3. Система внутреннего контроля
3.1. Система внутреннего контроля кредитной организации должна включать следующие направления:
- контроль со стороны органов управления за организацией деятельности кредитной организации;
- контроль за функционированием системы управления банковскими рисками и оценка банковских рисков;
- контроль за распределением полномочий при совершении банковских операций и других сделок;
- контроль за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности;
- осуществляемое на постоянной основе наблюдение за функционированием системы внутреннего контроля в целях оценки степени ее соответствия задачам деятельности кредитной организации, выявления недостатков, разработки предложений и осуществления контроля за реализацией решений по совершенствованию системы внутреннего контроля кредитной организации (далее - мониторинг системы внутреннего контроля).
3.2. Рекомендации по осуществлению контроля со стороны органов управления за организацией деятельности кредитной организации приведены в Приложении 1 к настоящему Положению.
3.3. Контроль за функционированием системы управления банковскими рисками и оценка банковских рисков осуществляются кредитной организацией на постоянной основе в порядке, установленном внутренними документами.
(п. 3.3 в ред. Указания Банка России от 24.04.2014 N 3241-У)
3.4. Контроль за распределением полномочий при совершении банковских операций и других сделок.
3.4.1. Порядок распределения полномочий между подразделениями и служащими при совершении банковских операций и других сделок устанавливается внутренними документами кредитной организации и должен включать в том числе такие формы (способы) контроля, как:
- проверки, осуществляемые органами управления путем запроса отчетов и информации о результатах деятельности структурных подразделений, разъяснений руководителей соответствующих подразделений в целях выявления недостатков контроля, нарушений, ошибок;
- контроль, осуществляемый руководителями подразделений посредством проверки отчетов о работе подчиненных им служащих (на ежедневной и (или) еженедельной и (или) ежемесячной основе);
- материальный (физический) контроль, осуществляемый путем проверок ограничений доступа к материальным ценностям, пересчета материальных ценностей (денежной наличности, ценных бумаг в документарной форме и т.п.), разделения ответственности за хранение и использование материальных ценностей, обеспечение охраны помещений для хранения материальных ценностей;
- проверка соблюдения установленных лимитов на осуществление банковских операций и других сделок путем получения соответствующих отчетов и сверки с данными первичных документов;
- система согласования (утверждения) операций (сделок) и распределения полномочий при совершении банковских операций и других сделок, превышающих установленные лимиты, предусматривающая своевременное информирование соответствующих руководителей кредитной организации (ее подразделений) о таких операциях (сделках) или сложившейся ситуации и их надлежащее отражение в бухгалтерском учете и отчетности;
- проверка соблюдения порядка совершения (процедур) банковских операций и других сделок, выверка счетов, информирование соответствующих руководителей кредитной организации (ее подразделений) о выявленных нарушениях, ошибках и недостатках.
3.4.2. Кредитная организация должна обеспечить распределение должностных обязанностей служащих таким образом, чтобы исключить конфликт интересов (противоречие между имущественными и иными интересами кредитной организации и (или) ее служащих и (или) клиентов, которое может повлечь за собой неблагоприятные последствия для кредитной организации и (или) ее клиентов) и условия его возникновения, совершение преступлений и осуществление иных противоправных действий при совершении банковских операций и других сделок, а также предоставление одному и тому же подразделению или служащему права:
- совершать банковские операции и другие сделки и осуществлять их регистрацию и (или) отражение в учете;
- санкционировать выплату денежных средств и осуществлять (совершать) их фактическую выплату;
- проводить операции по счетам клиентов кредитной организации и счетам, отражающим собственную финансово-хозяйственную деятельность кредитной организации;
- предоставлять консультационные и информационные услуги клиентам кредитной организации и совершать операции с теми же клиентами;
- оценивать достоверность и полноту документов, представляемых при выдаче кредита, и осуществлять мониторинг финансового состояния заемщика;
- совершать действия в любых других областях, где может возникнуть конфликт интересов.
3.4.3. Кредитная организация должна установить порядок выявления и контроля за областями потенциального конфликта интересов, проверки должностных обязанностей служащих, занимающих должности, предусмотренные частью третьей статьи 11.1 Федерального закона "О банках и банковской деятельности", а также иных служащих кредитной организации, с тем, чтобы исключить возможность сокрытия ими противоправных действий.
3.5. Контроль за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности.
3.5.1. Информация по направлениям деятельности кредитной организации должна быть своевременной, надежной, доступной и правильно оформленной. Информация состоит из сведений о деятельности кредитной организации и ее результатах, данных о соблюдении установленных требований нормативных правовых актов, стандартов саморегулируемых организаций (для профессиональных участников рынка ценных бумаг), учредительных и внутренних документов кредитной организации, а также из сведений о событиях и условиях, имеющих отношение к принятию решений. Форма представления информации должна быть определена с учетом потребностей конкретного получателя (органы управления, подразделения, служащие кредитной организации).
Порядок контроля за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности должен быть установлен внутренними документами кредитной организации с учетом положений данного и других подпунктов пункта 3.5 настоящего Положения и должен распространяться на все направления ее деятельности.
3.5.2. Внутренний контроль за автоматизированными информационными системами и техническими средствами состоит из общего контроля и программного контроля.
3.5.3. Общий контроль автоматизированных информационных систем предусматривает контроль компьютерных систем (контроль за главным компьютером, системой клиент-сервер и рабочими местами конечных пользователей и т.д.), проводимый с целью обеспечения бесперебойной и непрерывной работы.
Общий контроль состоит из осуществляемых кредитной организацией процедур резервирования (копирования) данных и процедур восстановления функций автоматизированных информационных систем, осуществления поддержки в течение времени использования автоматизированных информационных систем, включая определение правил приобретения, разработки и обслуживания (сопровождения) программного обеспечения, порядка осуществления контроля за безопасностью физического доступа.
3.5.4. Программный контроль осуществляется встроенными в прикладные программы автоматизированными процедурами, а также выполняемыми вручную процедурами, контролирующими обработку банковских операций и других сделок (контрольное редактирование, контроль логического доступа, внутренние процедуры резервирования и восстановления данных и т.п.).
3.5.5. Кредитная организация устанавливает правила управления информационной деятельностью, включая порядок защиты от несанкционированного доступа и распространения конфиденциальной информации, а также от использования конфиденциальной информации в личных целях.
3.6. Мониторинг системы внутреннего контроля.
3.6.1. Мониторинг системы внутреннего контроля осуществляется на постоянной основе. Во внутренних документах кредитной организации должен быть определен порядок осуществления мониторинга системы внутреннего контроля (методики, правила, периодичность, порядок рассмотрения результатов мониторинга и т.д.). Кредитная организация принимает необходимые меры по совершенствованию внутреннего контроля для обеспечения его эффективного функционирования, в том числе с учетом меняющихся внутренних и внешних факторов, оказывающих воздействие на деятельность кредитной организации.
3.6.2. Мониторинг системы внутреннего контроля осуществляется руководством и служащими различных подразделений, включая подразделения, осуществляющие банковские операции и другие сделки и их отражение в бухгалтерском учете и отчетности, а также службой внутреннего аудита.
(в ред. Указания Банка России от 24.04.2014 N 3241-У)
Периодичность осуществления наблюдения за различными видами деятельности кредитной организации определяется исходя из связанных с ними банковских рисков, частоты и характера изменений, происходящих в направлениях деятельности кредитной организации.
Результаты рассмотрения документируются и доводятся до сведения соответствующих руководителей кредитной организации (ее подразделений).
3.7. Кредитная организация должна обеспечить непрерывность деятельности и (или) восстановление деятельности в случае возникновения нестандартных и чрезвычайных ситуаций. В указанных целях кредитная организация должна иметь утвержденный советом директоров (наблюдательным советом) план действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения нестандартных и чрезвычайных ситуаций, предусматривающий использование дублирующих (резервных) автоматизированных систем и (или) устройств, а также восстановление критически важных для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг. Кредитная организация определяет порядок проверки возможности выполнения плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности в случае возникновения нестандартных и чрезвычайных ситуаций.
(в ред. Указания Банка России от 24.04.2014 N 3241-У)
Рекомендации по структуре и содержанию плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения нестандартных и чрезвычайных ситуаций, а также по организации проверки возможности его выполнения приведены в приложении 5 к настоящему Положению.
(в ред. Указания Банка России от 24.04.2014 N 3241-У)
(п. 3.7 в ред. Указания Банка России от 05.03.2009 N 2194-У)
3.8. Кредитная организация должна принять внутренние документы по основным вопросам, связанным с осуществлением внутреннего контроля, предусмотренным Приложением 2 к настоящему Положению.
Внутренние документы (правила, процедуры, положения, распоряжения, решения, приказы, методики, должностные инструкции и иные документы в формах, принятых в международной банковской практике) могут приниматься кредитной организацией и по иным вопросам совершения банковских операций и других сделок. Сочетание вопросов в принимаемых кредитной организацией внутренних документах определяется ею самостоятельно с учетом условий деятельности, включая в том числе характер осуществляемых операций, уровень и сочетание принимаемых рисков, иных обстоятельств.
(в ред. Указания Банка России от 24.04.2014 N 3241-У)