом 1.5 Положения Банка России от 17 августа 2023 года N 821-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств" <5>.

--------------------------------

<5> Зарегистрировано Минюстом России 6 декабря 2023 года, регистрационный N 76286, с изменениями, внесенными Указанием Банка России от 28 октября 2025 года N 7220-У (зарегистрировано Минюстом России 6 февраля 2026 года, регистрационный N 85263).

4.2.1. Работники ПУРиН, работники ПУРиН внешней платежной системы должны осуществлять контроль выполнения сроков процедур приема к исполнению, определения платежных клиринговых позиций и исполнения распоряжений участников ПС в соответствии с регламентом выполнения процедур в платежной системе Банка России, приведенным в приложении 1 к настоящему Положению (далее - регламент выполнения процедур).

4.2.1.1. К общему времени оказания УПИ для сервиса срочного перевода относится оказание УПИ при переводе денежных средств в ГТС на основании распоряжения, по которому процедуры операционной услуги, услуги платежного клиринга, в том числе процедуры приема к исполнению, включая контроль достаточности денежных средств, находящихся на банковском (корреспондентском) счете (субсчете) (на нескольких банковских (корреспондентских) счетах (субсчетах), денежные средства на которых объединены в пул ликвидности) участника ПС (далее - контроль достаточности денежных средств), и процедура определения платежных клиринговых позиций, а также процедуры расчетной услуги завершены положительно в течение временного интервала, не превышающего 5 минут.

При определении времени оказания УПИ для сервиса срочного перевода не учитывается время нахождения распоряжения во внутридневной очереди, очереди распоряжений, ожидающих разрешения на проведение операций, очереди распоряжений, ожидающих проверки, очереди распоряжений, ожидающих даты исполнения, очереди не исполненных в срок распоряжений, очереди распоряжений, ожидающих акцепта, и очереди распоряжений, требующих выполнения условий перевода денежных средств.

4.2.1.2. К общему времени оказания УПИ для сервиса несрочного перевода относится оказание УПИ при переводе денежных средств в ПС на основании распоряжения, по которому процедуры операционной услуги, услуги платежного клиринга, в том числе процедуры приема к исполнению, включая контроль достаточности денежных средств, а также времени нахождения указанного распоряжения во внутридневной очереди до начала ближайшего несрочного рейса, и процедура определения платежных клиринговых позиций, а также процедуры расчетной услуги завершены положительно в течение временного интервала, не превышающего 35 минут.

При определении общего времени оказания УПИ для сервиса несрочного перевода не учитывается время нахождения распоряжения во внутридневной очереди по иным причинам, очереди распоряжений, ожидающих разрешения на проведение операций, очереди распоряжений, ожидающих проверки, очереди распоряжений, ожидающих даты исполнения, очереди не исполненных в срок распоряжений, очереди распоряжений, ожидающих акцепта, а также время хранения распоряжений в ПС, у которых дата составления электронного сообщения находится в интервале с даты предыдущего операционного дня до даты текущего операционного дня включительно, в отношении которых до начала регулярного сеанса текущего операционного дня услуга платежного клиринга и расчетная услуга не оказывались.

4.2.1.3. К общему времени оказания УПИ для СБП относится оказание УПИ при переводе денежных средств в ПС на основании распоряжения, по которому процедуры операционной услуги, услуги платежного клиринга, в том числе процедуры приема к исполнению, включая контроль достаточности денежных средств, и процедура определения платежных клиринговых позиций, а также процедуры расчетной услуги завершены положительно в течение временного интервала, не превышающего 30 секунд.

4.3. Регистрация реализовавшихся рисков в ПС должна осуществляться посредством сбора и обработки следующих сведений о них:

время и дата возникновения реализовавшегося риска в ПС (в случае невозможности установить время возникновения реализовавшегося риска в ПС указывается время его выявления);

краткое описание реализовавшегося риска в ПС (характеристика реализовавшегося риска в ПС и его негативных (неблагоприятных) последствий);

наименование одного или нескольких бизнес-процессов Банка России, в ходе которых реализовывался риск в ПС;

наименование одного или нескольких бизнес-процессов Банка России, на которые реализовавшийся риск в ПС оказал влияние;

наличие (отсутствие) факта приостановления (прекращения) оказания У ПИ в результате реализовавшегося риска в ПС;

влияние реализовавшегося риска в ПС на БФПС;

степень влияния реализовавшегося риска в ПС на функционирование ПС в зависимости от количества неисполненных, и (или) несвоевременно исполненных, и (или) ошибочно исполненных распоряжений участников ПС и иных факторов;

время и дата восстановления оказания УПИ в случае приостановления их оказания;

мероприятия по устранению неблагоприятных последствий реализовавшегося риска в ПС с указанием планируемой и фактической продолжительности проведения данных мероприятий;

дата и время восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения;

негативные (неблагоприятные) последствия реализовавшегося риска в ПС, в том числе:

сумма денежных средств, уплаченных Банком России и (или) взысканных с Банка России;

сумма денежных средств, уплаченных ОПКЦ внешней платежной системы и (или) взысканных с ОПКЦ внешней платежной системы;

количество неисполненных, и (или) несвоевременно исполненных, и (или) ошибочно исполненных распоряжений участников ПС, на исполнение которых оказал влияние реализовавшийся риск в ПС;

продолжительность приостановления оказания УПИ.

ПУРиН, ПУРиН внешней платежной системы, подразделения Банка России, обеспечивающие функционирование ПС, осуществляют хранение сведений о реализовавшихся рисках в ПС.

Регистрация реализовавшихся рисков в ПС в части защиты информации ОПКЦ внешней платежной системы должна дополнительно предусматривать применение мер, определенных подпунктом 7.4.2 пункта 7.4 раздела 7 национального стандарта Российской Федерации ГОСТ Р 57580.4-2022 "Безопасность финансовых (банковских) операций. Обеспечение операционной надежности. Базовый состав организационных и технических мер" <6> (далее - ГОСТ Р 57580.4-2022) и подпунктом 8.3.2.4 пункта 8.3 раздела 8 национального стандарта Российской Федерации ГОСТ Р 57580.3-2022 "Безопасность финансовых (банковских) операций. Управление риском реализации информационных угроз и обеспечение операционной надежности. Общие положения" <7> (далее - ГОСТ Р 57580.3-2022).

--------------------------------

<6> Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 22 декабря 2022 года N 1549-ст (М., ФГБУ "Институт стандартизации", 2023) и введен в действие 1 февраля 2023 года.

<7> Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 22 декабря 2022 года N 1548-ст (М., ФГБУ "РСТ", 2023) и введен в действие 1 февраля 2023 года.

ОПКЦ внешней платежной системы устанавливает во внутренних документах состав сведений для регистрации реализовавшихся рисков в ПС в части защиты информации с использованием сведений о реализовавшихся рисках в ПС в части защиты информации, направляемых ОПКЦ внешней платежной системы в Банк России.

4.4. Оценка влияния на БФПС каждого реализовавшегося риска в ПС должна проводиться в срок не позднее рабочего дня, следующего за днем возникновения (выявления) реализовавшегося риска в ПС, а также в срок не позднее рабочего дня, следующего за днем устранения последствий реализовавшегося риска в ПС (восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения).

4.4.1. Реализовавшийся риск в ПС должен признаваться непосредственно не влияющим на БФПС (влияющим опосредованно), в случае если не нарушен пороговый уровень показателя продолжительности восстановления оказания УПИ (показатель БФПС 1), показателя непрерывности оказания УПИ (показатель БФПС 2).

4.4.2. Реализовавшийся риск в ПС должен признаваться влияющим на БФПС, в случае если выполняется хотя бы одно из следующих условий:

нарушен регламент выполнения процедур при одновременном нарушении порогового уровня показателя БФПС 2;

нарушен пороговый уровень показателя БФПС 1;

превышена установленная продолжительность восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения, определенная в пункте 1.1 настоящего Положения.

4.4.3. В случае выявления дополнительных обстоятельств в отношении реализовавшегося риска в ПС, оценка влияния которого на БФПС уже завершена, должна быть проведена повторная оценка влияния реализовавшегося риска в ПС на БФПС с использованием вновь выявленных обстоятельств с последующей актуализацией сведений, указанных в пункте 4.3 настоящего Положения.

4.5. Оценка влияния на БФПС всех реализовавшихся рисков в ПС должна проводиться на ежемесячной основе не позднее 5 рабочих дней после дня окончания отчетного календарного месяца.

4.5.1. Риски, реализовавшиеся в ПС в отчетном месяце, должны признаваться непосредственно не влияющими на БФПС (влияющими опосредованно), если значение показателя соблюдения регламента выполнения процедур (показатель БФПС 3), и (или) показателя доступности операционного центра (показатель БФПС 4), и (или) показателя изменения частоты реализовавшихся рисков в ПС (показатель БФПС 5) нарушает пороговый уровень за отчетный месяц, за исключением случая, когда значения показателя БФПС 3, показателя БФПС 4, показателя БФПС 5 за этот период одновременно нарушают пороговые уровни.

4.5.2. Риски, реализовавшиеся в ПС в отчетном месяце, должны признаваться влияющими на БФПС, если значения показателя БФПС 3, показателя БФПС 4, показателя БФПС 5 за этот период одновременно нарушают пороговые уровни.

4.5.3. В случае выявления реализовавшихся рисков в ПС или дополнительной информации в отношении рисков, реализовавшихся в ПС в течение календарного месяца, за который уже проведена оценка их влияния на БФПС, должна быть инициирована повторная оценка влияния реализовавшихся рисков в ПС на БФПС с использованием вновь выявленных обстоятельств с последующей актуализацией сведений, указанных в пункте 4.3 настоящего Положения.

4.6. Применение мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в том числе последовательности действий плана ОНиВД, в отношении реализовавшихся рисков в ПС должно осуществляться для:

локализации и предотвращения развития негативных (неблагоприятных) последствий реализации риска в ПС, в отношении которых меры реагирования, направленные на обеспечение БФПС в условиях реализовавшегося риска в ПС, необходимо применять незамедлительно;

восстановления оказания УПИ в случае их приостановления;

восстановления оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения.

Применение мер реагирования, направленных на обеспечение БФПС в условиях реализовавшегося риска в ПС, в отношении реализовавшихся рисков в ПС в части защиты информации ОПКЦ внешней платежной системы должно осуществляться исходя из мер, определенных подпунктами 7.4.3 и 7.4.4 пункта 7.4 раздела 7 ГОСТ Р 57580.4-2022.

Оценка влияния на БФПС реализовавшихся рисков в ПС в части защиты информации ОПКЦ внешней платежной системы должна включать в себя проведение анализа их причин и последствий.

Глава 5. Организация взаимодействия Банка России, операционного платежного клирингового центра внешней платежной системы и участников платежной системы Банка России в целях обеспечения бесперебойности ее функционирования

5.1. Банк России должен информировать участников ПС о приостановлении и восстановлении оказания УПИ в части сервиса срочного перевода и сервиса несрочного перевода в течение 30 минут после выявления реализовавшегося риска в ПС, который привел к приостановлению оказания УПИ, и после восстановления оказания УПИ посредством размещения на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет" (далее - официальный сайт Банка России) следующей информации:

время приостановления (восстановления) оказания УПИ;

причины приостановления (прекращения) оказания УПИ;

предполагаемое время восстановления оказания УПИ в случае приостановления оказания УПИ.

Банк России при отсутствии технической возможности размещения информации на официальном сайте Банка России должен информировать о реализовавшемся риске в ПС участников ПС в соответствии с комплексным договором банковского обслуживания в течение 30 минут после выявления реализовавшегося риска в ПС, который привел к приостановлению оказания УПИ, и после восстановления оказания УПИ.

ОПКЦ внешней платежной системы должен информировать участников СБП о выявлении реализовавшегося риска в ПС, который привел к приостановлению оказания УПИ в части СБП, и после восстановления оказания УПИ в части СБП посредством размещения информации о реализовавшемся риске в ПС на информационном портале ОПКЦ внешней платежной системы и его официальном сайте в информационно-телекоммуникационной сети "Интернет".

5.2. Взаимодействие Банка России и ОПКЦ внешней платежной системы по обеспечению БФПС должно осуществляться исходя из следующего:

5.2.1. При осуществлении деятельности по управлению рисками в ПС, предусмотренной главой 3 настоящего Положения, и деятельности по управлению реализовавшимися рисками в ПС, предусмотренной главой 4 настоящего Положения, взаимодействие Банка России и ОПКЦ внешней платежной системы должно осуществляться (за исключением обмена информацией о реализовавшихся рисках в ПС, связанных с работой информационных систем, обеспечивающих функционирование ПС, а также направления ОПКЦ внешней платежной системы сведений о реализовавшихся рисках в ПС оперативного характера, которые представляются в соответствии с договором о взаимодействии платежных систем в течение 30 минут после его выявления) посредством направления с использованием личного кабинета, предусмотренного статьей 351 Федерального закона N 161-ФЗ, в том числе следующей информации:

профиль рисков ОПКЦ внешней платежной системы (рекомендуемый образец профиля рисков приведен в приложении 5 к настоящему Положению);

предложения работников УпКР по определению показателей БФПС для мониторинга рисков ОПКЦ внешней платежной системы (рекомендуемый образец таблицы определения показателей БФПС приведен в приложении 6 к настоящему Положению);

значения показателя БФПС 1 и показателя БФПС 2, определенные в срок не позднее рабочего дня, следующего за днем возникновения (выявления) реализовавшегося риска в ПС, а также в срок не позднее рабочего дня, следующего за днем устранения последствий реализовавшегося риска в ПС (восстановления оказания УПИ) (рекомендуемый образец таблицы мониторинга уровня риска в ПС приведен в приложении 7 к настоящему Положению);

значения показателя БФПС 3, показателя БФПС 4 и показателя БФПС 5, определенные на ежемесячной основе в срок не позднее 5 рабочего дня после дня окончания отчетного календарного месяца (рекомендуемый образец таблицы мониторинга уровня риска в ПС приведен в приложении 7 к настоящему Положению);

определенные значения показателя БФПС 12 и показателя БФПС 13, включая сведения о реализовавшихся рисках в ПС, которые привели к нарушению порогового уровня показателя БФПС 12 и (или) порогового уровня показателя БФПС 13, представленные в соответствии с договором о взаимодействии платежных систем;

сведения о реализовавшемся риске в ПС в соответствии с требованиями пункта 4.3 настоящего Положения не позднее следующего рабочего дня после дня его выявления ОПКЦ внешней платежной системы, а также сведения о мерах по предотвращению возникновения аналогичных рисков в ПС в будущем в срок не позднее 10 рабочего дня после дня его выявления ОПКЦ внешней платежной системы.

5.2.2. При осуществлении деятельности по управлению реализовавшимися рисками в ПС, предусмотренной главой 4 настоящего Положения, взаимодействие Банка России и ОПКЦ внешней платежной системы в части обмена информацией о реализовавшихся рисках в ПС (за исключением реализовавшихся рисков в ПС в части защиты информации), связанных с работой информационных систем, обеспечивающих функционирование ПС, осуществляется в соответствии с договором о взаимодействии платежных систем.

Глава 6. Контроль за соблюдением операционным платежным клиринговым центром внешней платежной системы порядка обеспечения бесперебойности функционирования платежной системы Банка России

6.1. Банк России должен контролировать соблюдение ОПКЦ внешней платежной системы порядка обеспечения БФПС посредством рассмотрения документов, определяющих деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП, на предмет их соответствия требованиям глав 2 - 4 настоящего Положения.

6.2. Работники УпКР должны направлять документы, определяющие деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП, вносимые в них изменения на рассмотрение в Банк России риск-координаторам бизнес-процесса функционирования ПС с приложением следующей информации:

наименование документа, определяющего деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП;

обоснование необходимости внесения изменений (в случае внесения изменений);

список изменений с указанием разделов и пунктов, содержащих изменения (в случае внесения изменений);

планируемый срок вступления в силу документа, определяющего деятельность ОПКЦ внешней платежной системы по обеспечению БФПС в части СБП, или подготовленных изменений.

6.3. Риск-координаторы бизнес-процесса функционирования ПС в течение 15 рабочих дней после дня получения документов и информации, указанных в пункте 6.2 настоящего Положения, должны рассмотреть и подтвердить их соответствие требованиям глав 2 - 4 настоящего Положения или сформировать перечень выявленных несоответствий, а также предложений по их устранению.

6.4. Риск-координаторы бизнес-процесса функционирования ПС направляют результаты рассмотрения документов и информации, указанных в пункте 6.2 настоящего Положения, руководителю подразделения, реализующего полномочия оператора ПС, на утверждение.

Руководитель подразделения, реализующего полномочия оператора ПС, в течение 5 рабочих дней после дня получения результатов рассмотрения документов и информации, указанных в пункте 6.2 настоящего Положения, утверждает их либо направляет риск-координаторам бизнес-процесса функционирования ПС замечания.

Риск-координаторы бизнес-процесса функционирования ПС осуществляют пересмотр результатов рассмотрения документов и информации, указанных в пункте 6.2 настоящего Положения, по полученным от руководителя подразделения, реализующего полномочия оператора ПС, замечаниям в течение 5 рабочих дней и повторно направляют их руководителю подразделения, реализующего полномочия оператора ПС, который осуществляет их повторное рассмотрение в сроки, указанные в абзаце втором настоящего пункта.

6.5. Риск-координаторы бизнес-процесса функционирования ПС не позднее рабочего дня, следующего за днем утверждения руководителем подразделения, реализующего полномочия оператора ПС, результатов рассмотрения документов и информации, указанных в пункте 6.2 настоящего Положения, направляют результаты их рассмотрения работникам УпКР.

6.6. Работники УпКР в случае выявления риск-координаторами бизнес-процесса функционирования ПС несоответствий документов и информации, указанных в пункте 6.2 настоящего Положения, требованиям глав 2 - 4 настоящего Положения обеспечивают внесение в них изменений согласно предложениям по их устранению и повторно направляют документы и информацию, указанные в пункте 6.2 настоящего Положения, на рассмотрение в Банк России.

Раздел III. Показатели бесперебойности функционировании платежной системы Банка России

Глава 7. Основные положения о показателях бесперебойности функционирования платежной системы Банка России

7.1. Показателями БФПС являются:

показатель продолжительности восстановления оказания УПИ (показатель БФПС 1);

показатель непрерывности оказания УПИ (показатель БФПС 2);

показатель соблюдения регламента выполнения процедур (показатель БФПС 3);

показатель доступности операционного центра (показатель БФПС 4);

показатель изменения частоты реализовавшихся рисков в ПС (показатель БФПС 5);

показатель эффективности противодействия информационным угрозам в ПС (показатель БФПС 6);

показатель несанкционированных операций в СБП (показатель БФПС 7);

показатель уровня соответствия защиты информации объектов информационной инфраструктуры Банка России, обеспечивающих функционирование ПС (показатель БФПС 8);

показатель уровня соответствия защиты информации объектов информационной инфраструктуры ОПКЦ внешней платежной системы (показатель БФПС 9);

показатель эффективности применяемых в ПС мер технологического контроля поступающих электронных сообщений (показатель БФПС 10);

показатель качества управления уязвимостями в ПС (показатель БФПС 11);

показатель доступности системно значимого участника СБП (показатель БФПС 12);

показатель непрерывности системно значимого участника СБП (показатель БФПС 13).

7.2. Показатели БФПС, указанные в пункте 7.1 настоящего Положения, а также иные показатели БФПС, определенные в соответствии с требованиями пункта 8.16 настоящего Положения, должны применяться при осуществлении мониторинга уровней рисков в ПС. При мониторинге Банк России и ОПКЦ внешней платежной системы осуществляют:

определение показателей БФПС;

реагирование на нарушение порогового уровня показателей БФПС;

актуализацию информации о причинах нарушения порогового уровня показателей БФПС и принятых мерах реагирования.

Глава 8. Определение показателей бесперебойности функционирования платежной системы Банка России

8.1. Определение показателей БФПС осуществляется Банком России и ОПКЦ внешней платежной системы исходя из следующего:

8.2. Показатель БФПС 1 должен определяться Банком России и ОПКЦ внешней платежной системы по каждому из реализовавшихся рисков в ПС, повлекших приостановление оказания УПИ, как период времени с момента возникновения риска в ПС, приведшего к приостановлению оказания УПИ в результате первого из возникших рисков в ПС, и до момента восстановления оказания всех УПИ.

Пороговый уровень показателя БФПС 1 равен двум часам.

В случае если значение показателя БФПС 1 превышает два часа, произошло нарушение порогового уровня показателя БФПС 1. Показатель БФПС 1 определяется в часах (минутах) (секундах).

В случае если в течение дня произошло несколько пересекающихся между собой по времени реализовавшихся рисков в ПС, продолжительность восстановления оказания УПИ определяется как разница между моментом восстановления оказания УПИ и моментом выявления первого риска в ПС из них.

8.3. Показатель БФПС 2 должен определяться Банком России и ОПКЦ внешней платежной системы по каждому из реализовавшихся рисков в ПС, повлекших приостановление оказания УПИ, как период времени между двумя последовательно реализовавшимися рисками в ПС с момента восстановления оказания УПИ, приостановленных в результате первого реализовавшегося риска в ПС, и до момента возникновения события, приведшего к приостановлению оказания УПИ в результате следующего реализовавшегося риска в ПС.

Пороговый уровень показателя БФПС 2 равен двадцати четырем часам.

В случае если значение показателя БФПС 2 менее двадцати четырех часов, произошло нарушение порогового уровня показателя БФПС 2. Показатель БФПС 2 определяется в часах (минутах) (секундах).

В случае если произошло несколько пересекающихся между собой по времени реализовавшихся рисков в ПС, продолжительность непрерывности оказания УПИ определяется как разница между моментом выявления следующего реализовавшегося риска в ПС и моментом устранения последствий последнего из пересекающихся реализовавшихся рисков в ПС.

8.4. Показатель БФПС 3 должен определяться Банком России и ОПКЦ внешней платежной системы ежемесячно как отношение количества распоряжений участников ПС (их клиентов), по которым в течение календарного месяца были оказаны УПИ без нарушения регламента выполнения процедур, к общему количеству распоряжений участников ПС (их клиентов), по которым в течение календарного месяца были оказаны УПИ, по формуле:

где:

N - количество распоряжений участников ПС (их клиентов), по которым были оказаны УПИ без нарушения временного интервала, указанного в приложении 1 к настоящему Положению, в течение оцениваемого календарного месяца;

Nобщ - общее количество распоряжений участников ПС (их клиентов), по которым были оказаны УПИ, в течение оцениваемого календарного месяца.

Показатели БФПС 3 для сервиса срочного перевода, сервиса несрочного перевода и СБП определяются индивидуально.

Пороговый уровень показателя БФПС 3 для сервиса срочного перевода и сервиса несрочного перевода равен 99,73 процента.

Пороговый уровень показателя БФПС 3 для СБП равен 99,9 процента.

В случае если значение показателя БФПС 3 менее 99,73 процента, при предоставлении сервиса срочного перевода и (или) сервиса несрочного перевода произошло нарушение порогового уровня показателя БФПС 3.

В случае если значение показателя БФПС 3 менее 99,9 процента, при предоставлении СБП произошло нарушение порогового уровня показателя БФПС 3.

8.5. Показатель БФПС 4 должен определяться Банком России и ОПКЦ внешней платежной системы ежемесячно как среднее значение коэффициента доступности за оцениваемый календарный месяц по формуле:

где:

k = {1 ... K} - k-й рабочий день в отчетном месяце;

K - количество рабочих дней в отчетном месяце;

Kavk - коэффициент доступности услуг операционного центра (ОПКЦ внешней платежной системы) в k-й рабочий день, определяемый по формуле:

где:

Dk - общая продолжительность всех приостановлений оказания операционных услуг для всех участников ПС операционным центром (ОПКЦ внешней платежной системы) в течение k-го рабочего дня, в минутах;

- общая продолжительность времени оказания операционных услуг в течение k-го рабочего дня, в минутах, в соответствии с графиком функционирования ПС, установленным приложением 17 к Положению Банка России от 3 декабря 2025 года N 876-П "О платежной системе Банка России" <8>.

--------------------------------

<8> Зарегистрировано Минюстом России 20 мая 2026 года, регистрационный N 86527, с изменениями, внесенными Указанием Банка России от 23 июня 2026 года N 7374-У (зарегистрировано Минюстом России 23 июля 2026 года, регистрационный N 87572).

Показатель БФПС 4 определяется отдельно для операционного центра, функции которого выполняет Банк России, и отдельно для операционного центра, функции которого выполняет ОПКЦ внешней платежной системы.

Пороговый уровень показателя БФПС 4 для операционного центра, функции которого выполняет Банк России, равен 99,00 процента.

В случае если значение показателя БФПС 4 для операционного центра, функции которого выполняет Банк России, менее 99,00 процента, произошло нарушение порогового уровня показателя БФПС 4.

Пороговый уровень показателя БФПС 4 для операционного центра, функции которого выполняет ОПКЦ внешней платежной системы, равен 99.99 процента.

В случае если значение показателя БФПС 4 для операционного центра, функции которого выполняет ОПКЦ внешней платежной системы, менее 99.99 процента, произошло нарушение порогового уровня показателя БФПС 4.

8.6. Показатель БФПС 5 должен определяться Банком России и ОПКЦ внешней платежной системы ежемесячно как темп прироста среднедневного количества реализовавшихся рисков в ПС за оцениваемый календарный месяц по отношению к среднедневному количеству реализовавшихся рисков в ПС за предыдущие двенадцать календарных месяцев, включая оцениваемый календарный месяц, по формуле:

где:

КИi - количество реализовавшихся рисков в ПС в течение i-го рабочего дня ПС;

i - {1 ... M} - i-й день в оцениваемом календарном месяце;

M - количество рабочих дней ПС в оцениваемом календарном месяце;

КИj - количество реализовавшихся рисков в ПС в течение j-го рабочего дня ПС;

j = {1 ... N} - j-й рабочий день двенадцати предыдущих календарных месяцев, включая оцениваемый календарный месяц;

N - количество рабочих дней ПС за двенадцать предыдущих календарных месяцев, включая оцениваемый месяц.

Показатель БФПС 5 должен определяться в процентах с точностью до одного знака после запятой (с округлением по правилам математического округления). В случае если за предыдущие двенадцать календарных месяцев, включая оцениваемый месяц, реализовавшихся рисков в ПС не было, значение показателя следует признавать равным нулю.

Пороговый уровень показателя БФПС 5 равен 115,0 процента.

В случае если значение показателя БФПС 5 более 115,0 процента, произошло нарушение порогового уровня показателя БФПС 5.

8.7. Показатель БФПС 6 должен определяться Банком России в зависимости от размера активов участника ПС.

8.7.1. Для банка - участника ПС, размер активов которого составляет менее 500 миллиардов рублей на начало текущего отчетного года, показатель БФПС 6 должен определяться Банком России ежегодно как количество событий списания денежных средств с банковских счетов участников ПС и клиентов Банка России без их добровольного согласия.

В случае если значение показателя БФПС 6 больше или равно 2, произошло нарушение порогового уровня показателя БФПС 6.

8.7.2. Для банка - участника ПС, размер активов которого составляет 500 миллиардов рублей и более на начало текущего отчетного года, показатель БФПС 6 должен определяться Банком России ежегодно как количество событий списания денежных средств с банковских счетов участников ПС и клиентов Банка России без их добровольного согласия.

В случае если значение показателя БФПС 6 более либо равно 1, произошло нарушение порогового уровня показателя БФПС 6.

8.8. Показатель БФПС 7 должен определяться Банком России ежеквартально как отношение суммы денежных средств, относительно которых участниками СБП получены уведомления от их клиентов о списании денежных средств с банковских счетов клиентов без их согласия за оцениваемый квартал, за исключением случаев, предусмотренных законодательством Российской Федерации, к общей сумме денежных средств, списанных с банковских счетов клиентов участников СБП посредством осуществления перевода денежных средств с использованием СБП.

В случае если значение показателя БФПС 7 более 0,005 процента, произошло нарушение порогового уровня показателя БФПС 7.

8.9. Показатель БФПС 8 должен определяться Банком России не реже одного раза в два года на основе результатов оценки соответствия текущего уровня защиты информации объектов информационной инфраструктуры Банка России, обеспечивающих функционирование ПС, уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018.

В случае если числовая итоговая оценка соответствия защиты информации, определяемая в соответствии с пунктом 7.10 раздела 7 ГОСТ Р 57580.2-2018, менее 0,85 процента, произошло нарушение порогового уровня показателя БФПС 8.

8.10. Показатель БФПС 9 должен определяться Банком России не реже одного раза в два года на основе результатов оценки соответствия текущего уровня защиты информации ОПКЦ внешней платежной системы уровням, определенным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, согласно методике оценки соответствия защиты информации, определенной в разделе 6 ГОСТ Р 57580.2-2018.

В случае если уровень соответствия ниже уровня, установленного пунктом 20 Положения Банка России N 802-П, произошло нарушение порогового уровня показателя БФПС 9.

8.11. Показатель БФПС 10 должен определяться Банком России как количество случаев успешного прохождения в ПС технологического контроля электронных сообщений, не подлежащих обработке, в результате реализовавшихся рисков в ПС.

В случае если значение показателя БФПС 10 больше 0, произошло нарушение порогового уровня показателя БФПС 10.

8.12. Показатель БФПС 11 должен определяться Банком России как количество повторно выявленных по результатам ежегодного тестирования на проникновение уязвимостей, имеющих высокий или критический уровень опасности уязвимости, предусмотренный подпунктом 5.2.18 пункта 5.2 раздела 5 национального стандарта Российской Федерации ГОСТ Р 56545-2015 "Защита информации. Уязвимости информационных систем. Правила описания уязвимостей" <9>.

--------------------------------

<9> Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 19 августа 2015 года N 1180-ст (М., ФГУП "Стандартинформ", 2015) и введен в действие 1 апреля 2016 года.

В случае если значение показателя БФПС 11 больше 0, произошло нарушение порогового уровня показателя БФПС 11.

8.13. Показатель БФПС 12 должен определяться как отношение общего количества исполненных с использованием СБП распоряжений системно значимого участника СБП к ожидаемому количеству распоряжений за тот же период в случае непрерывного оказания системно значимым участником СБП услуги по переводу денежных средств с использованием СБП, а также недополученных распоряжений в СБП от системно значимого участника СБП.

8.13.1. Определение недополученных распоряжений в СБП от системно значимого участника СБП осуществляется в соответствии с подпунктом 3.2.3.6 пункта 3.2 настоящего Положения.

8.13.2. Определение значения показателя БФПС 12 должно осуществляться ОПКЦ внешней платежной системы по каждому системно значимому участнику СБП на ежемесячной основе не позднее 5 рабочего дня после дня окончания отчетного календарного месяца.

8.13.3. Пороговый уровень показателя БФПС 12 равен 99,5 процента.

8.13.4. В случае если значение показателя БФПС 12 системно значимого участника СБП в течение двух календарных месяцев подряд составило менее 99,5 процента, произошло нарушение порогового уровня показателя БФПС 12.

8.14. Показатель БФПС 13 должен определяться как отношение фактической доступности системно значимого участника СБП, определяемой как разница между продолжительностью времени работы (функционирования) системно значимого участника СБП и продолжительностью наблюдаемого периода отклонения количества исполненных распоряжений от ожидаемого у системно значимого участника СБП, к продолжительности времени работы (функционирования) системно значимого участника СБП. При этом продолжительность времени работы (функционирования) системно значимого участника СБП определяется как разница между двадцатью четырьмя часами и продолжительностью предварительно заявленных технологических и (или) регламентных работ у данного участника СБП.

8.14.1. Определение значения показателя БФПС 13 должно осуществляться ОПКЦ внешней платежной системы по каждому системно значимому участнику СБП на ежемесячной основе не позднее 5 рабочего дня после дня окончания отчетного календарного месяца.

8.14.2. Пороговый уровень показателя БФПС 13 равен 98,5 процента.

8.14.3. В случае если значение показателя БФПС 13 системно значимого участника СБП в течение двух календарных месяцев подряд составило менее 98,5 процента, произошло нарушение порогового уровня показателя БФПС 13.

8.15. В случае достижения значением показателя БФПС 1-БФПС 11, значением иного показателя БФПС, определенного в соответствии с требованиями пункта 8.16 настоящего Положения, их порогового уровня:

работники ПУРиН (работники ПУРиН внешней платежной системы) должны применить меры реагирования при нарушении порогового уровня показателя БФПС;

риск-координаторы ПУРиН, работники подразделений которых применяют меры реагирования при нарушении порогового уровня показателя БФПС, в части сервиса срочного перевода и сервиса несрочного перевода должны не позднее 5 рабочего дня, следующего за днем выявления нарушения порогового уровня показателя БФПС, после согласования руководителями ПУРиН и руководителями подразделений Банка России, в состав которых входят ПУРиН, зарегистрировать информацию о причинах нарушения порогового уровня показателя БФПС и принятых мерах реагирования (рекомендуемый образец таблицы мониторинга уровня риска в ПС приведен в приложении 7 к настоящему Положению);

риск-координаторы ПУРиН внешней платежной системы, работники которого применяют меры реагирования при нарушении порогового уровня показателя БФПС, должны не позднее 5 рабочего дня, следующего за днем выявления нарушения порогового уровня показателя БФПС, зарегистрировать и направить работникам УпКР информацию о причинах нарушения порогового уровня показателя БФПС и принятых мерах реагирования (рекомендуемый образец таблицы мониторинга уровня риска в ПС приведен в приложении 7 к настоящему Положению). Работники УпКР должны не позднее 5 рабочего дня, следующего за днем получения информации от риск-координаторов ПУРиН внешней платежной системы, направить информацию риск-координаторам бизнес-процесса функционирования ПС.

При появлении уточненной информации о причинах нарушения порогового показателя БФПС и о принятых мерах реагирования, о составе принятых мер реагирования риск-координаторы ПУРиН, осуществляющие мониторинг уровней рисков в ПС согласно показателям БФПС, после согласования с руководителями ПУРиН и при необходимости с руководителями структурных подразделений Банка России должны актуализировать соответствующую информацию не позднее 5 рабочего дня, следующего за днем появления уточненной информации.

Риск-координаторы ПУРиН внешней платежной системы подразделений, которые применяют меры реагирования при нарушении порогового уровня показателя БФПС, должны не позднее 5 рабочего дня, следующего за днем появления в структурном подразделении ОПКЦ внешней платежной системы уточненной информации о причинах нарушения порогового уровня показателя БФПС и принятых мерах реагирования, актуализировать информацию и направить ее работникам УпКР, которые не позднее 5 рабочего дня после дня получения уточненной информации от риск-координаторов ПУРиН внешней платежной системы направляют ее риск-координаторам бизнес-процесса функционирования ПС.

8.16. Определение показателей БФПС в дополнение к указанным в пункте 7.1 настоящего Положения осуществляется Банком России и ОПКЦ внешней платежной системы исходя из следующего:

8.16.1. Риск-координаторы ПУРиН (риск-координаторы ПУРиН внешней платежной системы) определяют показатели БФПС в части компетенции ПУРиН (ПУРиН внешней платежной системы), осуществляя следующие мероприятия:

риск-координаторы ПУРиН на основании принятого руководителем ПУРиН решения (риск-координаторы ПУРиН внешней платежной системы на основании принятого решения руководителя ПУРиН) должны определять показатели БФПС (рекомендуемый образец таблицы определения показателей БФПС приведен в приложении 6 к настоящему Положению);

риск-координаторы ПУРиН (риск-координаторы ПУРиН внешней платежной системы через работников УпКР) передают показатели БФПС на согласование риск-координаторам бизнес-процесса функционирования ПС, которые для сервиса срочного перевода и сервиса несрочного перевода предварительно согласовываются с руководителями ПУРиН и руководителями подразделений Банка России, а для СБП предварительно должны согласовываться с работниками УпКР;

согласование показателей БФПС должно осуществляться риск-координаторами бизнес-процесса функционирования ПС в течение 5 рабочих дней со дня поступления указанных показателей БФПС от риск-координаторов ПУРиН, риск-координаторов ПУРиН внешней платежной системы через работников УпКР.

8.16.2. Риск-координаторы бизнес-процесса функционирования ПС должны осуществлять оценку применимости определенных показателей БФГ ПС для целей мониторинга изменений уровней рисков в ПС после применения действующих мер реагирования, присущих бизнес-процессу функционирования ПС, с привлечением риск-координаторов ПУРиН (риск-координаторов ПУРиН внешней платежной системы и (или) работников УпКР).

8.16.3. При положительном результате оценки применимости показателей БФПС риск-координаторы бизнес-процесса функционирования ПС должны направлять показатели БФПС на верификацию работникам УРСУР.

Работники УРСУР не позднее 5 рабочего дня, следующего за днем получения показателей БФПС от риск-координаторов бизнес-процесса функционирования ПС, должны согласовать показатели БФПС или направить по ним замечания риск-координаторам бизнес-процесса функционирования ПС.

Повторные верификации осуществляются не позднее 2 рабочего дня, следующего за днем получения от риск-координаторов бизнес-процесса функционирования ПС уточненных показателей БФПС.

8.16.4. Риск-координаторы бизнес-процесса функционирования ПС не позднее 2 рабочего дня, следующего за днем получения замечаний от работников УРСУР, должны внести уточнения в показатели БФПС и провести повторную оценку применимости показателей БФПС, осуществляемую в соответствии с подпунктом 8.16.2 настоящего пункта, за исключением случаев, когда для уточнения показателей БФПС требуются более длительные сроки, в том числе в случае проведения дополнительных согласований показателей БФПС с заинтересованными подразделениями Банка России и (или) структурными подразделениями ОПКЦ внешней платежной системы.

При положительном результате верификации риск-координаторы бизнес-процесса функционирования ПС не позднее 2 рабочих дней со дня завершения УРСУР верификации показателей БФПС должны направить руководителю подразделения, реализующего полномочия оператора ПС, предложение о показателях БФПС.

8.16.5. Руководитель подразделения, реализующего полномочия оператора ПС, не позднее 5 рабочего дня со дня представления предложения о показателях БФПС должен направлять на согласование указанное предложение курирующему руководителю Банка России или вернуть его риск-координаторам бизнес-процесса функционирования ПС с указанием замечаний (причин несогласия с указанным предложением).

8.16.6. Риск-координаторы бизнес-процесса функционирования ПС не позднее 2 рабочего дня, следующего за днем получения замечаний от курирующего руководителя Банка России (руководителя подразделения, реализующего полномочия оператора ПС), должны внести уточнения в показатели БФПС с последующим проведением повторной оценки применимости показателей БФПС, осуществляемой в соответствии с подпунктами 8.16.2 - 8.16.4 настоящего пункта, за исключением случаев, когда для уточнения показателей БФПС требуются более длительные сроки, в том числе при необходимости проведения дополнительных согласований показателей БФПС с заинтересованными подразделениями Банка России и (или) структурными подразделениями ОПКЦ внешней платежной системы.

8.16.7. Руководитель подразделения, реализующего полномочия оператора ПС, обеспечивает рассмотрение показателей БФПС на заседании Комитета не позднее 5 рабочего дня, следующего за днем их одобрения Комитетом, а также доведение решения Комитета до ПУРиН, осуществляющих мониторинг уровней рисков в ПС, а также ОПКЦ внешней платежной системы.

8.17. Окончание применения показателя БФПС должно осуществляться исходя из следующего: при согласовании курирующим руководителем Банка России окончания применения показателя БФПС руководитель подразделения, реализующего полномочия оператора ПС, должен обеспечивать доведение до подразделений Банка России и (или) ОПКЦ внешней платежной системы соответствующей информации не позднее 5 рабочего дня, следующего за днем согласования окончания применения показателя БФПС.

Раздел IV. Методики анализа рисков в платежной системе Банка России

Глава 9. Проведение структурными подразделениями операционного платежного клирингового центра внешней платежной системы оценки рисков операционного платежного клирингового центра внешней платежной системы

9.1. При первичной и последующих оценках рисков ОПКЦ внешней платежной системы работники ПУРиН внешней платежной системы совместно с риск-координаторами ПУРиН внешней платежной системы должны до начала оценки рисков ОПКЦ внешней платежной системы провести анализ актуальности документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России, фактически выполняемой деятельности ОПКЦ внешней платежной системы при предоставлении СБП.

При положительном результате указанного анализа работники УпКР должны начать оценку рисков ОПКЦ внешней платежной системы.

При отрицательном результате указанного анализа работники УпКР должны довести до сведения работников ПУРиН внешней платежной системы и риск-координаторов ПУРиН внешней платежной системы информацию о необходимости актуализации документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России, и по завершении указанных работ начать оценку рисков ОПКЦ внешней платежной системы.

Работники УпКР должны довести до сведения риск-координаторов бизнес-процесса функционирования ПС информацию о сроках проведения работ по актуализации документов ОПКЦ внешней платежной системы, устанавливающих взаимодействие участника СБП, ОПКЦ внешней платежной системы и Банка России.

9.2. Идентификация рисков ОПКЦ внешней платежной системы должна осуществляться не реже одного раза в год. Подготовка (актуализация) перечня рисков ОПКЦ внешней платежной системы должна осуществляться в срок, не превышающий 20 рабочих дней (при повторной оценке рисков ОПКЦ внешней платежной системы - не превышающий 10 рабочих дней) со дня начала оценки рисков ОПКЦ внешней платежной системы.

9.2.1. В перечень рисков ОПКЦ внешней платежной системы по каждому риску следует включать следующую основную информацию:

операция (шаг) бизнес-процесса функционирования ПС, при выполнении которой (которого) возникает риск;

формулировка риска;

области реализации риска;

обоснование значимости риска с указанием оценки воздействия риска до применения мер реагирования, в том числе до применения мер реагирования, реализованных дополнительно по результатам предыдущих оценок рисков ОПКЦ внешней платежной системы в соответствии с подпунктом 3.2.3 пункта 3.2 настоящего Положения.

9.2.2. Идентификация ОПКЦ внешней платежной системы риска информационной безопасности в ПС должна включать в себя идентификацию области применения процесса управления риском информационной безопасности, присущим шагам (операциям) бизнес-процесса функционирования ПС, выполняемым ОПКЦ внешней платежной системы, идентификацию риска информационной безопасности, присущего шагам (операциям) бизнес-процесса функционирования ПС, выполняемым ОПКЦ внешней платежной системы, а также моделирование угроз безопасности информации с использованием мер, определенных подпунктом 7.2.2 пункта 7.2 раздела 7 ГОСТ Р 57580.4-2022 и подпунктами 8.2.2.3 и 8.2.2.4 пункта 8.2 раздела 8 ГОСТ Р 57580.3-2022.

Глава 10. Верификация перечня рисков операционного платежного клирингового центра внешней платежной системы

10.1. В сроки, указанные в абзаце первом пункта 9.2 настоящего Положения, работники УпКР должны направить перечень рисков ОПКЦ внешней платежной системы на верификацию риск-координаторам бизнес-процесса функционирования ПС.

10.2. Риск-координаторы бизнес-процесса функционирования ПС должны рассмотреть поступивший от работников УпКР перечень рисков ОПКЦ внешней платежной системы и не позднее 7 рабочего дня (при повторной оценке рисков ОПКЦ внешней платежной системы - не позднее 5 рабочего дня), следующего за днем его получения, подготовить и направить работникам УпКР замечания к перечню рисков ОПКЦ внешней платежной системы либо сообщить об их отсутствии.

Повторные верификации и повторные уточнения перечня рисков ОПКЦ внешней платежной системы должны осуществляться не позднее 2 рабочего дня, следующего за днем поступления уточненного перечня рисков ОПКЦ внешней платежной системы на верификацию (получения замечаний от риск-координаторов бизнес-процесса функционирования ПС).

10.3. Риск-координаторы бизнес-процесса функционирования ПС направляют работникам УпКР перечень рисков ОПКЦ внешней платежной системы не позднее 2 рабочего дня после дня его утверждения руководителем подразделения, реализующего полномочия оператора ПС.

Работники УпКР направляют перечень рисков ОПКЦ внешней платежной системы риск-координаторам ПУРиН внешней платежной системы.

Глава 11. Оценка рисков операционного платежного клирингового центра внешней платежной системы и принятие решений о реагировании на риски операционного платежного клирингового центра внешней платежной системы после применения действующих мер реагирования

11.1. Оценка рисков операционного платежного клирингового центра внешней платежной системы и принятие решений о реагировании на риски операционного платежного клирингового центра внешней платежной системы после применения действующих мер реагирования осуществляются исходя из следующего:

11.1.1. Риск-координаторы ПУРиН внешней платежной системы в течение 7 рабочих дней (при повторной оценке рисков ОПКЦ внешней платежной системы - 5 рабочих дней), следующих за днем получения перечня рисков операционного платежного клирингового центра внешней платежной системы, последовательно выполняют следующие действия по каждому риску ОПКЦ внешней платежной системы:

выявляют источники присущего риска и осуществляют оценку вероятности его реализации исходя из сложности и периодичности выполнения операций бизнес-процесса функционирования ПС, имеющихся для их выполнения ресурсов и других факторов, свидетельствующих о вероятности реализации присущего риска;

на основе оценок вероятности реализации и воздействия присущего риска определяют уровень и зону присущего риска;

определяют применяемые меры реагирования на риск и проводят анализ охвата мерами реагирования выявленных источников риска, а также последствий реализации риска;

оценивают вероятность реализации и воздействие риска в ПС после применения действующих мер реагирования и определяют уровень и зону риска в ПС после применения действующих мер реагирования исходя из информации о количестве и уровне воздействия реализовавшихся рисков в ПС, результатах применения показателей БФПС и применяемых мерах реагирования;

проводят анализ причин реализовавшихся рисков в ПС, результатов сопоставления выявленных источников риска, возможных воздействий его реализации с применяемыми и разрабатываемыми мерами реагирования на риск, а также результатов применения показателей БФПС и на этой основе делают выводы об эффективности и достаточности (избыточности) применяемых мер реагирования и необходимости разработки дополнительных мер реагирования;

подготавливают предложения о реагировании на риск в ПС после применения действующих мер реагирования.

11.1.2. По результатам выполнения указанных в подпункте 11.1.1 настоящего пункта действий риск-координаторы ПУРиН внешней платежной системы заполняют профиль рисков ПУРиН в срок, указанный в абзаце первом подпункта 11.1.1 настоящего пункта, направляют его работникам УпКР (рекомендуемый образец профиля рисков приведен в приложении 5 к настоящему Положению).

11.2. Оценка ОПКЦ внешней платежной системы риска информационной безопасности в ПС должна включать в себя оценку степени возможности реализации и степени тяжести последствий реализовавшихся рисков в ПС в части защиты информации с использованием мер, определенных подпунктом 8.2.2.5 пункта 8.2 раздела 8 ГОСТ Р 57580.3-2022.

Глава 12. Составление профили рисков операционного платежного клирингового центра внешней платежной системы и плана реализации дополнительных мер реагирования, указанных в профиле рисков операционного платежного клирингового центра внешней платежной системы

12.1. Работники УпКР составляют профиль рисков ОПКЦ внешней платежной системы и направляют его риск-координаторам бизнес-процесса функционирования ПС.

Риск-координаторы бизнес-процесса функционирования ПС не позднее 7 рабочего дня (при повторной оценке рисков ОПКЦ внешней платежной системы - 5 рабочего дня), следующего за днем получения профиля рисков, должны подготовить и направить работникам УпКР замечания или сообщить об их отсутствии.

Работники УпКР устраняют замечания риск-координаторов бизнес-процесса функционирования ПС к профилю рисков ОПКЦ внешней платежной системы и направляют профиль рисков ОПКЦ внешней платежной системы риск-координаторам бизнес-процесса функционирования ПС не позднее 5 рабочего дня, следующего за днем получения замечаний.

12.2. Риск-координаторы бизнес-процесса функционирования ПС включают профиль рисков ОПКЦ внешней платежной системы, полученный от работников УпКР, в профиль рисков в ПС.

12.3. Работники ПУРиН внешней платежной системы составляют план применения дополнительных мер реагирования, указанных в профиле риска ОПКЦ внешней платежной системы, и не позднее 10 рабочего дня, следующего за днем получения от риск-координатора бизнес-процесса функционирования ПС профиля рисков, направляют его через работников УпКР риск-координаторам бизнес-процесса функционирования ПС.

12.4. Работники УпКР на постоянной основе, но не реже одного раза в 6 календарных месяцев, направляют информацию о ходе применения дополнительных мер реагирования руководителю подразделения, реализующего полномочия оператора ПС.

Глава 13. Актуализация данных о рисках операционного платежного клирингового центра внешней платежной системы

13.1. Актуализация данных о рисках ОПКЦ внешней платежной системы выполняется в рамках повторной оценки рисков ОПКЦ внешней платежной системы (в том числе внеплановой), за исключением их дополнения сведениями о разработке и применении дополнительных мер реагирования в соответствии с результатами последней утвержденной оценки рисков ОПКЦ внешней платежной системы.

13.2. Дополнение сведениями о разработке и применении дополнительных мер реагирования, данными о рисках профиля рисков в ПС осуществляется работниками УпКР не позднее 5 рабочего дня, следующего за днем появления дополнительных сведений.

13.3. Риск-координаторы ПУРиН внешней платежной системы представляют не позднее срока, указанного в запросе УпКР, необходимые документы и информацию для дополнения сведениями о разработке и применении мер реагирования.

Глава 14. Заключительные положении

14.1. Настоящее Положение в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 27 марта 2026 года N ПС Д-9) вступает в силу по истечении 10 дней после дня его официального опубликования, за исключением пунктов 4.4, 4.5 и 8.4 настоящего Положения.

Пункты 4.4, 4.5 и 8.4 настоящего Положения вступают в силу с 1 октября 2026 года.

14.2. Со дня вступления в силу настоящего Положения признать утратившими силу:

Положение Банка России от 27 октября 2020 года N 738-П "О порядке обеспечения бесперебойности функционирования платежной системы Банка России" <10>;

--------------------------------

<10> Зарегистрировано Минюстом России 21 декабря 2020 года, регистрационный N 61663.

Указание Банка России от 22 сентября 2022 года N 6254-У "О внесении изменений в Положение Банка России от 27 октября 2020 года N 738-П "О порядке обеспечения бесперебойности функционирования платежной системы Банка России" <11>;

--------------------------------

<11> Зарегистрировано Минюстом России 29 сентября 2022 года, регистрационный N 70276.

Указание Банка России от 9 января 2024 года N 6653-У "О внесении изменений в Положение Банка России от 27 октября 2020 года N 738-П "О порядке обеспечения бесперебойности функционирования платежной системы Банка России" <11>.

--------------------------------

<11> Зарегистрировано Минюстом России 29 мая 2024 года, регистрационный N 78331.

Председатель Центрального банка

Российской Федерации

Э.С.НАБИУЛЛИНА

Приложение 1

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

РЕГЛАМЕНТ

ВЫПОЛНЕНИЯ ПРОЦЕДУР В ПЛАТЕЖНОЙ СИСТЕМЕ БАНКА РОССИИ

Приложение 2

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

КАРТА ЗОН РИСКОВ

Приложение 3

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

ШКАЛА ОЦЕНКИ ВЕРОЯТНОСТИ РЕАЛИЗАЦИИ РИСКА

Приложение 4

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

Рекомендуемый образец

Содержание

плана действий, направленных на обеспечение непрерывности

деятельности и (или) восстановление деятельности Банка

России как оператора платежной системы Банка России

1. Комплекс мер, реализуемых ПУРиН во время и после реализации риска в ПС, потенциально влияющего на БФПС.

2. Сведения о подразделении Банка России, на которое возложены полномочия и обязанности по разработке, пересмотру и контролю исполнения плана ОНиВД.

3. Работники, эксплуатирующие, обслуживающие и сопровождающие программно-технический комплекс (далее - ПТК) и системы телекоммуникаций (далее - СТ), автоматизированные рабочие места (далее - АРМ), системы инженерного обеспечения и жизнеобеспечения, используемые для обеспечения функционирования ПС, а также персонал, использующий информационные ресурсы автоматизированных систем (далее - АС) при выполнении должностных обязанностей.

4. Помещения (здания), в которых размещен персонал и АРМ, расположены ПТК и СТ, используемые для обеспечения функционирования ПС.

5. АС с входящими в их состав информационными ресурсами, используемые для обеспечения функционирования ПС.

6. Системы инженерного обеспечения и жизнеобеспечения, предназначенные для поддержки надлежащих условий работы персонала и среды функционирования ПТК, СТ, АРМ, используемых для обеспечения функционирования ПС (системы энергоснабжения, вентиляции и кондиционирования, водоснабжения, пожаротушения и другие системы, используемые для обеспечения функционирования ПС).

7. АС и подразделения Банка России, в которых используются данные из ПС, а также мероприятия по информированию указанных подразделений Банка России о переходе ПС на резервный комплекс программных средств.

8. Мероприятия по переходу на резервный комплекс программных и (или) технических средств (при совмещении в ПС функций оператора платежной системы и операционного, и (или) платежного клирингового, и (или) расчетного центров).

9. Перечень АС, ПТК, СТ, АРМ и состав персонала для обеспечения оказания УПИ в соответствии с требованиями подпункта 1.1.1 пункта 1.1 настоящего Положения.

10. Критерии активации последовательности действий, а также описание процесса принятия решения об активации последовательности действий и выполнения последовательности действий в зависимости от уровня реализовавшегося риска в ПС с момента выявления реализовавшегося риска в ПС до момента доведения принятого решения до работников ПУРиН и (или) работников ПУРиН внешней платежной системы, наделенных полномочиями по реализации соответствующих мер.

11. Последовательность действий в отношении нескольких реализовавшихся рисков в ПС.

12. Схемы оповещения уполномоченными лицами ПУРиН должностных лиц, которые принимают участие в устранении последствий реализации рисков в ПС.

13. Порядок и сроки тестирования последовательности действий плана ОНиВД и при необходимости плана ОНиВД в целом и пересмотра (актуализации) плана ОНиВД.

14. Условия проведения тестирования последовательности действий плана ОНиВД.

15. Мероприятия по переходу ОПКЦ внешней платежной системы на резервный комплекс программных и (или) технических средств оператора УПИ в случае приостановления оказания ОПКЦ внешней платежной системы УПИ в ПС.

Приложение 5

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

Рекомендуемый образец

Профиль рисков в платежной системе Банка России

Приложение 6

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

Рекомендуемый образец

Таблица определения показателей БФПС

Приложение 7

к Положению Банка России

от 31 марта 2026 года N 885-П

"О порядке обеспечения бесперебойности

функционирования платежной системы

Банка России, показателях

бесперебойности функционирования

платежной системы Банка России

и методиках анализа рисков

в платежной системе Банка России"

Рекомендуемый образец

Таблица мониторинга уровня риска в ПС