SYSC 15A для EMI и платёжного института: устойчивость, которую можно показать FCA

Правила и руководство FCA по операционной устойчивости вступили в силу 31 марта 2022 года. До 31 марта 2025 года фирмы должны были провести картирование и тестирование так, чтобы оставаться в пределах порогов воздействия по каждой важной бизнес-услуге. Теперь это обычное надзорное требование.

Для EMI, которая только получает разрешение, вопрос встаёт уже на этапе заявки: регулятору нужно видеть, как компания будет управлять сбоями с первого дня. Заявку и общение с регулятором ведёт наша практика лицензирования EMI в Великобритании, мы закрываем ИТ- и операционную часть.

Для платёжной компании типичные кандидаты в важные услуги — приём и исполнение платежей, выпуск и погашение электронных денег, доступ клиента к счёту. Решение принимает фирма. При установке порога руководство FCA (SYSC 15A.2.7G) предлагает учитывать, сколько клиентов пострадает, каков характер вреда и потеряют ли они функции или доступ.

Карта зависимостей

Правило SYSC 15A.4.1R требует описать всё, что нужно для оказания каждой услуги. На практике это банк-партнёр по защите средств, процессинг, облако, поставщик KYC, ключевые сотрудники. Мы строим карту по реальным договорам и схемам, отмечаем единичные точки отказа и показываем, где порог воздействия сейчас недостижим.

Руководство FCA (SYSC 15A.5.6G) предлагает сценарии, которые стоит рассмотреть: повреждение, удаление или подмена критичных данных, недоступность помещений или ключевых людей, отказ сторонних поставщиков, сбой у других участников рынка, потеря технологий, на которых держится услуга.

Как часто тестировать

По SYSC 15A.5.7R тесты повторяются при существенном изменении бизнеса, услуг или порогов, после улучшений по итогам прошлого теста и в любом случае регулярно. Мы готовим сценарии под вашу карту зависимостей, проводим настольные учения с командой и фиксируем результат так, чтобы его можно было приложить к самооценке.

Самооценка собирает всю работу в один документ: перечень важных услуг с обоснованием, пороги, карту зависимостей, план и результаты тестов, уроки и план улучшений. К нему примыкает стратегия внутренних и внешних коммуникаций на случай сбоя (SYSC 15A.8).

Ежегодная оценка рисков по Reg 98

Отдельно от SYSC 15A каждый поставщик платёжных услуг по регламенту 98 Payment Services Regulations 2017 ежегодно передаёт FCA обновлённую оценку операционных рисков и рисков безопасности и адекватности мер против них. Мы готовим обе части из одной базы, чтобы они не противоречили друг другу.

Правила об уведомлении об операционных инцидентах распространяются на поставщиков платёжных услуг. Карта зависимостей, собранная для SYSC 15A, становится основой реестра существенных договоров, и подготовку разумно вести одновременно.

Как мы работаем

1. Платная консультация на 30 минут и письмо о рамках: услуги, системы, сроки, фиксированная цена.
2. Разбор текущего состояния с отчётом о разрывах простым языком.
3. Карта, пороги, сценарии вместе с вашей командой; каждую находку проверяет человек.
4. Самооценка и сопутствующие документы для утверждения советом директоров.
5. Повторная проверка после улучшений.