Новое регулирование в области непрерывности бизнеса

Нацбанк КазахстанаС 1 января 2015 года в Республике Казахстан  вступает в действие Постановление Правления Нацбанка Казахстана №29 «Об утверждении Правил формирования системы управления рисками и внутреннего контроля для банков второго уровня«. Документ заслуживает пристального внимания по ряду причин.

Во-первых, для объектов регулирования, т.е. казахстанских банков, документ определяет значительное количество обязательных для выполнения требований в различных областях, в т.ч. и в части непрерывности бизнеса.

Во-вторых, это первый отраслевой регулирующий документ в области непрерывности бизнеса (из тех, которые я встречал), который столь подробно и толково описывает требования к предметной области. Продолжить чтение «Новое регулирование в области непрерывности бизнеса»

Требования по непрерывности в контексте 161-ФЗ «О национальной платежной системе»

Наряду с широко обсуждаемыми требованиями Банка России по информационной безопасности, предъявляемыми к участникам платежных систем, существует еще и Положение №379-П «О бесперебойности функционирования платежных систем и анализе рисков в платежных системах«.  Оно гораздо меньше на слуху,но тем не менее определяет достаточно много требований к обеспечению непрерывности деятельности субъектов платежных систем. К 1 января 2013 года во исполнение Положения №379-П должны появиться требования от операторов ПС для остальных субъектов ПС, но уже сейчас имеет смысл начинать готовиться к их появлению — инициировать проекты по непрерывности, проводить анализ рисков, анализ воздействия на бизнес — это позволит с большей вероятностью уложиться в сроки, объявленные операторами ПС (в первую очередь, Банком России).

Посмотрим внимательно, какие требования будут предъявляться к субъектам ПС.

В тексте будут активно использоваться сокращения:
БФПС — бесперебойность функционирования платежной системы;
ПС — платежная система.

Основные требования в 379-П предъявляются к операторам ПС — они должны к 1 января 2013 года:

  • обеспечить регламентацию порядка обеспечения БФПС;
  • организовать деятельность по реализации порядка обеспечения БФПС;
  • определить показатели БФПС и методики анализа рисков в ПС.

Сами субъекты ПС накроет уже второй волной, когда операторы ПС разработают все необходимые требования и регламенты. Продолжить чтение «Требования по непрерывности в контексте 161-ФЗ «О национальной платежной системе»»

Принудительный бэкап

Во вчерашних «Ведомостях» мое внимание привлекла статья «Почему система страхования вкладов не всегда работает«. Проблема, которая обсуждается в статье — с какими проблемами могут столкнуться вкладчики банков, прекративших свое существование, если реестр вкладчиков и информация по счетам по какой-либо причине, случайно или преднамеренно, пропадет. Как выясняется, участие банка в системе страхования вкладов еще не является панацеей, и, если подходить к вопросу совсем формально, то (цитата): Продолжить чтение «Принудительный бэкап»

Стандарты и регулирование в управлении непрерывностью бизнеса

BCI выпустил очередную обновленную (уже шестую) версию документа Business Continuity Management Legislations, Regulations and Standard, обобщающего стандарты и документы регуляторов, касающиеся непрерывности бизнеса, по всему миру.

Документ потихоньку растет. Россия отмечена уже целыми двумя документами из финансовой сферы, СТО БР ИББС 1.0-2010 и 242-П.

Регулирование в области непрерывности бизнеса в России и в мире

BCI опубликовал новую, 4 версию документа Business Continuity Management Legislations, Regulations and Standards. Документ содержит обзор принятых в различных странах мира законодательных актов, документов отраслевого регулирования, стандартов и рекомендаций, посвященных непрерывности бизнеса, или частично затрагивающих данный вопрос. Довольно познавательно.

Из Российского регулирования  в документ попала инструкция Банка России 242-П, но не попал стандарт СТО БС ИББР-1.0-2010, о чем я уже написал автору документа 🙂 Кстати, 22 июня Банк России официально опубликовал информацию о вводе в действие новых версий документов комплекта БР ИББС.

Business Impact Analysis федерального масштаба

В последний день прошлого года Минюст зарегистрировал приказ  Министерства экономического развития №470 от 16 ноября 2009 года «О требованиях к технологическим, программным и лингвистическим средствам обеспечения пользования официальными сайтами федеральных органов исполнительной власти».

Приказ, среди прочего, устанавливает целевые показатели восстановления для сайтов федеральных органов:

RTO — 4 часа

Продолжить чтение «Business Impact Analysis федерального масштаба»

BS25999 по-русски

С 12 января 2010 года вступают в силу два российских стандарта по непрерывности бизнеса, «идентичные национальным стандартам Великобритании BS 25999-x». Стандарты носят легко запоминающийся номер 53647.x (ГОСТ Р 53647.1 − 2009 «Менеджмент непрерывности бизнеса. Часть 1. Практическое руководство» и ГОСТ Р 53647.2 − 2009 «Менеджмент непрерывности бизнеса. Часть 1. Требования»).

Перевод не вызывает желания сказать «вау», поэтому при прочих равных я бы рекомендовал пользоваться первоисточником. Тем не менее, наличие отечественного стандарта в данной области — факт без сомнения позитивный.

Типовой план ОНиВД для банков

Анализируя запросы, по которым читатели попадают на этот блог, я обратил внимание, что достаточно большой процент запросов посвящен поиску типовых планов ОНиВД для банков. Потребность вполне обоснованная — банковская сфера на сегодняшний день единственная в России, где присутствует четкое регулирование в области непрерывности деятельности (Положение Банка России №242-П). При этом, если крупные банки могут себе позволить выделенный персонал и привлечение внешних консультантов для выполнения этой работы, то в средних и малых банках функция ОНиВД как правило дается «в нагрузку» кому-то из уже существующих сотрудников.

Внутри своей компании мы уже обсуждали возможность сделать типовое решение для банков, которое позволит провести анализ воздействия на бизнес, оценку рисков и на основе собранной информации сформировать типовой план ОНиВД. В США такое решение достаточно успешно функционирует — система PlaNET, разработанная SunGard Availability Solutions на основе продуктов LDRPS и BIA Professional с ограниченной функциональностью. Основные ограничения, внесенные в продукт  —  это невозможность изменения шаблонов планов, опросных листов и т.п. Взамен этого заказчик получает встроенную в продукт методологию проведения анализа  воздействия на бизнес, оценки рисков и типовые планы, учитывающие специфику банковской деятельности.

Со своей стороны, мы (Алмитек) готовы сделать типовое решение по созданию планов ОНиВД на движке Continuity Management Solution, включающем в себя BIA Professional, Risk Assessment и LDRPS. Но для того, чтобы этот проект был успешен, нам необходимо две вещи:

  • Реальный интерес к продукту со стороны рынка, подтвержденный готовностью платить за такой сервис сумму порядка 30 тыс. рублей в месяц;
  • Несколько банков, которые согласятся выступить первыми пользователями решения, и примут участие в опытной эксплуатации продукта. Взамен эти банки получат более выгодные условия предоставления данного сервиса.

Если вы представляете банк, которому может быть интересно либо использовать готовый сервис, либо принять участие в его создании, я буду признателен за короткое письмо на адрес bcp@almitech.ru, в котором вы обозначите ваш интерес к решению.

Обеспечение непрерывности деятельности: Мифы и реальность

В августовском номере Аналитического банковского журнала вышла наша с Павлом Лепешкиным (Банк России, зав. сектором Департамента банковского регулирования и надзора) статья, посвященная Положению Банка России №242-П под названием Обеспечение непрерывности деятельности — Мифы и реальность.

Работая над статьей, мы старались максимально избежать пересказа текста Положеня 242-П, сфокусировавшись на практических рекомендациях по построению системы ОНиВД.

Кроме того, людям, имеющим опыт в управлении непрерывностью бизнеса (или ОНиВД в терминах 242-П), но не знакомых близко с Базельскими документами, возможно будет интересно обратить внимание на достаточно подробно изложенную Павлом трактовку понятий операционного риска.

ЦБ по прежнему лидирует

Банк России, который в этом году заметно вырвался вперед по отношению к остальным регуляторам, продолжает поддерживать статус лидера. На этот раз — в части информационной поддержки сообщества.

В 15 выпуске издания «Платежные и расчетные системы» ЦБ опубликовал переводы сразу двух документов в области непрерывности бизнеса в финансовой сфере: «Руководящие принципы обеспечения непрерывности бизнеса» Базельского банковского комитета (Банк по международным расчетам), и «Рекомендации по наблюдению за непрерывностью деятельности для системно значимых платежных систем» Европейского Центробанка.

Первый документ, как известно, послужил основой при выпуске изменений к Инструкции 242-П, поэтому на нем я остановлюсь поподробнее. Второй тоже достаточно любопытно прочитать, среди прочих моментов он дает чуть более широкий взгляд на целевые показатели обеспечения непрерывности деятельности, ставя для ряда участников рынка по главу угла влияние от прерывания деятельности не на их собственный бизнес, а на платежную систему на уровне страны (точнее говоря, Еврозоны). Несмотря на то, что документ ориентирован на финансовые организации стран Еврозоны, прочитать стоит, тем более, что документ небольшой. Единственное, рекомендую читать в оригинале, т.к. перевод этого документа, в отличие от «Руководящих принципов…», сильно оставляет желать лучшего.

Теперь вернемся к «Руководящим принципам…»

Поскольку этот документ во многом лег в основу измений к 242-П, достаточно интересно посмотреть, что из семи принципов вошло в 242-П, и в каком виде. Итак, по порядку.

Принцип 1. Ответственность совета директоров и высшего руководства.
«Советы директоров и высшее руководство организаций несут коллективную ответственность за непрерывность бизнеса организации.»

Принцип безусловно разумный, и, среди прочего, пересекается с рекомендациями BS 25999. Однако, в 242-П по каким-то причинам эти рекомендации не вошли. Тем не менее, основываясь на своем опыте, я бы рекомендовал максимально стараться воплотить его в жизнь — система будет работать горадо эффективнее.

Принцип 2. Крупные операционные нарушения.
«Участники финансового сектора и финансовые органы при формировании подхода к управлению непрерывностью бизнеса должны учитывать риск крупного операционного нарушения. Финансовым органам также следует оценить их собственную реакцию на потенциальные крупные операционные нарушения, которые могут затруднить проведение операций участниками финансового сектора или финансовой системой, за работу которой они несут ответственность.»

Тезис о том, что планы ОНиВД должны предусматривать возможность масштабных ЧС в 242-П вошел, и даже был дополнен ссылками на Российские нормативные документы. А вот рекомендации по поводу альтернативных площадок остались за кадром.

Принцип 3. Цели восстановления
«Участники финансового сектора должны сформулировать для себя цели восстановления, учитывающие потенциальный риск, который они представляют для операций финансовой сферы. Предпочтительно, чтобы формулировки таких целей восстановления были согласованы с соответствующими финансовыми органами или разрабатывались ими.»

Если в «Принципах…» делается упор на возможной влияние на финансовую систему в целом, то 242-П больше сфокусировано на стандартных для анализа воздействия на бизнес аспектах, т.е. влияние на бизнес кредитной органиации, как таковой.

Принцип 4. Обмен информацией.
«Участники финансового сектора и финансовые органы должны включать в свои планы обеспечения непрерывности бизнеса процедуры для обмена информацией во время крупного операционного нарушения внутри организации и с соответствующими внешними сторонами.»

Принцип нашел свое отражение в 242-П (Пункт 7 Приложения 5), хотя и в более общей форме.

Принцип 5. Трансграничный обмен информацией.
«Процедуры обмена информацией для участников финансового сектора и финансовых органов на случай крупных операционных нарушений, затрагивающих несколько стран, должны предусматривать обмен информацией с финансовыми органами, действующими в пределах других юрисдикций.»

Пункт разумный, но учитывая не очень высокий уровень зрелости нашей банковской системы в области непрерывности бизнеса, а также не такой высокий уровень интеграции в мировую банковскую систему — пока не нашел своего отражения в 242-П.

Принцип 6. Проверки (тестирование).
«Участники финансового сектора и финансовые органы должны производить проверку своих планов
обеспечения непрерывности бизнеса, оценивать их эффективность и соответствующим образом совершенствовать управление непрерывностью бизнеса.»

 Здесь 242-П раскрывает вопрос даже более подробно. Единственное, пожалуй, что было исключено — это крупномасштабное тестирование с вовлечением множества кредитных организаций. Наверное, не самое сейчас подходящее время — не все могут выдержать…

Принцип 7. Контроль за управлением непрерывностью бизнеса со стороны финансовых органов
«Финансовые органы должны включать в практику своей работы осуществление контроля за управлением непрерывностью бизнеса для проведения оценки участников финансового сектора, находящихся в сфере их ответственности.»

Этот пункт относится скорее к деятельности самого ЦБ, и появление изменений к 242-П можно считать первым шагом на пути выполнения этого принципа.

Обобщая все вышесказанное, можно рискнуть сделать следующие выводы:

  1. В некоторых аспектах «Руководящие принципы…» оказываются более подробными, чем 242-П, соответственно, и в этих вопросах ими можно и нужно пользоваться. Равно как и другими стандартами, такими как BS 25999, BS 25777.
  2.  «Руководящие принципы…» дают некоторое представление, в какую сторону, скорее всего, будет развиваться регулирование со стороны ЦБ.