Про затвердження Положення про організацію системи управління ризиками в банках України та банківських групах

5) розробляє процедури визначення умов договорів із TPSP-постачальниками з урахуванням специфіки послуг, що надаються TPSP-постачальниками, та їх впливу на процеси та діяльність банку.

290 - 31 . Банк забезпечує належний рівень документування процесу і результатів оцінки ризиків за договорами з TPSP-постачальниками.

{Розділ VI доповнено новою главою 45 - 4 згідно з Постановою Національного банку № 70 від 30.06.2026 }

45 - 5 . Здійснення комплексної перевірки критичного TPSP-постачальника перед установленням договірних відносин

290 - 32 . Банк перед укладенням критичного договору з TPSP-постачальником здійснює комплексну перевірку критичного TPSP-постачальника.

290 - 33 . Банк з метою комплексної перевірки критичного TPSP-постачальника здійснює:

1) збір та аналіз інформації, необхідної для визначення відповідності критичного TPSP-постачальника політиці залучення TPSP-постачальників;

2) оцінку відповідності критичного TPSP-постачальника вимогам, визначеним у пункті 290 - 15 глави 45 - 2 розділу VI цього Положення;

3) оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;

4) оцінку відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290 - 40 , 290 - 41 глави 45 - 5 розділу VI цього Положення;

5) аналіз ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником;

6) оцінку спроможності банку належно управляти ризиком третіх сторін, пов’язаним з укладенням договору з критичним TPSP-постачальником;

7) обґрунтування фінансової та операційної доцільності укладення договору з критичним TPSP-постачальником.

290 - 34 . Банк з метою визначення відповідності критичного TPSP-постачальника політиці залучення TPSP-постачальників здійснює аналіз отриманої від критичного TPSP-постачальника інформації про:

1) проведену критичним TPSP-постачальником власну оцінку ефективності системи внутрішнього контролю та управління ризиками, включаючи управління ризиком ICT, кіберризиком та іншими операційними ризиками за критеріями, визначеними для регульованих TPSP-постачальників / регульованої послуги TPSP-постачальника - уповноваженим державним органом, для інших критичних TPSP-постачальників - банком з урахуванням вимог цього Положення;

2) наявність у критичного TPSP-постачальника достатньої кількості кваліфікованих і досвідчених працівників для забезпечення безперервного надання послуг банку, включаючи доступність таких послуг під час збоїв у роботі критичного TPSP-постачальника;

3) спроможність критичного TPSP-постачальника управляти ризиком ланцюга постачання, включаючи спроможність виявляти ключові n-ні сторони;

4) операційну та технічну спроможність критичного TPSP-постачальника забезпечувати власну безперебійну діяльність;

5) спроможність критичного TPSP-постачальника надавати банку послуги, що забезпечують:

дотримання банком політики залучення TPSP-постачальників;

досягнення банком стратегічних цілей щодо розширення діяльності із застосуванням сучасних технологій;

дотримання банком вимог законодавства України та встановлених обмежень (за наявності);

здійснення банком безперервної діяльності з урахуванням визначеного рівня толерантності до збоїв, включаючи реалізацію заходів із відновлення систем та сервісів ICT після збоїв;

6) готовність оперативно надавати банку на його запит необхідну інформацію.

290 - 35 . Банк здійснює оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефеціарних власників та керівників з урахуванням ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін.

290 - 36 . Банк включає до ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників щонайменше такі ознаки:

1) щодо фізичної особи - ознаки, установлені в пункті 65 глави 6 розділу II Положення № 149;

2) щодо юридичної особи - ознаки, установлені в пункті 69 глави 7 розділу II Положення № 149.

290 - 37 . Банк додатково до ознак, установлених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, установлює у внутрішньобанківських документах щодо управління ризиком третіх сторін ознаки небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, включаючи відсутність підтверджених фактів вчинення кримінальних правопорушень проти власності, корупційних кримінальних правопорушень / кримінальних правопорушень, пов’язаних із корупцією, кримінальних правопорушень у сфері господарської діяльності, з метою комплексної, своєчасної та адекватної оцінки ризиків, на які може наражатися банк унаслідок установлення / підтримання відносин із критичним TPSP-постачальником.

290 - 38 . Банк з метою здійснення оцінки ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників надсилає критичному TPSP-постачальнику запит про отримання документів та/або інформації, необхідних / необхідної для підтвердження їх ділової репутації.

Банк здійснює оцінку ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників шляхом:

1) перевірки достовірності поданих / наданої критичним TPSP-постачальником документів та/або інформації;

2) перевірки відсутності в критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників ознак небездоганної ділової репутації, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін.

290 - 39 . Банк визначає наявність ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників на підставі судження, сформованого з урахуванням інформації, отриманої від критичного TPSP-постачальника, а також інформації, що є в державних реєстрах, інформаційних системах органів державної влади, медіа, інших відкритих джерелах.

290 - 40 . Банк здійснює аналіз операційної спроможності критичного TPSP-постачальника надавати послуги відповідно до умов договору на відповідність щонайменше таким критеріям:

1) наявність щодо критичного TPSP-постачальника документального підтвердження:

належного (релевантного) досвіду протягом не менше 12 місяців поспіль, що передують такому аналізу, виконання ним укладених договорів / угод про рівень сервісу / обслуговування (SLA);

спроможності забезпечувати виконання зобов’язань, включаючи наявність кваліфікованих і досвідчених працівників, необхідних для виконання таким TPSP-постачальником умов договору / договорів із банком;

2) наявність у критичного TPSP-постачальника у власності або довгостроковій оренді / лізингу активів, достатніх для здійснення операційної діяльності, надання послуг, належного та своєчасного виконання умов договору / договорів із банком;

3) немає судових спорів щодо невиконання / неналежного виконання критичним TPSP-постачальником умов договору / договорів / угод про рівень сервісу / обслуговування (SLA), які за обґрунтованим судженням банку можуть негативно вплинути на належне виконання критичним TPSP-постачальником договору з банком.

Банк під час здійснення аналізу операційної спроможності критичного TPSP-постачальника на відповідність критеріям, визначеним у пункті 290 - 40 глави 45 - 5 розділу VI цього Положення, має право враховувати результати перевірки критичного TPSP-постачальника зовнішнім аудитором або іншим незалежним суб’єктом, який проводить незалежну професійну діяльність, а також відповідність критичного TPSP-постачальника вимогам національних стандартів України (ДСТУ), міжнародних стандартів (ISO) за відповідними напрямами діяльності критичного TPSP-постачальника, підтверджену діючими станом на дату здійснення аналізу сертифікатами.

290 - 41 . Банк здійснює аналіз фінансової спроможності критичного TPSP-постачальника надавати послуги відповідно до умов договору на відповідність щонайменше таким критеріям:

1) відповідність значень показників фінансового стану критичного TPSP-постачальника, визначених банком у внутрішньобанківських документах щодо управління ризиком третіх сторін;

2) немає негативного розміру власного капіталу критичного TPSP-постачальника, що підтверджується фінансовою звітністю за останній звітний період;

3) немає невиконаних критичним TPSP-постачальником понад 180 календарних днів фінансових зобов’язань перед кредиторами / контрагентами та/або органами державної влади на суму, що перевищує 50 тисяч гривень, або 10% від сукупної суми зобов’язань за договором, укладеним з таким TPSP-постачальником. Банк у разі наявності факту щодо невиконаних критичним TPSP-постачальником фінансових зобов’язань на підставі сформованого судження має право прийняти рішення про те, що такий факт не має негативного впливу на належне виконання критичним TPSP-постачальником договору з банком.

290 - 42 . Аналіз ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником, повинен включати щонайменше оцінку:

1) розподілу відповідальності між банком і критичним TPSP-постачальником згідно з умовами договору щодо забезпечення безпеки, включаючи інформаційну безпеку та кіберзахист, а також стабільності під час надання послуг;

2) прозорості структури власності критичного TPSP-постачальника. Структура власності TPSP-постачальника є непрозорою, якщо неможливо визначити всіх кінцевих бенефіціарних власників TPSP-постачальника через, але не виключно, наявність ознак номінального володіння, використання трастів або інших подібних правових утворень, офшорних зон, неповне розкриття або відмову в розкритті, або надання TPSP-постачальником недостовірної / неповної інформації, або інші обставини, що унеможливлюють встановлення кінцевих бенефіціарних власників;

3) ризику концентрації послуг;

4) ризиків, пов’язаних з географічним регіоном фактичного розташування критичного TPSP-постачальника, які, серед іншого, пов’язані зі стихійними лихами, економічною, соціальною, політичною сферами, правовим та регуляторним середовищем країни, з території якої надаватиметься відповідна послуга;

5) наявності потенційного конфлікту інтересів між банком та критичним TPSP-постачальником, включаючи ключові n-ні сторони;

6) усієї доступної інформації щодо діяльності критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, включаючи наявність або відсутність поточних, нещодавно завершених чи незавершених процесів чи обставин, що можуть свідчити про підвищений операційний, включаючи юридичний / репутаційний ризик або комплаєнс-ризик критичного TPSP-постачальника, включаючи, але не обмежуючись результатами нещодавно завершених регуляторних перевірок, застосованих заходів впливу [штрафів, приписів, зупинення повністю або частково (тимчасове призупинення) або припинення (анулювання) ліцензій, обмеження діяльності], результатами внутрішніх розслідувань, адміністративних, цивільних або кримінальних проваджень;

7) доступності альтернативних критичних TPSP-постачальників;

8) інших фактів, подій, обставин, що можуть свідчити про наявність ризиків, на які може наражатися банк у разі укладення договору з критичним TPSP-постачальником.

290 - 43 . Банк оцінює ризик концентрації послуг під час здійснення комплексного аналізу критичного TPSP-постачальника та протягом усього життєвого циклу відносин з ним.

Ризик концентрації послуг є щонайменше в разі наявності одного або кількох із таких випадків:

1) надання одним TPSP-постачальником кількох критичних послуг або кількох некритичних послуг, які в сукупності є критичними для безперервності діяльності банку;

2) надання послуг критичним TPSP-постачальником, який є єдиним на ринку, якщо немає альтернативних критичних TPSP-постачальників;

3) наявність концентрації критичних послуг або кількох некритичних послуг, що надаються одним або кількома TPSP-постачальниками та/або в одному географічному регіоні, які в сукупності є критичними для безперервності діяльності банку;

4) наявність залежності від однієї ключової n-ї сторони кількох критичних TPSP-постачальників, що надають критичні послуги, або кілька некритичних послуг, які в сукупності є критичними для безперервності діяльності банку.

Банк здійснює оцінку ризику концентрації послуг з урахуванням інформації, яка міститься в Переліку договорів та в карті взаємозв’язків і взаємозалежностей між TPSP-постачальниками.

290 - 44 . Банк з метою обґрунтування фінансової та операційної доцільності укладення договору з критичним TPSP-постачальником здійснює щонайменше оцінку:

1) переваг та недоліків для банку від укладення договору;

2) витрат, які банку необхідно здійснити відповідно до умов договору;

3) потенційних ризиків, на які може наражатися банк унаслідок укладення / неукладення договору, включаючи ризик несвоєчасної заміни застарілих систем та сервісів, необхідності найму та утримання кваліфікованих та досвідчених працівників;

4) спроможності банку достроково розірвати критичний договір з критичним TPSP-постачальником (включаючи одностороннє припинення договірних відносин за ініціативою банку), ураховуючи фінансові, юридичні та репутаційні наслідки такого розірвання, а також ураховуючи вартість, строки та можливість укладення договору з аналогічним предметом регулювання з іншим альтернативним критичним TPSP-постачальником або можливість здійснення такої діяльності без залучення TPSP-постачальника, або із застосуванням іншого визначеного банком варіанта;

5) спроможності банку запроваджувати нові технології, а також потенційних ризиків банку, пов’язаних із використанням / застосуванням таких технологій.

290 - 45 . Банк у разі виявлення невідповідності критичного TPSP-постачальника вимогам пункту 290 - 15 глави 45 - 2 розділу VI цього Положення приймає рішення про відмову від встановлення договірних відносин із таким TPSP-постачальником.

290 - 46 . Банк у разі виявлення щодо критичного TPSP-постачальника ознак небездоганної ділової репутації, установлених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак небездоганної ділової репутації, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін, та/або невідповідності критеріям операційної та фінансової спроможності, визначеним у пунктах 290 - 40 , 290 - 41 глави 45 - 5 розділу VI цього Положення, приймає рішення про доцільність встановлення або відмову від встановлення договірних відносин із таким TPSP-постачальником.

Банк у разі прийняття рішення про встановлення договірних відносин із критичним TPSP-постачальником починаючи з дня укладення договору та до дня забезпечення критичним TPSP-постачальником усунення ознак небездоганної ділової репутації, забезпечення відповідності критеріям операційної та фінансової спроможності:

1) визначає рівень ризику третіх сторін за договором із таким TPSP-постачальником як високий;

2) ураховує такий ризик під час здійснення стрес-тестування ризику третіх сторін за базовим сценарієм;

3) здійснює оцінку потенційного впливу повного припинення надання таким TPSP-постачальником послуг банку на безперервність діяльності та профіль ризику банку.

{Розділ VI доповнено новою главою 45 - 5 згідно з Постановою Національного банку № 70 від 30.06.2026 }

45 - 6 . Укладення договору з TPSP-постачальником

290 - 47 . Банк укладає договір з TPSP-постачальником у письмовій (електронній) формі з накладанням електронного підпису або підпису, прирівняного до власноручного підпису відповідно до Закону України “Про електронну ідентифікацію та електронні довірчі послуги”, та з урахуванням вимог, визначених цим Положенням.

290 - 48 . Умови договору з TPSP-постачальником повинні:

1) узгоджуватися з політикою залучення TPSP-постачальників, політикою, порядками та процедурами банку щодо управління ризиком третіх сторін;

2) ураховувати критичність послуги, а також вимоги законодавства країн, в яких банк і TPSP-постачальник здійснюють свою діяльність.

290 - 49 . Банк у договорі з TPSP-постачальником визначає щонайменше:

1) ключові умови щодо рівня сервісу / обслуговування (SLA), якщо не укладено окрему угоду про рівень сервісу / обслуговування (SLA);

2) обов’язок TPSP-постачальника надавати банку точну, повну та своєчасну інформацію про наявність вимог, обмежень та заборон, зазначених у пункті 290 - 15 глави 45 - 2 розділу VI цього Положення, а в разі ненадання такої інформації та/або встановлення невідповідності TPSP-постачальника вимогам пункту 290 - 15 глави 45 - 2 розділу VI цього Положення - право банку розірвати договір в односторонньому порядку;

3) обов’язок TPSP-постачальника надавати банку точну, повну та своєчасну інформацію, яка впливає на виконання та/або пов’язана з виконанням умов договору, включаючи інформацію про управління TPSP-постачальником ризиком третіх сторін, інциденти TPSP-постачальника;

4) права TPSP-постачальника щодо отримання від банку необхідної інформації / даних згідно з угодою про рівень сервісу / обслуговування (SLA), дотримання банком встановлених технічних вимог та забезпечення банком доступу TPSP-постачальнику до об’єктів, пов’язаних із наданням послуг, у встановленому банком порядку (за потреби);

5) зобов’язання TPSP-постачальника щодо забезпечення безперервності діяльності щодо надання послуг банку та відповідальність за невиконання таких зобов’язань;

6) вартість послуг, включаючи можливість / умови диференціації їх вартості залежно від обсягу використання послуги банком;

7) права власності, доступу та використання логічних активів, включаючи дані, додатки, інтерфейси прикладного програмування (API), моделі, права інтелектуальної власності, та фізичних активів, включаючи обладнання, документацію, приміщення, а також особливості передавання таких активів (необхідний час та формат), включаючи в разі припинення діяльності;

8) зобов’язання та відповідальність, пов’язані з безпекою, включаючи інформаційну безпеку та кіберзахист, стабільність / надійність надання послуг;

9) місце (регіон, країна), з якого надаватимуться послуги TPSP-постачальником, та місцезнаходження (регіон, країна) центрів обробки та збереження даних TPSP-постачальником;

10) уникнення ризику змішування TPSP-постачальником інформації банку з інформацією інших його клієнтів;

11) право банку на отримання відшкодування від TPSP-постачальника, обставини, умови та порядок отримання банком такого відшкодування;

12) порядок розгляду скарг клієнтів банку, пов’язаних з отриманням послуг від TPSP-постачальника, та вирішення спорів;

13) дії сторін у разі дострокового розірвання договору з TPSP-постачальником через невиконання / неналежне виконання сторонами зобов’язань за договором, включаючи вимоги щодо попереднього повідомлення про наміри дострокового розірвання договору та мінімальні строки для такого повідомлення;

14) положення про вибір права та підсудності в разі виникнення спорів між банком і TPSP-постачальником, за винятком виключної підсудності (з наданням переваги застосуванню права України та підсудності справам судам України);

15) умови щодо підтримки TPSP-постачальником виходу банку з відносин у разі дострокового розірвання договору з таким TPSP-постачальником;

16) наявність зобов’язань TPSP-постачальника про нерозголошення інформації (англійською мовою NDA - Non-disclosure Agreement), публічне розкриття якої матиме суттєвий негативний вплив на конкурентну ринкову позицію банку та/або його клієнтів / контрагентів на ринку;

17) згоду TPSP-постачальника на надання банком Національному банку на його запит інформації (за винятком інформації щодо вартості послуг та порядку її визначення), отриманої банком під час укладення та виконання договору;

18) підстави, порядок перегляду умов договору, унесення до нього змін, включаючи зміни, пов’язані зі змінами в законодавстві України, та припинення його дії, включаючи розірвання.

290 - 50 . Банк у договорі з критичним TPSP-постачальником визначає щонайменше умови, визначені в пункті 290 - 49 глави 45 - 6 розділу VI цього Положення, а також:

1) обов’язок критичного TPSP-постачальника надавати банку точну, повну та своєчасну інформацію про:

ключових n-х сторін, включаючи повідомлення про використання / зміну ключової n-ї сторони;

суттєві зміни в послугах, що надаються критичним TPSP-постачальником;

повідомлення про інциденти в ключової n-ї сторони, що впливають / можуть мати вплив на надання критичним TPSP-постачальником послуг банку;

2) обов’язок критичного TPSP-постачальника передбачати в договорах, які укладаються з ключовими n-ми сторонами, згоду ключових n-х сторін на надання банку на його запит інформації щодо ключової n-ї сторони (за винятком інформації щодо вартості послуг ключової n-ї сторони та порядку її визначення), яка впливає на виконання та/або пов’язана з виконанням такою стороною умов договору;

3) обов’язок критичного TPSP-постачальника надавати банку інформацію про діяльність ключової n-ї сторони, визначену в підпункті 7 пункту 290 - 25 глави 45 - 3 розділу VI цього Положення;

4) зобов’язання критичного TPSP-постачальника щодо забезпечення безперервності діяльності щодо надання послуг банку, а також його участі в тестуванні плану забезпечення безперервної діяльності банку та відповідальність за невиконання таких зобов’язань;

5) установлення додаткових показників ефективності виконання критичним TPSP-постачальником умов договору, включаючи інформацію про результати проведених критичним TPSP-постачальником тестування власного плану забезпечення безперервної діяльності, оцінку ефективності внутрішнього контролю, наявність скарг від його клієнтів;

6) право банку на доступ до приміщень критичного TPSP-постачальника, проведення перевірок діяльності критичного TPSP-постачальника, включаючи незалежними сторонами, та отримання інформації про діяльність критичного TPSP-постачальника, визначеної в підпункті 7 пункту 290 - 25 глави 45 - 3 розділу VI цього Положення;

7) зобов’язання критичного TPSP-постачальника щодо визначення ним у плані забезпечення безперервної діяльності:

мінімального часу безперервної роботи та максимального часу простою в наданні послуг;

максимального часового інтервалу, протягом якого втрата даних банку в разі значного інциденту / збою / відмови систем та сервісів до моменту їх відновлення вважаються допустимими для критичних бізнес-процесів та функцій банку, не перевищуючи критичного рівня втрат (англійською мовою recovery point objective) (далі - RPO);

цільового часового інтервалу на відновлення процесів і систем, що обслуговують цей бізнес-процес, після інциденту / збою / переривання діяльності (англійською мовою recovery time objective) (далі - RTO);

8) зобов’язання критичного TPSP-постачальника щодо своєчасного надання банку інформації / повідомлення про інциденти в його діяльності та/або діяльності ключової n-ї сторони, які впливають на спроможність виконувати зобов’язання, визначені в договорі, включаючи вимоги до мінімального змісту інформації, яку необхідно повідомляти, та строку її надання;

9) запровадження критичним TPSP-постачальником процесів виявлення, розслідування та усунення інцидентів, пов’язаних із послугами, що надаються банку.

290 - 51 . Банк у разі укладення договору з TPSP-постачальником, що є надавачем хмарних послуг, керується умовами та вимогами, що визначені в главі IV Положення про порядок застосування технології хмарних обчислень, затвердженого постановою Правління Національного банку України від 25 серпня 2025 року № 99.

290 - 52 . Банк у разі укладення нового договору / унесення змін до діючого договору з TPSP-постачальником оновлює карту взаємозв’язків і взаємозалежностей між TPSP-постачальниками.

{Розділ VI доповнено новою главою 45 - 6 згідно з Постановою Національного банку № 70 від 30.06.2026 }

45 - 7 . Початок договірних відносин з TPSP-постачальником та моніторинг виконання умов договору

290 - 53 . Банк для виконання умов договору з TPSP-постачальником забезпечує належну комунікацію з TPSP-постачальником та надає йому необхідну інформацію з дотриманням вимог законодавства України та внутрішньобанківських документів з метою розуміння TPSP-постачальником особливостей діяльності та бізнес-процесів банку, пов’язаних із послугами, що надаватимуться таким постачальником.

Така інформація може включати політику банку, вимоги внутрішньобанківських документів до ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників і керівників, інформацію про процеси, технології та обладнання банку.

290 - 54 . Банк після укладення договору з TPSP-постачальником з метою прийняття своєчасних та адекватних управлінських рішень щодо пом’якшення ризику третіх сторін і зменшення пов’язаних із таким ризиком втрат (збитків) здійснює:

1) на постійній основі моніторинг:

дотримання вимог пункту 290 - 15 глави 45 - 2 розділу VI цього Положення;

відсутності ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників, визначених у пункті 65 глави 6 розділу II, пункті 69 глави 7 розділу II Положення № 149, та інших ознак, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін;

можливості отримання послуг від іншого альтернативного TPSP-постачальника;

оцінки критичності послуг, що надаються TPSP-постачальником;

2) не рідше одного разу на рік моніторинг:

відповідності критичного TPSP-постачальника критеріям операційної та фінансової спроможності, визначеним у пунктах 290 - 40 , 290 - 41 глави 45 - 5 розділу VI цього Положення;

відповідності укладеного договору умовам, визначеним у пунктах 290 - 49 , 290 - 50 глави 45 - 6 розділу VI цього Положення, та дотримання TPSP-постачальником / критичним TPSP-постачальником таких умов під час виконання договору.

290 - 55 . Банк під час здійснення моніторингу виконання критичним TPSP-постачальником умов договору та його діяльності:

1) перевіряє наявність у критичного TPSP-постачальника процедур внутрішнього контролю та оцінює його спроможність виконувати договірні зобов’язання;

2) здійснює моніторинг системи внутрішнього контролю критичного TPSP-постачальника, якщо укладений з таким TPSP-постачальником договір передбачає розподіл відповідальності за надання банку послуг з іншими TPSP-постачальниками, ключовими n-ми сторонами;

3) розробляє заходи реагування на проблеми, пов’язані з неналежним виконанням критичним TPSP-постачальником умов договору;

4) здійснює аналіз відповідності діяльності критичного TPSP-постачальника політиці управління безперервною діяльністю банку;

5) здійснює моніторинг інцидентів у діяльності критичного TPSP-постачальника;

6) здійснює аналіз розроблених критичним TPSP-постачальником заходів реагування на такі інциденти та результати усунення їх наслідків;

7) здійснює моніторинг переліку ключових n-х сторін критичного TPSP-постачальника, які мають опосередкований вплив на підтримання / надання критичної послуги TPSP-постачальником банку;

8) здійснює оцінку діяльності критичного TPSP-постачальника, включаючи аналіз планових та фактичних показників діяльності, які є релевантними для врахування під час оцінки ризику третіх сторін;

9) перевіряє відповідність умов договору вимогам законодавства України та країни, з території якої надаватиметься відповідна послуга TPSP-постачальником.

290 - 56 . Моніторинг виконання TPSP-постачальником умов договору повинен узгоджуватися із:

1) системою управління ризиками банку;

2) ризиками, які були оцінені та враховані банком під час укладення договору з TPSP-постачальником;

3) новими ризиками, які виникли після укладення договору з TPSP-постачальником;

4) зобов’язаннями TPSP-постачальника згідно з укладеним з банком договором;

5) рівнем залежності критичного TPSP-постачальника від ключових n-х сторін під час надання послуг банку.

290 - 57 . Банк здійснює моніторинг виконання TPSP-постачальником умов договору, оцінку стану виконання умов договору, перегляд умов договору (за потреби) на регулярній основі, але не рідше одного разу на рік та в разі значних змін:

1) у внутрішньому операційному середовищі банку, включаючи організаційні зміни, наявність конфлікту інтересів;

2) у внутрішньому операційному середовищі критичного TPSP-постачальника, включаючи організаційні зміни, зміни місця (регіону, країни), з якого надаються послуги, упровадження нових технологій;

3) у зовнішньому середовищі, включаючи політичну, економічну, соціальну, правову та фінансову сфери, перешкоди щодо здійснення діяльності банком та критичним TPSP-постачальником.

290 - 58 . Банк у разі встановлення за результатами моніторингу невідповідності TPSP-постачальника вимогам пункту 290 - 15 глави 45 - 2 розділу VI цього Положення приймає рішення про припинення у найкоротший строк договірних відносин із таким TPSP-постачальником.

290 - 59 . Банк у разі встановлення за результатами моніторингу щодо критичного TPSP-постачальника ознак небездоганної ділової репутації, установлених у пункті 65 глави 6, пункті 69 глави 7 розділу II Положення № 149, та інших ознак небездоганної ділової репутації, установлених у внутрішньобанківських документах щодо управління ризиком третіх сторін, та/або невідповідності критеріям операційної та фінансової спроможності, визначеним у пунктах 290 - 40 , 290 - 41 глави 45 - 5 розділу VI цього Положення, та/або невідповідності укладених договорів умовам, визначеним у пунктах 290 - 49 , 290 - 50 глави 45 - 6 розділу VI цього Положення, та/або порушення критичним TPSP-постачальником таких умов під час виконання договору приймає одне з таких рішень про:

1) продовження договірних відносин із таким TPSP-постачальником;

2) розроблення плану поетапного скорочення обсягу отримуваних послуг від такого TPSP-постачальника та припинення договірних відносин із ним. Такий план повинен затверджуватися радою банку.

290 - 60 . Банк із дня встановлення за результатами моніторингу фактів, визначених в абзаці першому пункту 290 - 59 глави 45 - 6 розділу VI цього Положення, до дня їх виправлення (усунення) / припинення договірних відносин із критичним TPSP-постачальником:

1) визначає рівень ризику третіх сторін за договором із таким TPSP-постачальником як високий;

2) ураховує такий ризик під час здійснення стрес-тестування ризику третіх сторін за базовим сценарієм;

290 - 61 . Банк у разі встановлення фактів, що можуть свідчити про підвищення ризику концентрації послуг критичних TPSP-постачальників та ключових n-х сторін, збільшує частоту (періодичність) здійснення моніторингу виконання TPSP-постачальниками умов договорів.

290 - 62 . Банк для отримання впевненості у відповідності послуг, що надаються TPSP-постачальником, умовам договору має право враховувати результати зовнішніх перевірок діяльності TPSP-постачальника.

Банк для отримання впевненості у відповідності послуг, що надаються критичним TPSP-постачальником, умовам договору враховує результати перевірок (за наявності) критичного TPSP-постачальника зовнішнім аудитором або іншим незалежним суб’єктом, який проводить незалежну професійну діяльність, а також відповідність критичного TPSP-постачальника вимогам національних стандартів України (ДСТУ), міжнародних стандартів (ISO) за відповідними напрямами діяльності критичного TPSP-постачальника, підтверджену діючими станом на дату здійснення аналізу сертифікатами.

290 - 63 . Банк під час прийняття рішення про продовження / поновлення / припинення дії договору з TPSP-постачальником ураховує інформацію про виконання TPSP-постачальником умов попереднього договору.

{Розділ VI доповнено новою главою 45 - 7 згідно з Постановою Національного банку № 70 від 30.06.2026 }

45 - 8 . Припинення договірних відносин з TPSP-постачальником

290 - 64 . Банк здійснює управління процесом припинення договірних відносин з TPSP-постачальником з урахуванням:

1) закінчення строку дії договору з TPSP-постачальником;

2) наявних фактів порушення умов договору TPSP-постачальником;

3) наявних фактів невиконання / порушення TPSP-постачальником вимог законодавства України;

4) наміру банку замінити TPSP-постачальника на альтернативного TPSP-постачальника;

5) наміру банку виконувати роботи самостійно за послугами, що надаються TPSP-постачальником, використовуючи власну інфраструктуру;

6) припинення банком здійснення діяльності, для якої залучався TPSP-постачальник;

7) установлення ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників;

8) установлення невідповідності операційної та фінансової спроможності критичного TPSP-постачальника.

Банк у межах припинення договірних відносин із критичним TPSP-постачальником уживає заходів для забезпечення безперервності своєї діяльності.

290 - 65 . Банк щодо кожного критичного TPSP-постачальника розробляє та періодично (не рідше одного разу на рік) оновлює:

1) план очікуваного (запланованого) припинення отримання критичної послуги від критичного TPSP-постачальника;

2) оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника.

290 - 66 . План очікуваного (запланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен ураховувати:

1) можливість заміни критичного TPSP-постачальника, який надає банку критичну послугу;

2) наявні можливості / ресурси в банку для припинення отримання критичної послуги від критичного TPSP-постачальника, включаючи наявність та доступність фінансових ресурсів (бюджету) і технічної інфраструктури.

290 - 67 . План очікуваного (запланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен визначати:

1) часовий проміжок для повного припинення отримання послуг і поетапний графік такого припинення;

2) заходи, спрямовані на забезпечення дотримання прав, визначених у договорі з критичним TPSP-постачальником, включаючи збереження та доступність результатів перевірок, обробки конфіденційних даних, архівування, збереження або знищення даних, відкликання доступу до систем;

3) розподіл обов’язків і повноважень щодо управління виходом з відносин із критичним TPSP-постачальником;

4) процеси для своєчасного передавання до банку / нового TPSP-постачальника логічних активів у відповідному форматі, фізичних активів і персоналу (консультантів, працівників за контрактом);

5) заходи, необхідні для забезпечення узгодженості у взаємодії між підрозділами банку [включаючи підрозділ з управління персоналом, юридичний підрозділ, підрозділ контролю за дотриманням норм (комплаєнс), підрозділ інформаційних технологій] та зовнішніми зацікавленими сторонами, включаючи нового критичного TPSP-постачальника (за наявності).

290 - 68 . Оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен ураховувати залучення такого TPSP-постачальника до надання критичних послуг та замінність таких послуг.

Оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен ґрунтуватися на реалістичних сценаріях та обґрунтованих припущеннях.

290 - 69 . Оперативний план неочікуваного (незапланованого) припинення отримання критичної послуги від критичного TPSP-постачальника повинен містити:

1) часовий проміжок для повного припинення отримання послуг і поетапний графік такого припинення;

2) процеси для своєчасного передавання до банку / нового критичного TPSP-постачальника логічних активів у відповідному форматі, фізичних активів і персоналу (консультантів, працівників за контрактом);

3) затверджену та актуалізовану інформацію про працівників банку, які повинні мати відповідні повноваження, достатню кваліфікацію та навички у здійсненні діяльності з управління кризовими ситуаціями, та є відповідальними за моніторинг та ескалацію інформації щодо критичного TPSP-постачальника;

4) процес оперативного затвердження бюджету / використання резервного фонду для покриття неочікуваних додаткових витрат, пов’язаних із виходом з відносин із критичним TPSP-постачальником, включаючи залучення зовнішніх працівників і консультантів, необхідних для переходу на інші послуги, залучення альтернативного критичного TPSP-постачальника.

{Розділ VI доповнено новою главою 45 - 8 згідно з Постановою Національного банку № 70 від 30.06.2026 }

46. Виявлення та вимірювання операційного ризику

291. Банк з метою виявлення та вимірювання операційного ризику використовує такі інструменти:

1) аналіз результатів перевірок, здійснених підрозділом внутрішнього аудиту та зовнішнім аудитором;

2) створення та ведення бази внутрішніх подій операційного ризику та аналіз накопиченої в ній інформації з урахуванням вимог пункту 100 глави 13 розділу I цього Положення.

{Абзац третій пункту 291 глави 46 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

Класифікація бізнес-ліній і подій, що призводять до втрат, визначені в додатках 8, 9 до цього Положення. Інформація щодо подій операційного ризику, що вноситься в базу внутрішніх подій операційного ризику, має, щонайменше, містити складові, наведені в додатку 10 до цього Положення.

{Абзац четвертий пункту 291 глави 46 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

Банк уносить операційні події в базу внутрішніх подій операційного ризику з урахуванням визначених банком критеріїв звітування;

3) ключові показники ризику (Key Risk Indicators - KRI).

KRI є кількісним показником, який динамічно змінюється в часі та відображає зміну характеру операційного ризику. KRI використовується банком для раннього виявлення негативних тенденцій/явищ, пов'язаних з підвищенням операційного ризику, що притаманні процесам.

Банк визначає перелік показників KRI, порядок їх розрахунку та граничні значення, які забезпечують своєчасне та найбільш повне виявлення факторів операційного ризику з метою застосування своєчасних заходів щодо управління ними.

Банк розраховує показники KRI з періодичністю не рідше ніж раз на три місяці. Приклади показників KRI наведені в додатку 11 до цього Положення;

4) самооцінка операційного ризику (Risk Self Assessments).

У рамках самооцінки операційного ризику уповноважені працівники банку не рідше ніж один раз на рік:

проводять аналіз бізнес-процесів банку з урахуванням інформації щодо можливих загроз і вразливостей та оцінюють можливі втрати від них;

оцінюють ризики бізнес-процесів банку (до впровадження або перегляду контролів), ефективність контрольного середовища (запроваджених контролів) та залишкові ризики (з урахуванням запроваджених або переглянутих контролів);

5) сценарний аналіз (Scenario Analysis).

Цей інструмент застосовується шляхом формування судження працівниками підрозділу з управління ризиками та підрозділів першої лінії захисту щодо визначення можливих малоймовірних подій операційного ризику з суттєвими наслідками для банку та їх кількісної оцінки.

{Абзац п'ятнадцятий пункту 291 глави 46 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 }

292. Банк, крім обов'язкових інструментів виявлення та вимірювання операційного ризику, має право використовувати такі додаткові інструменти:

1) створення та ведення бази зовнішніх подій операційного ризику та аналіз накопиченої в ній інформації (External Data Collection and Analysis).

Інформація щодо зовнішніх подій операційного ризику вноситься до бази підрозділом другого рівня захисту на підставі інформації з відкритих джерел, спеціалізованих баз даних або в рамках обміну інформацією між банками та має містити складові, аналогічні складовим бази внутрішніх подій операційного ризику;

2) вимірювання (Measurement).

Цей інструмент застосовується підрозділом з управління ризиками шляхом побудови математичної моделі оцінки можливих втрат від операційного ризику на підставі статистичних даних щодо подій операційного ризику;

3) аналіз карт процесів (Business Process Mapping).

Метою аналізу карт процесів є виявлення етапів процесів, видів діяльності та організаційних функцій, а також операційних ризиків, притаманних процесам. Під час аналізу карт процесів аналізуються властиві операційні ризики, їх взаємозв'язок з іншими ризиками, наявні контролі та їх недоліки.

Цей інструмент застосовується підрозділом з управління ризиками шляхом формування судження щодо визначення можливих подій операційного ризику та їх кількісної оцінки на підставі власної експертної думки, а також експертної думки представників підрозділів першої лінії захисту;

4) порівняльний аналіз (Comparative Analysis).

Цей інструмент застосовується підрозділом з управління ризиками шляхом порівняння результатів застосування різних інструментів з метою об'єктивної оцінки (вимірювання) операційного ризику банку.

293. Банк забезпечує своєчасне виявлення значних подій операційного ризику та невідкладне повідомлення про такі події підрозділу з управління ризиками. Головний ризик-менеджер/підрозділ з управління ризиками не пізніше наступного робочого дня з дня отримання ним повідомлення доводить до ради банку та правління банку інформацію про значну подію операційного ризику.

{Пункт 293 глави 46 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

294. Банк затверджує порядок дослідження значних подій операційного ризику, який обов'язково включає:

1) критерії віднесення подій операційного ризику до значних;

2) процедуру створення робочої групи та порядок проведення нею досліджень, уключаючи визначення переліку її учасників;

3) процедуру ескалації результатів дослідження та затвердження заходів щодо мінімізації наслідків події та запобігання подібним подіям у майбутньому.

295. Банк має право розподіляти можливі події операційного ризику за такими категоріями:

1) події з низьким рівнем втрат та низькою ймовірністю настання;

2) події зі значним рівнем втрат та низькою ймовірністю настання;

3) події з низьким рівнем втрат з високою ймовірністю настання;

4) події зі значним рівнем втрат та високою ймовірністю настання.

296. Банк залежно від визначеної категорії операційного ризику має право використовувати такі методи управління операційним ризиком:

1) прийняття ризику, що передбачає продовження діяльності без змін у разі можливості понесення незначних втрат з низькою ймовірністю настання;

2) передавання ризику, що передбачає страхування, переважно, ризиків з потенційно значними втратами з низькою імовірністю настання або ризиків, які перебувають під обмеженим контролем банку;

3) пом'якшення ризику, що передбачає коригування певних процесів та впровадження додаткових контролів у разі понесення в їх результаті незначних втрат з високою імовірністю настання;

4) уникнення ризику, що передбачає припинення здійснення діяльності та/або закриття позицій, що призводять до значних втрат з високою ймовірністю настання.

297. Підрозділ з управління ризиками повинен мати достатню кількість кваліфікованих працівників для адекватної оцінки цього виду ризику.

47. Аутсорсинг

298. Банк приймає рішення щодо передавання функцій на аутсорсинг за умови:

1) розроблення внутрішньобанківських документів щодо передавання функцій на аутсорсинг;

2) обґрунтованої доцільності передавання функцій на аутсорсинг;

3) забезпечення збереження банківської та комерційної таємниці в разі передавання функцій на аутсорсинг;

4) належного управління ризиками, що пов'язані з передаванням функцій на аутсорсинг та виконанням аутсорсером таких функцій.

{Пункт 298 глави 47 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 }

298 - 1 . Банк не має права передавати на аутсорсинг функції щодо:

1) здійснення банківської діяльності, на яку він отримав банківську ліцензію;

2) управління ризиками, крім випадків, передбачених цим Положенням.

{Главу 47 розділу VI доповнено новим пунктом 298 - 1 згідно з Постановою Національного банку № 172 від 29.12.2020 }

298 - 2 . Банк не повинен ураховувати як аутсорсинг таке:

1) послуги зовнішнього аудитора та інші послуги, що відповідно до законодавства України надаються визначеними постачальниками послуг;

2) послуги агентств Bloomberg, Moody's, Standard & Poor's, Fitch;

3) послуги платіжних систем Visa, MasterCard;

4) послуги клірингу;

5) послуги Товариства всесвітніх міжбанківських фінансових телекомунікацій SWIFT;

6) послуги банків-кореспондентів;

7) придбання послуг, які в іншому випадку не здійснювалися б банком (ураховуючи юридичні, медичні, туристичні послуги; послуги з прибирання, озеленення та обслуговування приміщень, службових автомобілів банку, громадського харчування; послуги архітектора, торгових автоматів, пошти, секретарів та операторів розподільних щитів, комутаторів); послуги з виробництва товарів (ураховуючи пластикові картки, карт-рідери, канцелярське приладдя, персональні комп'ютери, меблі) та комунальні послуги (ураховуючи електропостачання, газопостачання, водопостачання, телефонний та інтернет-зв'язок).

{Главу 47 розділу VI доповнено новим пунктом 298 - 2 згідно з Постановою Національного банку № 172 від 29.12.2020 }

299. Внутрішньобанківські документи щодо аутсорсингу мають містити:

1) порядок визначення функцій, що можуть передаватися на аутсорсинг, за винятком функцій, визначених у пункті 298 - 1 глави 47 розділу VI цього Положення, які банк не має права передавати на аутсорсинг;

2) порядок визначення критеріїв прийнятності аутсорсерів;

3) процес передавання функцій на аутсорсинг та розірвання договорів з аутсорсерами;

4) процедури управління ризиками, що пов'язані з передаванням функцій на аутсорсинг та виконанням аутсорсером таких функцій, уключаючи оцінку фінансового стану аутсорсерів;

5) засади ефективного контролю банком за виконанням функцій, що передані на аутсорсинг;

6) вимоги до типового договору аутсорсингу, який серед іншого має містити умови щодо:

забезпечення аутсорсером конфіденційності інформації;

дій банку та аутсорсера в разі настання надзвичайних обставин;

забезпечення аутсорсером доступу банку до інформації, обладнання, систем, що використовуються ним для виконання функцій, переданих банком на аутсорсинг, з метою перевірки виконання зобов'язань, визначених у договорі аутсорсингу.

{Пункт 299 глави 47 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 }

299 - 1 . Банк несе відповідальність за ризики, пов'язані з передаванням функцій на аутсорсинг та виконанням аутсорсером таких функцій.

Передавання банком функцій на аутсорсинг не повинно погіршувати процес оцінки системи управління ризиками банку, що здійснюється уповноваженими працівниками Національного банку.

Передавання банком функцій на аутсорсинг не звільняє від відповідальності банк та/або керівників банку за невиконання ним/ними регуляторних норм.

{Главу 47 розділу VI доповнено новим пунктом 299 - 1 згідно з Постановою Національного банку № 172 від 29.12.2020 }

299 - 2 . Банк забезпечує узгодженість внутрішньобанківських документів щодо аутсорсингу з політикою залучення TPSP-постачальників і політикою, порядками та процедурами управління ризиком третіх сторін.

{Главу 47 розділу VI доповнено новим пунктом 299 - 2 згідно з Постановою Національного банку № 70 від 30.06.2026 }

48. Безперервність діяльності

300. Банк розробляє методологію управління безперервною діяльністю, яка включає:

1) політику управління безперервною діяльністю;

2) процедуру аналізу впливу негативних факторів на процеси банку;

{Підпункт 2 пункту 300 глави 48 розділу VI із змінами, внесеними згідно з Постановами Національного банку № 40 від 30.03.2023 , № 9 від 22.01.2026 }

3) план забезпечення безперервної діяльності.

301. Політика управління безперервною діяльністю повинна обов'язково містити:

1) ключові цілі банку щодо забезпечення безперервної діяльності;

2) принципи та підходи банку щодо здійснення аналізу впливу негативних факторів на процеси банку;

{Підпункт 2 пункту 301 глави 48 розділу VI із змінами, внесеними згідно з Постановами Національного банку № 40 від 30.03.2023 , № 9 від 22.01.2026 }

3) принципи та підходи банку щодо розроблення та приведення в дію плану забезпечення безперервної діяльності;

4) принципи та підходи банку щодо моніторингу ефективності та вдосконалення плану забезпечення безперервної діяльності;

5) принципи та підходи банку щодо забезпечення безперервної діяльності в разі збоїв / переривання у наданні послуг TPSP-постачальниками.

{Пункт 301 глави 48 розділу VI доповнено новим підпунктом згідно з Постановою Національного банку № 70 від 30.06.2026 }

302. Процедура аналізу впливу негативних факторів на процеси банку включає визначення рівнів критичності бізнес-процесів, систем та сервісів ІСТ, інших ресурсів (працівники, приміщення, техніка) з урахуванням:

{Абзац перший пункту 302 глави 48 розділу VI із змінами, внесеними згідно з Постановами Національного банку № 172 від 29.12.2020 , № 40 від 30.03.2023 }

1) цільового часу на відновлення процесів та систем, що обслуговують цей процес, після збою/переривання діяльності (RTO);

{Підпункт 1 пункту 302 глави 48 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 70 від 30.06.2026 }

2) максимально допустимого проміжку часу, за який можлива втрата критичних даних банку в разі збою/відмови систем та сервісів ICT (RTO).

{Підпункт 2 пункту 302 глави 48 розділу VI із змінами, внесеними згідно з Постановами Національного банку № 40 від 30.03.2023 , № 70 від 30.06.2026 }

Цей аналіз повинен охоплювати всі процеси та підрозділи банку з урахуванням їх взаємозалежності.

Банк забезпечує послідовний та комплексний аналіз вразливості процесів, систем та сервісів ІСТ банку до різних типів імовірних сценаріїв переривання діяльності, включаючи сценарій кібератаки. Банк здійснює кількісну та якісну оцінку ймовірного фінансового, операційного та репутаційного впливу сценаріїв на діяльність банку, використовуючи внутрішні та зовнішні дані.

{Абзац п'ятий пункту 302 глави 48 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 40 від 30.03.2023 }

Банк використовує результати аналізу впливу негативних факторів на процеси банку для встановлення цілей і пріоритетів під час розроблення плану забезпечення безперервної діяльності. Залишкові ризики переривання діяльності (після оцінки банком впливу застосування заходів, передбачених планом забезпечення безперервної діяльності) повинні перебувати в межах затвердженого банком ризик-апетиту.

302 - 1 . Банк під час управління безперервною діяльністю забезпечує:

1) періодичний перегляд та оновлення плану забезпечення безперервної діяльності з урахуванням укладених договорів із TPSP-постачальниками;

2) періодичне тестування плану забезпечення безперервної діяльності, розглядаючи різні заходи відновлення діяльності для критичних процесів банку або запровадження додаткового контролю, що забезпечує дотримання ризик-апетиту та рівня толерантності до збоїв, із застосуванням таких сценаріїв:

залучення іншого / альтернативного TPSP-постачальника;

використання одночасно кількох TPSP-постачальників;

виконання банком робіт самостійно за послугами, що надаються TPSP-постачальником, використовуючи власну інфраструктуру;

3) ураховувати наслідки інцидентів, що мали місце в минулому за договорами з TPSP-постачальниками, та результати періодичного тестування банком плану забезпечення безперервної діяльності;

4) здійснювати періодичну актуалізацію переліку визначених альтернативних TPSP-постачальників.

{Главу 48 розділу VI доповнено новим пунктом 302 - 1 згідно з Постановою Національного банку № 70 від 30.06.2026 }

302 - 2 . Банк під час управління безперервністю діяльності додатково до вимог, визначених у пункті 302 - 1 глави 48 розділу VI цього Положення, щодо критичних договорів із TPSP-постачальниками, здійснює:

1) отримання від TPSP-постачальника підтвердження, що він розробляє, періодично переглядає та оновлює план забезпечення безперервної своєї діяльності, в якому встановлено чіткі та вимірювані показники, що узгоджуються з толерантністю банку до збоїв, включаючи (RTO) та (RPO);

2) перевірку надійності процесів забезпечення безперервності діяльності TPSP-постачальника.

{Главу 48 розділу VI доповнено новим пунктом 302 - 2 згідно з Постановою Національного банку № 70 від 30.06.2026 }

303. Банк розробляє план забезпечення безперервної діяльності, який уключає:

1) стратегічні цілі та пріоритети банку щодо забезпечення безперервної діяльності в розрізі процесів банку;

2) процедури та заходи реагування на інциденти порушення безперервності діяльності;

3) заходи у разі порушення безперервної діяльності щодо внутрішніх комунікацій, а також зовнішніх комунікацій банку з клієнтами, контрагентами банку, Національним банком, іншими регуляторними, контролюючими органами та органами державної влади;

4) заходи відновлення діяльності для критичних процесів банку;

5) заходи відновлення систем та сервісів ICT після збоїв;

{Підпункт 5 пункту 303 глави 48 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 40 від 30.03.2023 }

6) заходи, спрямовані на забезпечення безперервності надання послуг критичними TPSP-постачальниками послуг банку, якщо немає альтернативних TPSP-постачальників для надання таких послуг.

{Пункт 303 глави 48 розділу VI доповнено новим підпунктом згідно з Постановою Національного банку № 70 від 30.06.2026 }

303 - 1 . Банк розробляє та тестує план забезпечення безперервної діяльності із залученням критичних TPSP-постачальників або із залученням незалежних сторін або здійснює симуляцію залучення критичних TPSP-постачальників (якщо немає змоги їх залучити).

{Главу 48 розділу VI доповнено новим пунктом 303 - 1 згідно з Постановою Національного банку № 70 від 30.06.2026 }

304. Банк не рідше одного разу на рік здійснює аналіз впливу негативних факторів на процеси банку, оцінку ризиків та переглядає план забезпечення безперервної діяльності для того, щоб пересвідчитися, що він відповідає поточному профілю діяльності банку, ураховує наявні ризики та загрози, а також охоплює всі види діяльності, процеси та інформаційні системи щодо управління ризиками.

305. Банк не рідше одного разу на два роки проводить навчання працівників щодо організації та впровадження плану забезпечення безперервної діяльності.

306. Банк не рідше одного разу на рік проводить поетапне тестування плану забезпечення безперервної діяльності з метою забезпечення належної впевненості та контролю за реалізацією заходів, передбачених у плані, забезпечить досягнення мети безперервної діяльності банку. За потреби банк долучає до участі в тестуванні відновлення та забезпечення безперервної діяльності ключових постачальників послуг.

307. Банк документує всі суттєві відхилення та помилки, виявлені за результатами тестування плану забезпечення безперервної діяльності, та забезпечує розроблення, затвердження та впровадження коригуючих заходів.

308. Банк забезпечує захищене зберігання всієї необхідної документації щодо плану забезпечення безперервної діяльності. Банк забезпечує безперешкодний доступ до цієї документації працівникам банку, відповідальним за його виконання, у разі настання надзвичайних ситуацій.

308 - 1 . Банк подає план забезпечення безперервної діяльності уповноваженим працівникам Національного банку на їх вимогу у вигляді:

1) електронної версії плану, створеної у форматах Microsoft Word та Excel, з додаванням сканованих копій всіх сторінок, які містять дані про затвердження та/або підписання документа уповноваженими органами/особами банку, або

2) електронного документа, підписаного кваліфікованим електронним підписом відповідної(их) уповноваженої(их) особи(іб) банку.

{Главу 48 розділу VI доповнено новим пунктом 308 - 1 згідно з Постановою Національного банку № 136 від 06.12.2021 }

49. Стрес-тестування операційного ризику

309. Банк здійснює не рідше одного разу на рік стрес-тестування операційного ризику для різних короткострокових і довгострокових стрес-сценаріїв, що можуть реалізуватися як для банку, так і для ринку в цілому, з метою виявлення причин можливих втрат внаслідок реалізації операційного ризику та оцінки відповідності результатів здійснення стрес-тестування встановленому рівню ризик-апетиту до операційного ризику.

{Абзац перший пункту 309 глави 49 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

Результатом здійснення стрес-тестування операційного ризику має бути величина можливих втрат.

310. Банк під час здійснення стрес-тестування використовує, щонайменше, один з таких методів:

1) сценарний аналіз;

2) математичне моделювання.

311. Банк проводить сценарний аналіз, базуючись на судженнях працівників підрозділів першої лінії захисту та працівників підрозділу з управління ризиками щодо:

1) імовірного збільшення частоти (кількості) подій та/або обсягу операційних збитків порівняно зі статистикою, що міститься в базі внутрішніх подій операційного ризику;

2) виникнення нових подій операційного ризику внаслідок впровадження нових або внесення значних змін у діючі процеси;

3) виникнення подій операційного ризику зі значним рівнем втрат та низькою імовірністю настання.

312. Банк здійснює стрес-тестування операційного ризику з використанням математичних моделей у разі наявності статистики, достатньої для їх побудови.

50. Звітування щодо операційного ризику

313. Головний ризик-менеджер подає звіти щодо операційного ризику раді банку, комітету з управління ризиками, комітету з управління операційним ризиком (у разі його створення) та правлінню банку не рідше одного разу на квартал.

{Пункт 313 глави 50 розділу VI в редакції Постанови Національного банку № 172 від 29.12.2020 }

314. Головний ризик-менеджер / підрозділ з управління ризиками не пізніше наступного робочого дня після виявлення ризику інформує раду банку, комітет з управління ризиками (у разі його створення), правління банку, комітет з управління операційним ризиком (у разі його створення) про:

1) значне підвищення операційних ризиків з метою прийняття своєчасних та адекватних управлінських рішень;

2) установлення за результатами моніторингу виконання TPSP-постачальником умов договору та його діяльності ознак підвищеного ризику в співпраці з TPSP-постачальником, включаючи суттєве погіршення показників діяльності критичного TPSP-постачальника, порушення безпеки, втрати даних, інциденти / збої / переривання в наданні послуг, факти, що можуть вплинути на належне виконання TPSP-постачальником умов договору, інші ознаки підвищеного ризику, установлення ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників.

{Пункт 314 глави 50 розділу VI із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020; в редакції Постанови Національного банку № 70 від 30.06.2026 }

315. Банк розробляє управлінську звітність щодо операційного ризику, яка повинна обов'язково включати звіти щодо:

1) узагальнених даних подій операційного ризику, накопичених у базі внутрішніх подій операційного ризику, аналіз їх динаміки у порівнянні з попередніми періодами;

2) значних подій операційного ризику, результатів дослідження їх причин та заходів щодо запобігання таким подіям у майбутньому;

3) значних зовнішніх подій операційного ризику та їх потенційних наслідків для банку;

4) переліку та значень показників KRI, їх динаміки порівняно з попередніми періодами та відповідно до встановлених граничних значень;

5) результатів самооцінки операційного ризику та результатів застосування інших інструментів оцінки операційного ризику, якщо вони використовуються банком;

6) результатів здійснення стрес-тестування операційного ризику.

VII. Управління комплаєнс-ризиком

51. Загальні підходи до управління комплаєнс-ризиком

316. Банк створює ефективну систему управління комплаєнс-ризиком, що має бути повністю інтегрована в загальну систему управління ризиками банку.

317. Банк, що веде діяльність в різних країнах, створює систему управління комплаєнс-ризиком, що забезпечує дотримання законодавства в кожній з них.

Банк у разі наявності суперечностей між законодавством різних країн уживає заходів для пом'якшення комплаєнс-ризику.

{Пункт 317 глави 51 розділу VII доповнено новим абзацом згідно з Постановою Національного банку № 172 від 29.12.2020 }

52. Політика та процедури управління комплаєнс-ризиком

318. Банк розробляє та періодично (не рідше одного разу на рік) переглядає політику, порядок та процедури управління комплаєнс-ризиком.

319. Політика управління комплаєнс-ризиком повинна обов'язково містити:

1) мету, завдання та принципи управління комплаєнс-ризиком;

2) організаційну структуру процесу управління комплаєнс-ризиком з урахуванням розподілу функціонала учасників процесу, їх повноваження, відповідальність та порядок взаємодії;

3) підходи щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом'якшення комплаєнс-ризику;

4) перелік та формат (інформаційне наповнення) форм управлінської звітності щодо комплаєнс-ризику, порядок та періодичність/терміни їх надання суб'єктам системи управління ризиками.

320. Порядок та процедури управління комплаєнс-ризиком повинні обов'язково містити:

1) процедури щодо виявлення, вимірювання, моніторингу, контролю, звітування та пом'якшення комплаєнс-ризику, уключаючи інструменти/індикатори, що використовуються;

2) процедури та процеси забезпечення відповідності діяльності банку вимогам законодавства, уключаючи законодавство у сфері запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення та внутрішньобанківських документів під час діяльності банку;

3) процедуру забезпечення контролю за достовірністю фінансової та статистичної звітності;

4) процедуру навчання працівників банку з метою забезпечення їх обізнаності з питань, що належать до функцій підрозділу контролю за дотриманням норм (комплаєнс) законодавства України та внутрішньобанківських документів;

5) чітке розмежування функцій управління комплаєнс-ризиком та операційним ризиком із метою уникнення їх дублювання та механізм співпраці між працівниками, які виконують функції управління цими ризиками;

6) порядок обміну інформацією між учасниками процесу управління комплаєнс-ризиком, уключаючи види, форми і терміни подання інформації;

7) правила взаємодії банку з Національним банком, іншими регуляторними та контролюючими органами з питань дотримання вимог законодавства.

{Пункт 320 глави 52 розділу VII доповнено новим підпунктом згідно з Постановою Національного банку № 172 від 29.12.2020 }

321. Банк забезпечує своєчасне виявлення та вимірювання комплаєнс-ризику з метою його пом'якшення.

322. Банк із метою виявлення та вимірювання комплаєнс-ризику використовує інформацію:

1) від працівників банку в рамках механізму конфіденційного повідомлення про неприйнятну поведінку в банку/порушення в діяльності банку;

2) із бази внутрішніх подій операційного ризику;

3) зі скарг клієнтів;

4) із особистого звернення працівників банку чи третіх осіб до підрозділу з контролю за дотриманням норм (комплаєнс);

5) зі звітів підрозділу внутрішнього аудиту та перевірок зовнішніх аудиторів;

6) від регуляторних та контролюючих органів (результати перевірок Національним банком та іншими регуляторними та контролюючими органами, накладені штрафи, установлені порушення законодавства України);

{Підпункт 6 пункту 322 глави 52 розділу VII в редакції Постанови Національного банку № 172 від 29.12.2020 }

7) інших джерел інформації, отриманих працівниками підрозділу контролю за дотриманням норм (комплаєнс) під час своєї діяльності.

53. Звітування щодо комплаєнс-ризику

323. Головний комплаєнс-менеджер подає звіти щодо оцінки комплаєнс-ризику раді банку, комітету з управління ризиками та правлінню банку не рідше одного разу на квартал або частіше у випадках, установлених законодавством України.

{Пункт 323 глави 53 розділу VII в редакції Постанови Національного банку № 172 від 29.12.2020 }

324. Банк розробляє управлінську звітність щодо комплаєнс-ризику, яка повинна обов'язково включати звіти щодо:

1) продуктів, видів діяльності, процесів, що піддають банк значному комплаєнс-ризику та впливають на банк у разі його реалізації, а також пропозицій щодо уникнення чи пом'якшення цього ризику;

2) випадків порушень вимог законодавства України [податкового, банківського законодавства, законодавства про захист прав споживачів, трудового, антимонопольного законодавства, законодавства у сфері запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансування тероризму та фінансування розповсюдження зброї масового знищення, інших законів, нормативно-правових актів Національного банку та інших регуляторних органів] та внутрішньобанківських документів під час діяльності банку, а також застосованих санкцій до банку або інших негативних наслідків у результаті таких порушень;

{Підпункт 2 пункту 324 глави 53 розділу VII із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

3) випадків порушень працівниками банку кодексу поведінки (етики), результатів дослідження їх причин та заходів щодо запобігання таким подіям надалі;

4) випадків формування недостовірної звітності для регуляторних і контролюючих органів, а також застосованих до банку санкцій;

5) значних змін у законодавстві та їх потенційних наслідків для банку;

6) зовнішньої інформації щодо комплаєнс-ризику (штрафи, накладені на інші банки, події, що призвели до погіршення репутації інших банків) та їх потенційних наслідків для банку;

7) випадків конфлікту інтересів;

8) проведених навчань працівників банку з питань, що належать до функцій підрозділу контролю за дотриманням норм (комплаєнс).

Директор Департаменту

методології

Н.В. Іваненко

ПОГОДЖЕНО:

Заступник Голови Національного

банку України

К.В. Рожкова

Додаток 1

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 12 глави 2 розділу I)

КАРТА

ризиків торгової та банківської книг

№ з/п

Види ризиків

Торгова книга

Банківська книга

1. Кредитний ризик, уключаючи

Ні*

Так

Ризик країни

Ні*

Так

Трансфертний ризик

Ні*

Так

Ризик контрагента

Ні*

Так

Ризик інвестицій у дочірні компанії

Ні

Так

2. Ризик ліквідності

Так

3. Процентний ризик банківської книги

Ризик розривів

Ні

Так

Базисний ризик

Ні

Так

Ризик опціонності

Ні

Так

4. Ринковий ризик

Процентний ризик торгової книги

Так

Ні

Ризик кредитного спреду

Так

Ні

Фондовий ризик

Так

Ні

Валютний ризик

Так

Товарний ризик

Так

Ризик волатильності

Так

Ризик дефолту

Так

Ні

__________

* Оцінюється як складова ризику дефолту.

{Додаток 1 із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

Додаток 2

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 29 глави 4 розділу I)

ПЕРЕЛІК

внутрішньобанківських документів з питань управління ризиками

№ з/п

Внутрішньобанківський документ, у якому регулюється відповідне питання

Рада банку

Комітет з управління ризиками

Правління банку

Головний ризик-менеджер, підрозділ з управління ризиками

Головний комплаєнс-менеджер, підрозділ контролю за дотриманням норм (комплаєнс)

Організаційна структура системи управління ризиками

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Декларація схильності до ризиків (назва документа)

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Розробляє

Бере участь у розробленні

Стратегія управління ризиками

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Розробляє

Бере участь у розробленні

Фінансове забезпечення (бюджет/розмір винагороди) головного ризик-менеджера, головного комплаєнс-менеджера, підрозділів із управління ризиками та контролю за дотриманням норм (комплаєнс)

Затверджує

Бере участь у розробленні

Кредитна політика

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Політика залучення TPSP-постачальників

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Політики управління ризиками

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Розробляє

Бере участь у розробленні

Політика управління продуктами, запровадження нових продуктів та значних змін у діяльності банку

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Порядки та процедури управління продуктами, запровадження нових продуктів та значних змін в діяльності банку

Забезпечує розроблення та затверджує

Бере участь у розробленні

Процедура ескалації порушень лімітів ризиків

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Порядок, форми, наповнення та періодичність надання звітів суб'єктам системи управління ризиками

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Методика виявлення суттєвих ризиків

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Розробляє

Бере участь у розробленні

Методика встановлення лімітів (обмежень) для суттєвих ризиків

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Розробляє

Бере участь у розробленні

Внутрішньобанківські документи щодо верифікації вартості майна

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Розробляє

Бере участь у розробленні

Порядки та процедури управління ризиками

Забезпечує розроблення та затверджує

Бере участь у розробленні

{Рядок виключено на підставі Постанови Національного банку № 172 від 29.12.2020 }

Припущення, інструменти та моделі, що використовуються для вимірювання ризику

Забезпечує розроблення та затверджує

Розробляє

Бере участь у розробленні

План відновлення діяльності (Recovery Plan)

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

План забезпечення безперервної діяльності (ВСР - Business Continuity Plan)

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

План фінансування в кризових ситуаціях (CFP-Contingency Funding Plan)

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Програма фінансування

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Порядок здійснення операцій із пов'язаними з банком особами

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Кодекс поведінки (етики)

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Розробляє

Політика запобігання конфліктам інтересів, уключаючи процедуру забезпечення дотримання норм щодо упровадження такої політики

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Розробляє

Механізм конфіденційного повідомлення про неприйнятну поведінку в банку/порушення в діяльності банку (whistleblowi ng policy mechanism)

Затверджує

Бере участь у розробленні

Забезпечує розроблення

Бере участь у розробленні

Розробляє

Порядок дослідження порушень у діяльності банку

Забезпечує розроблення та затверджує

Розробляє

Програма проведення стрес-тестування

Забезпечує розроблення та затверджує

Розробляє

Програма навчання та підвищення кваліфікації працівників банку з питань управління ризиками

Забезпечує розроблення та затверджує

Бере участь у розробленні

{Додаток 2 із змінами, внесеними згідно з Постановами Національного банку № 172 від 29.12.2020 , № 9 від 22.01.2026, № 70 від 30.06.2026 }

Додаток 3

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 200 глави 26 розділу III)

РЕКОМЕНДОВАНІ ЧАСОВІ ІНТЕРВАЛИ,

за якими банк здійснює GAP-аналіз ризику ліквідності та процентного ризику банківської книги

1. Часовими інтервалами, за якими банку рекомендовано здійснювати GAP-аналіз ризику ліквідності та процентного ризику банківської книги, є:

1) на вимогу;

2) овернайт;

3) від 2 до 7 днів;

4) від 8 до 14 днів;

5) від 15 до 21 дня;

6) від 22 до 30 днів;

7) від 31 до 62 днів;

8) від 63 до 92 днів;

9) від 93 до 183 днів;

10) від 184 до 274 днів;

11) від 275 до 365 (366) днів;

12) від 366 (367) до 730 (731) днів (дня);

13) від 2 до 3 років;

14) від 3 до 5 років;

15) більше 5 років;

16) не визначений.

{Додаток 3 із змінами, внесеними згідно з Постановами Національного банку № 172 від 29.12.2020 , № 9 від 22.01.2026 }

Додаток 4

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 216 глави 31 розділу III)

РЕКОМЕНДОВАНІ ІНДИКАТОРИ

раннього виявлення кризи ліквідності

1. Індикаторами раннього виявлення кризи ліквідності, які банк застосовує у своїх процедурах можуть бути:

1) для специфічної кризи:

порушення або ризик порушення вимог нормативно-правових актів Національного банку щодо нормативів ліквідності;

порушення або ризик порушення внутрішніх лімітів ліквідності;

значне зростання концентрації активів та/або зобов'язань;

значне зменшення обсягу клієнтських коштів або зростання волатильності джерел фінансування;

стрімке зростання активів за рахунок потенційно волатильних зобов'язань;

зменшення середньозваженого строку зобов'язань;

збільшення середньозваженого строку активів;

значне зростання обсягу непрацюючих активів;

поширення в засобах масової інформації негативної інформації щодо банку, що може призвести до відпливу клієнтських коштів або погіршення платіжної дисципліни боржників;

зниження зовнішнього кредитного рейтингу банку;

виникнення перешкод для оперативного залучення коштів у разі дефіциту ліквідності [закриття або значне зниження значень лімітів на банк як внутрішньо групових, так і від інших учасників ринку - банків, небанківських фінансових установ та значних клієнтів - юридичних осіб (крім банків); необхідність надання додаткової застави за договорами з залучення коштів];

2) для загально ринкової кризи:

значне падіння обсягу ліквідності банківської системи;

значне зростання вартості ресурсів, що залучатимуться від банків/клієнтів (індекси UONIA, UIRD);

падіння загального обсягу коштів клієнтів у банківській системі;

військові конфлікти, техногенні та природні катастрофи регіонального та національного масштабу, масові заворушення, що можуть призвести до паніки клієнтів та зниження обсягу їх коштів у банківській системі або погіршення платіжної дисципліни боржників.

{Додаток 4 із змінами, внесеними згідно з Постановою Національного банку № 172 від 29.12.2020 }

Додаток 5

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 246 глави 36 розділу IV)

ЕТАПИ

проведення GAP-аналізу як інструменту вимірювання величини процентного ризику банківської книги

1. Обов'язковими етапами проведення GAP-аналізу як інструменту вимірювання величини процентного ризику банківської книги є:

1) розподіл усіх чутливих до процентного ризику банківської книги активів, зобов'язань та позабалансових позицій банку за визначеними наперед часовими інтервалами згідно з додатком 3 до Положення про організацію системи управління ризиками в банках України та банківських групах:

за датою погашення - для інструментів із фіксованою процентною ставкою;

за датою наступної зміни величини індексу - для інструментів із плаваючою процентною ставкою;

за затвердженими припущеннями - для інструментів, що не мають контрактних строків (поточні рахунки, карткові рахунки);

із урахуванням впливу вбудованих опціонів - для інструментів, що мають вбудовані опціони;

2) визначення обсягу невідповідності між активами та зобов'язаннями банку, чутливими до процентного ризику банківської книги, в кожному часовому інтервалі за результатами розподілу;

3) обчислення добутку обсягу невідповідності та величини зміни процентних ставок за кожним часовим інтервалом в межах наступних 12 місяців;

4) приведення до річного виміру шляхом обчислення добутку кожної суми, отриманої на попередньому етапі, та різниці між повним роком і середнім строком у роках за кожним часовим інтервалом та додання обчислених добутків. Середній строк у роках за кожним часовим інтервалом визначається як середнє арифметичне значення максимальної і мінімальної кількості днів у відповідному часовому інтервалі до 365 (366) днів.

2. Результатом GAP-аналізу є кількісна оцінка можливої зміни чистого процентного доходу банку протягом наступних 12 місяців в результаті зміни процентних ставок відповідно до обраного сценарію.

{Додаток 5 із змінами, внесеними згідно з Постановою Національного банку № 39 від 06.04.2024 }

Додаток 6

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 246 глави 36 розділу IV)

ЕТАПИ

застосування методу модифікованої дюрації як інструменту вимірювання величини процентного ризику банківської книги

1. Обов'язковими етапами застосування методу модифікованої дюрації як інструменту вимірювання величини процентного ризику банківської книги є:

2) розрахунок модифікованої дюраціі для кожного часового інтервалу (за активами у разі позитивного значення невідповідності та пасивами в разі негативного значення невідповідності);

3) визначення модифікованої дюрації капіталу, що здійснюється шляхом розрахунку середньозваженої дюрації за всіма часовими інтервалами (дюрація за активами враховується зі знаком "+", за пасивами - зі знаком "-"). Абсолютна величина зміни капіталу банку (PV01) розраховується шляхом множення модифікованої дюрації капіталу на його величину та діленням результату на 10000. Для розрахунку можливої зміни економічної вартості капіталу при зміні процентних ставок повинні бути використані показники модифікованої дюрації, величина зміни процентних ставок та показник опуклості, що підвищує точність розрахунку для змін процентних ставок, що перевищують 100 базисних пункти.

2. Результатом використання методу модифікованої дюрації є кількісна оцінка можливої зміни економічної вартості капіталу в результаті зміни процентних ставок у відповідності до обраного сценарію.

Додаток 7

до Положення про організацію

системи управління ризиками

в банках України

та банківських групах

(пункт 290 - 13 глави 45 - 2 розділу VI)

Дані,

які вносяться до переліку договорів, укладених з TPSP-постачальниками, включаючи угоди про рівень сервісу / обслуговування (SLA)

Таблиця

№ з/п

Дата укладення договору

Дата початку дії договору

Дата закінчення строку дії договору

Найменування TPSP-постачальника

Код TPSP-постачальника

Критичність договору

Продовження таблиці

Короткий опис послуг, які надаються TPSP-постачальником

Замінність послуг, які надаються TPSP-постачальником

Перелік альтернативних TPSP-постачальників

Дані про обмін інформацією з TPSP-постачальником

Місце (регіон, країна), з якого надаються послуги TPSP-постачальником

Продовження таблиці

Місцезнаходження (регіон, країна) центрів обробки та збереження даних TPSP-постачальника

Перелік n-х сторін за договором з TPSP-постачаль-ником

Перелік ключових n-х сторін

Дата внесення змін до договору з TPSP-постачальником

Короткий опис змін, унесених до договору з TPSP-постачальником

Продовження таблиці

Дата набуття TPSP-постачальником статусу критичного TPSP-постачальника

Дата виключення TPSP-постачальника зі статусу критичного TPSP-постачальника

Результати перевірки наявності/відсутності ознак небездоганної ділової репутації критичного TPSP-постачальника, його кінцевих бенефіціарних власників та керівників

Результати аналізу операційної та фінансової спроможності критичного TPSP-постачальника

1. Пояснення щодо заповнення таблиці:

1) у колонці 6 зазначається код за даними з Єдиного державного реєстру юридичних осіб, фізичних осіб-підприємців та громадських формувань (для TPSP-постачальника, який є резидентом України) або ідентифікаційний / реєстраційний номер / код офіційного документа, виданого уповноваженим органом іноземної країни, що підтверджує реєстрацію TPSP-постачальника в країні, у якій зареєстровано її головний офіс (для TPSP-постачальника, який є нерезидентом України);

2) у колонці 7 зазначається “критичний” / “некритичний”;

3) у колонці 10 зазначається перелік найменувань альтернативних TPSP-постачальників, які визначені банком;

4) у колонці 11 зазначається про обмін з TPSP-постачальником інформацією, публічне розкриття якої матиме суттєвий негативний вплив на конкурентну ринкову позицію банку та/або його клієнтів / контрагентів на ринку;

5) у колонці 14 зазначається перелік n-х сторін, які є другими та третіми сторонами (третьою стороною в ланцюгу постачання є постачальник послуг для другої сторони в ланцюгу постачання; другою стороною - є постачальник послуг для TPSP-постачальника).

{Положення доповнено новим додатком 7 згідно з Постановою Національного банку № 70 від 30.06.2026 }

Додаток 8

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 291 глави 46 розділу VI)

КЛАСИФІКАЦІЯ

бізнес-ліній

№ з/п

Рівень 1

Рівень 2

Рівень 3 (групування за видами діяльності)

Корпоративне фінансування

Корпоративне фінансування;

фінансування органів державної влади та місцевого самоврядування;

торгові операції;

консультаційні послуги

Злиття та поглинання, андерайтинг, сек'юритизація, дослідження, розміщення державних цінних паперів та інших цінних паперів, участь у капіталі підприємств, консорціумне кредитування, публічне та приватне розміщення цінних паперів на первинному ринку та вторинному ринку

Торгівля та продаж

Продаж;

маркет-мейкінг;

торгові операції банку для власних потреб;

казначейські операції

Цінні папери з фіксованим прибутком, іноземна валюта, акції та інші цінні папери з нефіксованим прибутком, міжбанківське кредитування, операції репо, боргові зобов'язання банку, брокерські послуги, власні позиції щодо цінних паперів, залучення фінансування (фондування)

Роздрібний бізнес

Роздрібний бізнес;

обслуговування VIP-клієнтів - фізичних осіб;

операції з використанням електронних платіжних засобів

Роздрібне кредитування, залучення депозитів, інші банківські послуги, операції з довірчого управління активами;

кредитування, залучення депозитів, інші банківські послуги, операції з довірчого управління активами, консультування у сфері інвестицій;

розрахункові та інші операції із використанням електронних платіжних засобів

Корпоративний бізнес

Кредитування, проектне фінансування, операції з нерухомістю, експортне фінансування, торгове фінансування, факторинг, лізинг, вексельні операції, гарантійні операції, залучення депозитів

Платежі та розрахунки*

Зовнішні клієнти

Виконання та отримання переказів, кліринг та платежі

Агентські послуги

Послуги зберігача;

агентські послуги корпоративному бізнесу;

агентські послуги корпоративному бізнесу з довірчого управління

Рахунки для депонування коштів, цінних паперів;

депозитарні розписки;

кредитування цінними паперами;

агентські послуги на здійснення платежів за цінними паперами

Управління активами

Управління інститутами спільного інвестування на власний розсуд;

управління інститутами спільного інвестування за рішенням клієнтів

Корпоративні інвестиційні фонди, венчурні фонди, пайові інвестиційні фонди

Брокерські послуги роздрібним клієнтам

Проведення операцій з цінними паперами роздрібних клієнтів за їх дорученням

Операції банку для власних потреб

Операції, що виконуються з метою забезпечення діяльності банку (здійснення господарських операцій, бухгалтерського обліку, складання фінансової звітності)

__________

* До бізнес-лінії належать послуги банку із забезпечення проведення платежів та взаєморозрахунків для інших контрагентів-юридичних осіб. Збитки від платіжних (розрахункових) операцій, пов'язані із власною діяльністю банку, мають бути віднесені до інших відповідних бізнес-ліній.

Додаток 9

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 291 глави 46 розділу VI)

КЛАСИФІКАЦІЯ

подій, що призводять до втрат

№ з/п

Тип події 1-го рівня

Визначення

Тип події 2-го рівня

Приклади

Внутрішнє шахрайство

Втрати внаслідок шахрайських дій, незаконного привласнення майна або навмисного порушення норм законодавства України або внутрішньо-банківських документів, здійснених працівниками банку

Несанкціонована діяльність

Операції, що не відображені у звітності (навмисно);

недозволені операції, що призвели до втрат;

неналежна переоцінка позицій (навмисна)

Шахрайство та викрадення

Шахрайство під час надання кредитів, оформлення депозитів без внесення коштів на рахунок;

крадіжка, вимагання, грабіж;

привласнення активів;

умисне знищення активів;

заволодіння коштами за підробленими документами, чеками;

контрабанда;

привласнення чужих рахунків/неправомірне використання рахунків;

навмисне порушення податкового законодавства;

хабарі/підкуп;

використання інсайдерської інформації для власного збагачення не за рахунок банку

Зовнішнє шахрайство

Шахрайство та викрадення

Крадіжка, грабіж;

шахрайство, підробка;

погрози на адресу працівників банку, вимагання;

підробка документів, чеків для заволодіння коштами;

заволодіння коштами за підробленими документами, чеками;

неправдиве повідомлення про замінування приміщень банку

Порушення безпеки інформаційних систем

Вторгнення та атаки на інформаційні системи банку;

поширення шкідливого програмного забезпечення;

крадіжка інформації з банку, що призвело до втрат

Управління персоналом та охорона праці

Втрати внаслідок дій, що не відповідають законодавству в сфері охорони праці (виплати персоналу у зв'язку з виробничими травмами, втратою здоров'я та фактами дискримінаційних обмежень)

Неналежні трудові відносини з персоналом

Порушення трудового законодавства (тривалість робочого дня, суперечки з приводу заробітної плати, компенсації у разі звільнення, інші трудові спори);

спори з профспілками

Неналежна безпека робочого середовища

Випадки травмування осіб, які не є працівниками банку, через неналежні умови в приміщеннях банку або дії працівників банку;

виробничі травми працівників банку, порушення вимог законодавства з питань охорони праці

Дискримінація

Усі види дискримінації

Клієнти, продукти та норми ділової практики

Втрати внаслідок неумисного або недбалого ставлення до професійних обов'язків перед клієнтами (уключаючи неналежну якість рекомендацій) або в результаті недосконалості продуктів банку

Неналежне надання рекомендацій клієнтам, порушення вимог до розкриття інформації, порушення фідуціарних обов'язків

Порушення фідуціарних обов'язків/порушення інструкцій, отриманих від клієнтів;

надання неналежних рекомендацій щодо операцій із цінними паперами та іншими фінансовими інструментами/порушення щодо розкриття інформації;

надання неповної інформації або ненадання інформації споживачам фінансових послуг;

порушення вимог щодо нерозголошення даних про клієнтів;

практика нав'язування продуктів і послуг клієнтам банку;

неправомірне стягування комісій;

неналежне використання конфіденційної інформації

Неналежні норми ведення діяльності

Порушення антимонопольного законодавства;

неналежні норми проведення торгових операцій; маніпулювання ринком;

операції з використанням інсайдерської інформації;

здійснення операцій, якщо немає ліцензії;

легалізація (відмивання) доходів, одержаних злочинним шляхом

Недоліки продуктів

Недоліки продуктів;

помилки в моделях, що використовуються для ціноутворення за продуктами

Встановлення відносин із клієнтом, спонсорство, ризики

Невиконання вимог щодо ідентифікації та перевірки клієнта;

перевищення значень лімітів ризику на одного клієнта

Консультаційні послуги

Претензійні вимоги клієнтів щодо отриманих консультаційних послуг

Пошкодження або знищення активів

Втрати внаслідок пошкодження або знищення активів через природну катастрофу або інші події

Стихійні лиха, техногенні катастрофи, результати військових конфліктів, терористичні акти

Природні стихійні лиха;

надзвичайні ситуації, викликані діяльністю людини (техногенні катастрофи, результати військових конфліктів, терористичні акти, вандалізм)

Унеможливлення діяльності та функціонування систем

Втрати внаслідок збоїв, порушень у роботі систем підтримки діяльності

Збої, порушення роботи систем

Збої в роботі програмного, апаратного забезпечення, технічних засобів, телекомунікаційних систем та інших систем інженерної інфраструктури;

неузгодження, помилкове трактування сторонами умов виконання операцій

Управління виконанням операцій, послугами та процесами

Втрати внаслідок розладу, збоїв під час оброблення транзакцій банком або неналежного виконання контрагентами та постачальниками банку своїх зобов'язань

Збої в підготовці та виконанні операцій

Помилки під час уведення та зберігання даних; порушення строків виконання або невиконання операцій;

неналежне застосування моделей/систем;

бухгалтерські помилки/помилки щодо віднесення контрагента до певної групи;

неналежне виконання інших завдань;

проблеми з відправленням платіжних документів;

помилки в роботі із заставою;

проблеми щодо підтримки в належному стані довідкових даних в інформаційних системах банку

Неналежний моніторинг та звітування

Невиконання зобов'язань щодо подання регуляторної звітності до Національного банку та інших регуляторних органів;

помилки у зовнішній звітності до Національного банку та інших регуляторних органів, що призвели до втрат

Помилки в залученні клієнтів та створенні належної документації

Немає дозволів та погоджень від клієнтів щодо обробки персональних даних;

немає або неповна документація щодо клієнтів

Неналежне управління рахунками клієнтів

Неавторизований доступ до рахунків;

неналежна документація щодо клієнтів, що призвела до втрат;

втрати або пошкодження активів клієнтів через неналежні дії банку

Проблеми з торговими партнерами

Неналежні дії контрагентів, що не є клієнтами банку;

конфлікти з контрагентами, що не є клієнтами банку

Проблеми з постачальниками (включаючи аутсорсинг)

Конфлікти з аутсорсинговими компаніями;

конфлікти з постачальниками технічних та технологічних послуг

{Додаток із змінами, внесеними згідно з Постановою Національного банку № 9 від 22.01.2026 }

Додаток 10

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 291 глави 46 розділу VI)

ДАНІ

щодо інформації про події операційного ризику

1. Інформація щодо подій операційного ризику, яку банк уносить до бази внутрішніх подій операційного ризику, містить:

1) дату виникнення події;

2) дату виявлення події;

3) дату реєстрації події;

4) дату обліку ефекту від події (не пізніше ніж перша дата обліку збитку від події на рахунках витрат);

5) підрозділ, у якому сталася подія;

6) підрозділ, який виявив подію;

7) підрозділ, який відповідальний за дослідження події;

8) бізнес-лінію, у якій сталася подія, щонайменше 1-го рівня, згідно з класифікацією, наведеною в додатку 7 до Положення про організацію системи управління ризиками в банках України та банківських групах;

9) тип події, щонайменше 2-го рівня, згідно з класифікацією, наведеною у додатку 8 до Положення про організацію системи управління ризиками в банках України та банківських групах;

10) опис події;

11) причину події (за внутрішньобанківською типологією причин/класифікатором факторів ризику);

12) суму економічного ефекту події в гривневому еквіваленті;

13) вид економічного ефекту події, що обов'язково включає:

збитки (витрати), уключаючи прямі витрати та резерви, створені під потенційні операційні збитки, з них окремо - нереалізовані збитки (тимчасово обліковані на транзитних рахунках, рахунках дебіторської заборгованості);

компенсації (відшкодування) збитків та окремо від страхування та інших компенсацій (відшкодування) збитків або коригування суми резервів;

потенційні збитки (не відображені на балансових рахунках);

14) вид крос-операційного ризику, з яким пов'язана подія, окремо - кредитний ризик і ринковий ризик;

15) ідентифікатор (параметр) групи пов'язаних подій;

16) статус події (відкрита, закрита).

Додаток 11

до Положення про організацію

системи управління ризиками

в банках України та банківських групах

(пункт 291 глави 46 розділу VI)

ПРИКЛАДИ

показників KRI

1. Показники KRI:

1) плинність персоналу банку;

2) обсяг сплачених штрафів у відсотках до операційного доходу;

3) відсоток виданих кредитів з ознаками внутрішнього та зовнішнього шахрайства щодо загальної кількості виданих кредитів;

4) тривалість обмеженого функціонування працездатності систем банку через технічний або технологічний збій, знеструмлення у відсотках щодо загального часу їх роботи;

5) відсоток платіжних документів, що були відхилені під час кожного з видів контролю, до загальної кількості опрацьованих документів;

6) відсоток договорів, що укладені з порушенням установлених лімітів щодо загальної кількості договорів;

7) відсоток скомпрометованих платіжних карт щодо загальної кількості емітованих карт;

8) кількість випадків спрацювання систем сигналізації на об'єктах банку.

Про затвердження Положення про організацію системи управління ризиками в банках України та банківських групах — частина 2