Банки перевірятимуть постачальників на зв’язки з РФ і санкційні ризики: рішення НБУ

Національний банк України затвердив комплекс нових вимог до управління ризиками, пов’язаними з третіми сторонами, які надають послуги банкам, платіжним установам та страховим компаніям. Нові правила спрямовані на посилення операційної стійкості фінансового сектору, захист інформації та забезпечення безперервності роботи установ.

Для банків і надавачів платіжних послуг таких контрагентів визначено як TPSP-постачальників (Third-Party Service Provider) — юридичних або фізичних осіб-підприємців, які надають фінансовим установам різноманітні послуги. Регулятор наголошує, що від роботи окремих таких постачальників можуть залежати безперервність діяльності установ, виконання ними своїх зобов’язань, кібербезпека та захист інформації.

Особливу увагу банки мають приділяти постачальникам критичних послуг. Критичною вважатиметься послуга, збій або припинення якої може суттєво вплинути на виконання ключових функцій банку, його операційну діяльність або дотримання законодавчих вимог.

До 31 грудня 2026 року банки повинні перевірити чинні договори з TPSP-постачальниками на відповідність вимогам законодавства. Зокрема, вони мають встановити, чи не пов’язані самі контрагенти або їхні кінцеві бенефіціарні власники з державою-агресором, чи не перебувають під санкціями та чи не включені до переліків осіб, пов’язаних із терористичною діяльністю.

У разі виявлення невідповідності банк зобов’язаний припинити співпрацю у найкоротший строк або розробити поетапний план її завершення. Для критичних постачальників такий план має бути затверджений радою банку не пізніше 31 березня 2027 року.

До 30 червня 2027 року банки також мають оновити внутрішні документи з управління ризиками, сформувати перелік критичних TPSP-постачальників і запровадити нові процедури контролю. Вимоги щодо критичних контрагентів почнуть застосовуватися не пізніше 1 липня 2027 року, а щодо інших постачальників — із 30 червня 2028 року.

Перед укладенням договорів із критичними постачальниками банки повинні оцінювати їхню ділову репутацію, структуру власності, фінансову та операційну спроможність, а також ризики надмірної концентрації послуг. Після початку співпраці моніторинг має здійснюватися на постійній основі.

Крім того, для кожного критичного постачальника банки повинні розробити окремі плани дій на випадок планового або раптового припинення надання критичних послуг та переглядати їх щонайменше раз на рік.

Нові вимоги поширюються також на платіжні установи, установи електронних грошей, операторів поштового зв’язку, які надають платіжні послуги, та страхові компанії. Платіжні установи мають привести свою діяльність у відповідність до нових правил до 31 березня 2027 року, а страховики — до 30 червня 2027 року. Для страхових компаній, зокрема, встановлено додаткові вимоги до перевірки аутсорсерів, оцінки ризиків концентрації послуг, конфлікту інтересів, захисту інформації та наявності планів дій на випадок кризових ситуацій.

Нові правила затверджені постановами Правління НБУ №70, №72 та №73 від 30 червня 2026 року, які набрали чинності 1 липня.

Запровадження вимог до управління ризиками третіх сторін є одним із структурних маяків нової програми розширеного фінансування EFF Міжнародного валютного фонду, виконання яких Україна взяла на себе в межах співпраці з МВФ.