Банки будут проверять поставщиков на связи с рф и санкционные риски: решение НБУ

Национальный банк Украины утвердил комплекс новых требований к управлению рисками, связанными с третьими сторонами, предоставляющими услуги банкам, платежным учреждениям и страховым компаниям. Новые правила направлены на усиление операционной устойчивости финансового сектора, защиту информации и обеспечение непрерывности работы учреждений.

Для банков и предоставлятелей платежных услуг таких контрагентов определены как TPSP-поставщики (Third-Party Service Provider) — юридические или физические лица-предприниматели, предоставляющие финансовым учреждениям различные услуги. Регулятор отмечает, что от работы отдельных таких поставщиков могут зависеть непрерывность деятельности учреждений, выполнение ими своих обязательств, кибербезопасность и защита информации.

Особое внимание банки должны уделять поставщикам критических услуг. Критической будет считаться услуга, сбой или прекращение которой может оказать существенное влияние на выполнение ключевых функций банка, его операционную деятельность или соблюдение законодательных требований.

До 31 декабря 2026 г. банки должны проверить действующие договоры с TPSP-поставщиками на соответствие требованиям законодательства. В частности, они должны установить, не связаны ли сами контрагенты или их конечные бенефициарные собственники с государством-агрессором, не находятся ли под санкциями и не включены в перечень лиц, связанных с террористической деятельностью.

В случае обнаружения несоответствия банк обязан прекратить сотрудничество в кратчайшие сроки или разработать поэтапный план его завершения. Для критических поставщиков такой план должен быть утвержден советом банка позже 31 марта 2027 года.

До 30 июня 2027 г. банки также должны обновить внутренние документы по управлению рисками, сформировать перечень критических TPSP-поставщиков и ввести новые процедуры контроля. Требования к критичным контрагентам начнут применяться не позднее 1 июля 2027 года, а в отношении других поставщиков — с 30 июня 2028 года.

Перед заключением договоров с критическими поставщиками банки должны оценивать их деловую репутацию, структуру собственности, финансовую и операционную способность и риски чрезмерной концентрации услуг. После начала сотрудничества мониторинг должен производиться на постоянной основе.

Кроме того, для каждого критического поставщика банки должны разработать отдельные планы действий в случае планового или внезапного прекращения предоставления критических услуг и пересматривать их, по меньшей мере, раз в год.

Новые требования распространяются также на платежные учреждения, учреждения электронных денег, операторы почтовой связи, оказывающие платежные услуги, и страховые компании. Платежные учреждения должны привести свою деятельность в соответствие с новыми правилами до 31 марта 2027 года, а страховщики — до 30 июня 2027 года. Для страховых компаний, в частности, установлены дополнительные требования к проверке аутсорсеров, оценке рисков концентрации услуг, конфликту интересов, защите информации и наличию планов действий на случай кризисных ситуаций.

Новые правила утверждены постановлениями Правления НБУ №70, №72 и №73 от 30 июня 2026 года, вступившими в силу 1 июля.

Введение требований к управлению рисками третьих сторон является одним из структурных маяков новой программы расширенного финансирования EFF Международного валютного фонда, выполнение которых Украина взяла на себя в рамках сотрудничества с МВФ.