Кибербезопасность в условиях электронного банкинга. Практическое пособие

Согласно рекомендациям зарубежных органов банковского регулирования и надзора, при применении кредитной организацией технологий ЭБ необходимо разрабатывать методики проверок по отдельным направлениям ДБО, включая вопросы контроля:

– над подразделениями информационных технологий;

– содержанием и ведением веб-сайта, используемого кредитной организацией;

– бухгалтерским учетом операций, совершаемых через интернет, и отражением соответствующих данных в отчетности кредитной организации;

– функционированием, финансовым состоянием и аппаратно-программным обеспечением провайдеров необходимых кредитной организации услуг;

– поставщиками программного обеспечения СЭБ;

– мероприятиями, осуществляемыми службой обеспечения информационной безопасности кредитной организации.

Перечень основных вопросов, связанных с осуществлением внутреннего контроля, по которым кредитная организация должна принять внутренние документы, предусмотрен Приложением 2 к Положению № 242-П. Основные способы (методы) осуществления проверок СВА, которые следует использовать кредитной организации, предусмотрены Приложением 3 к Положению № 242-П. При этом основными и минимально необходимыми являются следующие вопросы:

– имеется ли в кредитной организации внутренний документ, определяющий порядок планирования работы СВА и СВК?

– определен ли во внутреннем документе порядок организации, проведения, оформления и реализации материалов проверок?

– разработаны ли методики проверки вопросов, связанных с применением кредитной организацией технологий ЭБ?

7.1.3.4. Организация работы службы внутреннего аудита и службы внутреннего контроля с результатами проверок применения технологий электронного банкинга

С учетом требований Положения № 242-П необходимо регламентировать порядок доведения результатов проверок до сведения руководства кредитной организации, что может быть реализовано следующим образом.

Руководитель СВК после анализа результатов проверки и плана мероприятий по устранению выявленных недостатков представляет руководству кредитной организации служебную записку, в которой кратко освещаются состояние дел в проверенном подразделении и принятые меры по устранению вскрытых недостатков. Серьезные упущения и нарушения должны получать в записке исчерпывающее отражение с указанием характера нарушения, его последствий, причин появления, конкретных должностных лиц, в результате действия или бездействия которых оно было допущено. В записке излагаются также рекомендации руководству кредитной организации и подразделения, в котором проведена проверка, предложения по совершенствованию внутреннего контроля, предлагаются меры по устранению выявленных недостатков. К записке прилагаются акт проверки, разработанный план мероприятий, при необходимости – другие документы.

СВА осуществляет контроль эффективности мер, принятых подразделениями и органами управления по результатам проверок и обеспечивающих снижение уровня выявленных рисков, или документирование принятия руководством подразделения и (или) органами управления решения о приемлемости уровня и сочетания выявленных рисков для кредитной организации.

В кредитной организации должен быть установлен порядок, в соответствии с которым СВА не реже одного раза в полгода предоставляет совету директоров (наблюдательному совету), единоличному исполнительному органу (его заместителям) информацию об эффективности организации процедур внутреннего контроля, в том числе об эффективности принятых мер по выполнению рекомендаций и устранению выявленных нарушений.

После окончания проверки проверенное подразделение кредитной организации составляет план мероприятий по устранению выявленных недостатков (далее – план мероприятий) в области ЭБ. В плане мероприятий рекомендуется отражать конкретные действия по устранению выявленных нарушений, при необходимости запланировать обучение сотрудников подразделения, разработку новых (дополнение, изменение действующих) нормативных документов, внесение изменений в технологию работы. В плане необходимо указывать сроки исполнения мероприятий и ответственных за исполнение.

При необходимости проводится деловое совещание с участием всего коллектива проверенного подразделения, где обсуждаются допущенные недостатки, принятые меры по их устранению, причины, по которым недостатки стали возможными, меры, которые необходимо принять для недопущения подобных недостатков, рассматриваются рекомендации управления внутреннего контроля. По результатам обсуждения в план мероприятий вносятся необходимые изменения и дополнения.