№ 716-П от 08.04.2020 Положение Банка России «О требованиях к системе управления операционным риском в кредитной организации и банковской группе»

Об управлении риском информационных систем (часть 2)

Вопрос

Для события операционного риска, связанного со сбоем в информационной системе, какое подразделение кредитной организации (головной кредитной организации банковской группы) (далее – кредитная организация) будет являться подразделением, в котором произошло данное событие операционного риска (подразделение, ответственное за обеспечение функционирования информационных систем, или подразделение, использующее в своей деятельности информационную систему, в которой произошел сбой)?

Ответ

В случае если сбой информационной системы произошел в процессе функционирования отдельного подразделения и (или) направления деятельности кредитной организации, данное событие операционного риска следует отнести к тому направлению деятельности, в котором оно произошло, в соответствии с классификацией, изложенной в пункте 3.9 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее – Положение № 716-П). Например, если сбой произошел в информационной системе процесса кредитования физических лиц, данное событие операционного риска необходимо отнести к направлению деятельности «розничное банковское обслуживание» в соответствии с подпунктом 3.9.3 пункта 3.9 Положения № 716-П.

В случае если сбой информационной системы, произошедший в кредитной организации, затронул всю ее деятельность, данное событие операционного риска следует отнести к направлению деятельности «обеспечение деятельности кредитной организации» в соответствии с подпунктом 3.9.9 пункта 3.9 Положения № 716-П.

Рекомендуем организовать процесс сбора информации о событиях операционного риска таким образом, чтобы информация о событии операционного риска, связанном со сбоем информационных систем, предоставлялась в подразделение, ответственное за организацию управления операционным риском, как подразделением (подразделениями), чью деятельность затронул данный сбой, так и специализированным подразделением, ответственным за организацию управления риском информационных систем в соответствии с абзацем третьим пункта 1.4 Положения № 716-П (при наличии данного подразделения). При регистрации события операционного риска, связанного со сбоем информационных систем, в базе событий следует осуществить сверку информации, полученной из разных источников, с целью исключения дублирования и пропуска информации в соответствии с пунктом 6.10 Положения № 716-П.