Письмо от 01.01.01 г. N 94-Т (стр. 37 )

--------------------------------

<141> Уменьшение операционного риска имеет особое значение, поскольку информация, имеющаяся в ТР, может способствовать двухсторонним взаимозачетам и использоваться для оказания услуг непосредственно участникам рынка или другим сторонам (например, сжатие портфеля), включая другие связанные ИФР.

Управление операционным риском

3.17.4. ИФР должна иметь точные принципы, процедуры и средства контроля, позволяющие уменьшать ее операционный риск и осуществлять управление его источниками. Общее управление операционным риском представляет собой непрерывный процесс, включающий оценку риска, определение допустимого уровня риска и применение средств контроля риска. В результате этого процесса ИФР принимает, уменьшает или избегает рисков, не противоречащих поставленной ею цели обеспечения операционной надежности. Порядок управления ИФР относится и к ее системе управления операционным риском (см. также Принцип 2 об управлении). В частности, совет директоров ИФР должен точно определять роли и обязанности по управлению операционным риском и утверждать систему управления операционным риском ИФР.

3.17.5. Для обеспечения надлежащего функционирования средств контроля риска ИФР должна иметь надежную систему внутреннего контроля. В частности, ИФР должна иметь адекватные средства административного контроля, такие как определение операционных стандартов, оценка и анализ показателей деятельности и устранение недостатков. Существуют многочисленные международные, национальные и отраслевые стандарты, руководящие указания или рекомендации, которые ИФР может использовать в процессе создания своей структуры управления операционным риском. Соблюдение коммерческих стандартов поможет ИФР достичь своих операционных целей. В частности, существуют коммерческие стандарты информационной безопасности, непрерывности деятельности и управления проектами. ИФР должна регулярно оценивать потребность в применении действующих коммерческих стандартов в своей системе управления операционным риском. Кроме того, ИФР должна стараться соблюдать соответствующие коммерческие стандарты в пределах, соответствующих важности и уровню взаимосвязанности ИФР.

3.17.6. Соглашения ИФР с участниками, операционные принципы и операционные процедуры должны периодически и всякий раз, когда это необходимо, подвергаться тестированию и анализу, особенно после значительных изменений в системе или крупных происшествий. Для минимизации любого влияния тестирования на проведение операций тестирование должно проводиться в "условиях испытаний". Эти условия испытаний, насколько это возможно, должны воспроизводить реальные условия деятельности (включая предусмотренные правила безопасности деятельности, в частности, относящиеся к конфиденциальности данных). Кроме того, основные компоненты системы управления операционным риском ИФР должны подвергаться проверке на регулярной основе и когда это необходимо. В дополнение к периодическим внутренним проверкам в зависимости от важности и уровня взаимосвязанности ИФР может потребоваться внешний аудит. С учетом эволюционного характера управления операционным риском операционные цели ИФР должны периодически пересматриваться с учетом новых технологий и развития коммерческой деятельности.

3.17.7. Поскольку правильная работа сотрудников ИФР является одним из главных аспектов системы управления операционным риском, ИФР должна быть укомплектована достаточными высококвалифицированными кадрами. Персонал ИФР должен уметь безопасно и эффективно эксплуатировать систему и строго выполнять операционные процедуры и процедуры управления риском в обычных и аномальных ситуациях. ИФР должна проводить надлежащую кадровую политику в области найма, обучения и сохранения квалифицированного персонала, уменьшая тем самым последствия высокой текучести кадров или риск, связанный с ключевыми фигурами. Кроме того, ИФР должна проводить надлежащую кадровую политику и политику управления риском для противодействия мошенничеству.

3.17.8. Система управления операционным риском ИФР должна предусматривать формализованные процессы управления изменениями и управления проектами для уменьшения операционного риска, вызванного изменениями операций, принципов, процедур и средств контроля. Процессы управления изменениями должны обеспечивать механизмы подготовки, утверждения, продвижения, тестирования и внесения всех изменений в систему. Процессы управления проектами, оформленные как принципы и процедуры, должны снижать риск случайного воздействия на текущую или будущую деятельность ИФР в результате модернизации, расширения или изменения оказываемых ею услуг, особенно в крупных проектах. В частности, эти принципы и процедуры должны определять порядок управления, документального оформления, связи и тестирования проектов независимо от того, осуществляются ли проекты сторонними подрядчиками или своими силами.

Операционная надежность

3.17.9. ИФР должна точно определять цели в области операционной надежности и иметь учрежденную политику, предназначенную для достижения этих целей. Поставленные цели являются для ИФР ориентирами при оценке эффективности и результативности и позволяют сопоставлять ее реальные показатели с ожидаемыми. Эти цели должны создаваться для укрепления доверия среди участников ИФР. Цели в области операционной надежности должны включать целевые показатели деятельности и уровни обслуживания. Целевые показатели деятельности и уровни обслуживания должны определять как качественные, так и количественные критерии операционных показателей и четко устанавливать стандарты функционирования, которые планирует соблюдать ИФР. ИФР должна осуществлять регулярные мониторинг и оценку того, обеспечивает ли система достижение целевых показателей деятельности и уровней обслуживания. Рабочие характеристики системы должны регулярно доводиться до сведения высшей администрации, соответствующих комитетов совета, участников и компетентных органов. Кроме того, операционные цели ИФР должны периодически пересматриваться с учетом новых технологий и развития коммерческой деятельности.

Контроль происшествий

3.17.10. ИФР должна иметь установленные комплексные и документально оформленные процедуры регистрации, отчетности, анализа и разрешения всех операционных происшествий. После каждого значительного нарушения ИФР должна проводить "постинцидентный" анализ для выявления причин и необходимого усовершенствования обычных операций или механизмов обеспечения непрерывности деятельности. Такой анализ должен при необходимости включать участников ИФР.

Рабочая производительность

3.17.11. ИФР должна обеспечивать наличие масштабируемых мощностей, адекватных для обработки увеличенных стрессовых объемов операций и достижения целевого уровня обслуживания, например, необходимой скорости обработки. В частности, ТР должен иметь масштабируемые мощности, адекватные для поддержки необходимых исторических данных. Управление пропускной способностью требует, чтобы ИФР на постоянной основе осуществляла мониторинг, анализ и тестирование (в том числе стресс-тестирование) фактической производительности и показателей системы. ИФР должна тщательно прогнозировать спрос и готовить соответствующие планы для адаптации к любым вероятным изменениям объема коммерческой деятельности или технических требований. Эти планы должны быть основаны на применении надежной комплексной методики, чтобы обеспечивать поддержание необходимых уровней обслуживания и показателей. В рамках планирования мощностей ИФР должна определить требуемый уровень резервных мощностей, учитывая при этом важность и взаимосвязанность ИФР, чтобы в случае прерывания операций система могла возобновить их и обработать все оставшиеся сделки до окончания дня.

Физическая и информационная безопасность

3.17.12. ИФР должна определить комплексные принципы обеспечения физической и информационной безопасности, учитывающие все потенциальные уязвимые стороны и угрозы. В частности, ИФР должна выработать эффективные принципы оценки и защиты уязвимых участков своих объектов от нападений, вторжения и природных катастроф. ИФР также должна иметь надежные принципы, стандарты, методы и средства контроля информационной безопасности, обеспечивающие надлежащий уровень доверия к ИФР всех заинтересованных сторон. Эти принципы, стандарты, методы и средства контроля должны предусматривать выявление, оценку и устранение угроз и уязвимых аспектов безопасности для применения в системе соответствующих средств защиты. Данные должны быть защищены от потери и утечки, несанкционированного доступа и других рисков обработки, таких как небрежность, мошенничество, слабое управление и ненадлежащий учет. Цели и принципы ИФР в области информационной безопасности должны соответствовать обоснованным коммерческим стандартам конфиденциальности, целостности, аутентификации, авторизации, невозможности отказа от авторства, доступности и возможности проведения аудита (или подотчетности).

Управление непрерывностью коммерческой деятельности

3.17.13. Ключевой составляющей системы управления операционным риском ИФР является управление непрерывностью коммерческой деятельности. План непрерывности деятельности должен содержать точно определенные цели, включать политику и процедуры, предоставляющие возможность быстрого восстановления и своевременного возобновления критических операций после прерывания обслуживания, в том числе в случае широкомасштабного или значительного нарушения. ИФР должна точно распределять обязанности по планированию непрерывности деятельности и выделять достаточные ресурсы для этого планирования. План должен определять события, представляющие значительный риск нарушения операций, в том числе события, которые могли бы вызвать широкомасштабные или значительные нарушения, и меры, которые должны приниматься, и уделять особое внимание влиянию таких событий на работу критических инфраструктур и оказание услуг. План непрерывности деятельности ИФР должен обеспечивать достижение ИФР договорных уровней обслуживания при наступлении таких событий. План непрерывности деятельности должен учитывать как внутренние, так и внешние угрозы и определять и оценивать влияние каждой угрозы. В дополнение к мерам реагирования план непрерывности деятельности ИФР может включать меры по предотвращению нарушений критических операций. Все аспекты плана непрерывности деятельности должны быть оформлены точной и полной документацией.