Глава 2. Организационная структура, используемая Банком России при обеспечении БФПС

2.1. Организационная структура, используемая Банком России при обеспечении БФПС, формируется на основе принципа трех линий защиты:

первая линия защиты представлена подразделениями в составе структурных подразделений Банка России, которые выполняют бизнес-процесс (операцию, шаг) и управляют рисками в ПС, а также непрерывностью функционирования ПС (далее - ПУРиН), руководителями ПУРиН, владельцем бизнес-процесса, заместителем Председателя Банка России, курирующим вопросы организации и функционирования ПС (далее - курирующий руководитель Банка России), Председателем Банка России;

вторая линия защиты представлена уполномоченными структурными подразделениями Банка России - структурным подразделением центрального аппарата Банка России, реализующим полномочия оператора ПС (далее - подразделение, реализующее полномочия оператора ПС), и структурным подразделением центрального аппарата Банка России, ответственным за развитие системы управления рисками Банка России (далее - УРСУР), а также Комитетом по управлению рисками в ПС (далее - Комитет), которые выполняют методологические и (или) контрольные функции по обеспечению БФПС;

третья линия защиты представлена Службой главного аудитора Банка России, осуществляющей независимую оценку системы управления рисками в ПС (далее - СУР).

2.2. Субъектами организационной структуры, обеспечивающими БФПС, являются:

Председатель Банка России;

курирующий руководитель Банка России;

Комитет;

владелец бизнес-процесса - руководитель подразделения, реализующего полномочия оператора ПС, ответственный в соответствии с организационно-распорядительным документом Банка России за результаты выполнения бизнес-процесса;

руководители ПУРиН;

работники структурных подразделений Банка России, в состав которых в том числе входят ПУРиН (далее - работники структурных подразделений Банка России);

работники УРСУР, выполняющие методологические функции по управлению рисками, присущими бизнес-процессу (далее - работники УРСУР);

работники подразделения, реализующего полномочия оператора ПС, выполняющие методологические функции по управлению непрерывностью функционирования ПС (далее - работники оператора ПС);

работники подразделения, реализующего полномочия оператора ПС, назначенные владельцем бизнес-процесса для координации и выполнения работ по обеспечению БФПС исходя из имеющихся у них знаний о бизнес-процессе (операциях, шагах) и знаний в области обеспечения БФПС (далее - риск-координаторы бизнес-процесса);

работники ПУРиН, назначенные руководителем структурного подразделения Банка России для координации и выполнения работ по обеспечению БФПС в рамках компетенции данного структурного подразделения Банка России (далее - риск-координаторы ПУРиН).

2.2.1. Председатель Банка России:

рассматривает и утверждает ежегодный отчет об управлении рисками в ПС;

принимает решения о выделении ресурсов, необходимых для обеспечения БФПС;

принимает решения о реагировании на инциденты, последствия которых требуют перехода на резервную автоматизированную систему.

2.2.2. Курирующий руководитель Банка России:

осуществляет контроль за обеспечением БФПС;

рассматривает и согласовывает предложения владельца бизнес-процесса по мерам реагирования на значимые риски (далее - меры реагирования) в части, относящейся к его компетенции, и обеспечивает организацию выполнения принятых решений;

согласовывает ключевые индикаторы рисков (далее - КИР), предложенные владельцем бизнес-процесса в дополнение к указанным в приложении 1 к настоящему Положению (далее - дополнительные КИР), или отмену КИР;

утверждает план действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности Банка России как оператора ПС (далее - план ОНиВД);

принимает решения о применении мер, направленных на обеспечение непрерывности функционирования ПС в условиях инцидента (далее - обеспечивающие меры), приводящего к приостановлению оказания одной или нескольких УПИ в ПС более чем на 2 часа, в том числе об активации соответствующих сценариев плана ОНиВД;

принимает решения по спорным вопросам, возникающим при обеспечении БФПС, в том числе при отсутствии по ним согласованной позиции у курируемых структурных подразделений Банка России.

2.2.3. Комитет является действующим на постоянной основе коллегиальным органом по управлению рисками, присущими бизнес-процессу. Функции и полномочия Комитета, в том числе в части оценки СУР, определяются положением о Комитете, которое утверждается организационно-распорядительным документом Банка России.

2.2.4. Владелец бизнес-процесса в рамках предоставленных полномочий обеспечивает БФПС посредством выполнения следующих мероприятий.

В части управления значимыми рисками:

обеспечивает формирование и поддержание в актуальном состоянии описания бизнес-процесса;

совместно с руководителями ПУРиН обеспечивает идентификацию рисков, присущих бизнес-процессу, и утверждает перечень значимых рисков;

совместно с руководителями ПУРиН обеспечивает проведение оценки значимых рисков;

организует ведение профиля риска нарушения БФПС, содержащего информацию о значимых рисках (далее - единый профиль рисков в ПС), и утверждает единый профиль рисков в ПС, подготовленный по результатам проведенной оценки значимых рисков;

обеспечивает подготовку и направление курирующему руководителю Банка России предложений о реагировании на значимые риски, обеспечивает выполнение принятых решений по ним;

обеспечивает разработку дополнительных КИР или их отмену;

обеспечивает проведение мониторинга комбинации вероятности реализации риска и его воздействия (далее при совместном упоминании - уровень значимого риска) на предмет своевременного применения мер реагирования;

обеспечивает проведение оценки эффективности управления значимыми рисками и принимает меры, направленные на совершенствование бизнес-процесса, в том числе на решение проблем при обеспечении БФПС, затрагивающих несколько бизнес-процессов Банка России и (или) структурных подразделений Банка России (далее - системные проблемы);

обеспечивает подготовку ежегодного отчета об управлении рисками в ПС;

обеспечивает выполнение решений Комитета, сформированных по итогам проведенной оценки СУР;

обеспечивает непрерывность исполнения обязанностей, возложенных настоящим Положением на риск-координаторов бизнес-процесса и риск-координаторов ПУРиН, в том числе посредством назначения лиц, их замещающих.

В части управления непрерывностью функционирования ПС:

обеспечивает выявление, сбор и обработку сведений об инцидентах;

обеспечивает полноту и корректность данных об инцидентах;

обеспечивает проведение оценки влияния на БФПС каждого и всех в совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса;

обеспечивает подготовку проекта плана ОНиВД;

принимает решения о применении обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания одной или нескольких УПИ в ПС менее чем на 2 часа;

обеспечивает подготовку предложений о применении обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания одной или нескольких УПИ в ПС более чем на 2 часа и выполнение принятых решений;

обеспечивает тестирование и пересмотр плана ОНиВД;

обеспечивает проведение оценки эффективности управления непрерывностью функционирования ПС.

В части организации взаимодействия Банка России и участников ПС по обеспечению БФПС владелец бизнес-процесса обеспечивает информирование участников ПС о приостановлении и восстановлении оказания УПИ в ПС.

2.2.5. Руководители ПУРиН обеспечивают БФПС в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, посредством выполнения следующих мероприятий.

В части управления значимыми рисками:

обеспечивают формирование и поддержание в актуальном состоянии описания выполняемых операций (шагов) бизнес-процесса, в том числе посредством направления предложений о внесении изменений в описание бизнес-процесса;

участвуют в идентификации рисков, присущих бизнес-процессу, и согласовывают перечень значимых рисков;

обеспечивают проведение оценки значимых рисков;

организуют ведение информации о значимых рисках в рамках единого профиля рисков в ПС в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, и согласовывают содержание данной информации в едином профиле рисков в ПС по результатам оценки значимых рисков;

согласовывают предложения риск-координаторов ПУРиН о применении в отношении значимых рисков мер реагирования и обеспечивают выполнение принятых решений по ним;

обеспечивают подготовку предложений о разработке или отмене дополнительных КИР;

согласовывают предложенные риск-координаторами ПУРиН дополнительные КИР;

обеспечивают проведение мониторинга уровней значимых рисков на предмет своевременного применения мер реагирования;

обеспечивают проведение оценки эффективности управления значимыми рисками и принимают меры, направленные на совершенствование бизнес-процесса, в том числе обеспечивают подготовку предложений владельцу бизнес-процесса о реагировании на системные проблемы;

обеспечивают подготовку материалов для включения в ежегодный отчет об управлении рисками в ПС;

обеспечивают выполнение решений Комитета, сформированных по итогам проведенной оценки СУР;

обеспечивают осведомленность работников ПУРиН о значимых рисках и порядке управления ими.

В части управления непрерывностью функционирования ПС:

обеспечивают выявление, сбор и обработку сведений об инцидентах;

обеспечивают полноту и корректность данных об инцидентах;

обеспечивают проведение оценки влияния на БФПС каждого инцидента и всех в совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса, в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;

обеспечивают подготовку предложений к проекту плана ОНиВД в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;

принимают решения о применении обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания УПИ в ПС менее чем на 2 часа;

обеспечивают реализацию обеспечивающих мер, в том числе об активации сценариев плана ОНиВД, в отношении инцидентов, приводящих к приостановлению оказания УПИ в ПС более чем на 2 часа;

обеспечивают тестирование и пересмотр плана ОНиВД в части отдельных сценариев;

обеспечивают проведение оценки эффективности управления непрерывностью функционирования ПС.

В части организации взаимодействия Банка России и участников ПС по обеспечению БФПС руководители ПУРиН обеспечивают информирование участников ПС о приостановлении и восстановлении оказания УПИ в ПС, если такое информирование входит в состав операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН.

2.2.6. Работники структурных подразделений Банка России выполняют решения по обеспечению БФПС, принятые Председателем Банка России, курирующим руководителем Банка России, владельцем бизнес-процесса и руководителями соответствующих ПУРиН, а также информируют их и риск-координаторов ПУРиН об идентифицированных рисках, присущих бизнес-процессу, выявленных инцидентах и предоставляют необходимые документы и информацию по запросам риск-координаторов бизнес-процесса и риск-координаторов ПУРиН.

2.2.7. Работники УРСУР осуществляют общую координацию и методологическую поддержку деятельности по управлению рисками, присущими бизнес-процессу, в том числе:

осуществляют верификацию сведений о значимых рисках, сведений о связанных с ними инцидентах и сведений о дополнительных КИР;

разрабатывают и поддерживают в актуальном состоянии таксономии источников риска (риск-факторов), областей реализации рисков (риск-событий) и мер реагирования;

проводят анализ данных о значимых рисках и об управлении ими, в том числе на предмет выявления системных проблем, и при необходимости готовят предложения для структурных подразделений Банка России и (или) руководства Банка России, направленные на повышение эффективности управления рисками и совершенствование бизнес-процесса.

2.2.8. Работники оператора ПС осуществляют общую координацию деятельности и методологическую поддержку деятельности по управлению непрерывностью функционирования ПС, а также разрабатывают и поддерживают в актуальном состоянии классификаторы (структурированные перечни) рисков, риск-событий и причин риск-событий, которые применяются наряду с таксономиями, указанными в подпункте 2.2.7 настоящего пункта.

2.2.9. Риск-координаторы бизнес-процесса оказывают методологическую поддержку ПУРиН по вопросам обеспечения БФПС и выполняют следующие мероприятия.

В части управления значимыми рисками:

контролируют актуальность описания бизнес-процесса;

идентифицируют риски, присущие бизнес-процессу, и формируют перечень значимых рисков;

согласовывают подготовленные ПУРиН результаты оценки значимых рисков и составляют единый профиль рисков в ПС;

согласовывают предложения ПУРиН о применении в отношении значимых рисков мер реагирования;

осуществляют контроль за своевременным выполнением ПУРиН решений о применении в отношении значимых рисков мер реагирования, принятых курирующим руководителем Банка России и владельцем бизнес-процесса, в том числе посредством направления запросов о предоставлении информации и документов руководителям ПУРиН, риск-координаторам ПУРиН и другим работникам ПУРиН;

подготавливают предложения по дополнительным КИР или их отмене и представляют их на рассмотрение владельцу бизнес-процесса;

согласовывают разработанные риск-координаторами ПУРиН дополнительные КИР, а также предложения по их отмене;

проводят мониторинг уровней значимых рисков;

проводят оценку эффективности управления значимыми рисками и подготавливают предложения для владельца бизнес-процесса по принятию мер, направленных на совершенствование бизнес-процесса;

осуществляют подготовку ежегодного отчета об управлении рисками в ПС;

подготавливают предложения для владельца бизнес-процесса по реализации решений Комитета, сформированных по итогам проведенной оценки СУР.

В части управления непрерывностью функционирования ПС:

согласовывают сведения о выявленных риск-координаторами ПУРиН инцидентах;

согласовывают результаты оценки влияния на БФПС каждого инцидента, совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса;

подготавливают проект плана ОНиВД;

согласовывают предложения риск-координаторов ПУРиН о применении в отношении инцидентов, реализовавшихся при выполнении бизнес-процесса, обеспечивающих мер, в том числе сценариев плана ОНиВД;

осуществляют контроль за своевременным выполнением работниками ПУРиН решений о применении обеспечивающих мер, в том числе посредством направления запросов о предоставлении информации и документов руководителям ПУРиН, риск-координаторам ПУРиН и другим работникам ПУРиН;

участвуют в тестировании и пересмотре плана ОНиВД;

проводят оценку эффективности управления непрерывностью функционирования ПС.

В части организации взаимодействия Банка России и участников ПС по обеспечению БФПС риск-координаторы бизнес-процесса совместно с риск-координаторами ПУРиН контролируют исполнение мероприятий по информированию участников ПС о приостановлении и восстановлении оказания УПИ в ПС.

2.2.10. Риск-координаторы ПУРиН оказывают методологическую поддержку работникам ПУРиН по вопросам обеспечения БФПС и проводят следующие мероприятия в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН.

В части управления значимыми рисками:

контролируют актуальность описания бизнес-процесса;

участвуют в идентификации значимых рисков и формировании перечня значимых рисков;

проводят оценку значимых рисков и заполняют единый профиль рисков в ПС в части значимых рисков, присущих операциям (шагам) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;

подготавливают предложения о применении в отношении значимых рисков мер реагирования и согласовывают их с руководителями ПУРиН;

осуществляют контроль за своевременным выполнением ПУРиН решений, принятых курирующим руководителем Банка России, владельцем бизнес-процесса и руководителями ПУРиН в части, относящейся к компетенции ПУРиН, о применении мер реагирования, в том числе посредством направления запросов о предоставлении информации и документов работникам ПУРиН;

разрабатывают по решению руководителей ПУРиН дополнительные КИР, а также предложения по их отмене;

проводят мониторинг уровней значимых рисков;

проводят оценку эффективности управления значимыми рисками, в том числе на предмет выявления системных проблем, и подготавливают предложения для руководителей ПУРиН по принятию мер, направленных на совершенствование бизнес-процесса;

участвуют в подготовке материалов для включения в ежегодный отчет об управлении рисками в ПС;

подготавливают предложения для руководителей ПУРиН по реализации решений Комитета, сформированных по итогам проведенной оценки СУР.

В части управления непрерывностью функционирования ПС:

выявляют инциденты, а также осуществляют сбор и обработку сведений об инцидентах;

проводят оценку влияния на БФПС каждого инцидента, совокупности инцидентов, реализовавшихся в течение календарного месяца при выполнении бизнес-процесса, в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН, и направляют результаты оценки на согласование риск-координаторам бизнес-процесса;

подготавливают предложения к проекту плана ОНиВД по отдельным сценариям в части операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН;

подготавливают предложения для руководителей ПУРиН о применении в отношении выявленных инцидентов обеспечивающих мер, в том числе сценариев плана ОНиВД;

осуществляют контроль за своевременным выполнением работниками ПУРиН решений о применении обеспечивающих мер, в том числе посредством направления запросов о предоставлении информации и документов работникам ПУРиН;

участвуют в тестировании отдельных сценариев плана ОНиВД и пересмотре плана ОНиВД в части отдельных сценариев;

проводят оценку эффективности управления непрерывностью функционирования ПС.

В части организации взаимодействия Банка России и участников ПС по обеспечению БФПС риск-координаторы ПУРиН совместно с риск-координаторами бизнес-процесса контролируют выполнение мероприятий по информированию участников ПС о приостановлении и восстановлении оказания УПИ в ПС, если такое информирование входит в состав операций (шагов) бизнес-процесса, выполнение которых отнесено к компетенции ПУРиН.

2.3. Распределение обязанностей между субъектами организационной структуры при выполнении ими деятельности по управлению значимыми рисками, предусмотренной главой 3 настоящего Положения, и деятельности по управлению непрерывностью функционирования ПС, предусмотренной главой 4 настоящего Положения, осуществляется в порядке, установленном в Банке России.