Готовим лицензиата к ИТ-проверке регулятора

Перечень запрашиваемых документов обычно приходит с коротким сроком, и его содержание следует правилам вашего режима.

• DORA. Финансовая организация по запросу компетентного органа предоставляет полную и актуальную информацию об ИКТ-рисках и своей системе управления ими (ст. 6(3)), отчёт о ежегодном пересмотре этой системы (ст. 6(5)) и полный реестр договоров на ИКТ-услуги (ст. 28(3)).
• FCA, глава SYSC 15A. Компания ведёт письменную самооценку операционной устойчивости, хранит каждую версию не менее шести лет и передаёт её FCA по запросу (SYSC 15A.6.1R, 15A.6.2R).
• VARA, Technology and Information Rulebook. Доказательства тестов и аудитов документируются и немедленно предоставляются VARA для проверки (правило I.E.3).

Ит-проверка регулятора финтех: разговор с ответственными

Правила называют ответственных людей, и проверяющие говорят именно с ними. DORA возлагает окончательную ответственность за ИКТ-риск на орган управления (ст. 5(2)); VARA требует назначить CISO, отдельного от комплаенс-офицера (правило I.I.1). Документы, которые написал посторонний и не знают эти люди, рассыпаются на первом же интервью.

ЕС: DORA

Применяется с 17 января 2025 года к платёжным и электронно-денежным организациям и к поставщикам криптоуслуг, получившим разрешение по MiCA (ст. 2(1), ст. 64). Система управления ИКТ-рисками документируется и пересматривается не реже раза в год (ст. 6(5)).

Великобритания: операционная устойчивость FCA

Глава SYSC 15A распространяется на электронно-денежные и платёжные организации и на зарегистрированных поставщиков услуг информирования о счёте (SYSC 15A.1.1R(3)). До 31 марта 2025 года компании должны были обеспечить работу важных бизнес-услуг в пределах допустимого уровня воздействия (impact tolerance). FCA публикует опросники самооценки CQUEST и ORQUEST.

Сингапур: требования MAS TRM

Руководство MAS по управлению технологическим риском от 18 января 2021 года обращено ко всем лицензируемым секторам, включая платежи. Нотис MAS FSM-N13 действует для поставщиков услуг с цифровыми платёжными токенами с 6 ноября 2024 года и задаёт жёсткие цифры: уведомить MAS не позднее 1 часа после обнаружения значимого инцидента, отчёт о первопричине в течение 14 дней, целевое время восстановления критичной системы не более 4 часов, внеплановый простой критичной системы не более 4 часов за любые 12 месяцев.

Дубай: требования VARA к ИТ

VASP назначает CISO (правило I.I.1), привлекает квалифицированного независимого подрядчика для оценки уязвимостей и тестов на проникновение (правило I.E.1) и регулярно проходит независимый аудит (правило I.E.4).

Канада: RPAA

Платёжный провайдер, зарегистрированный в Bank of Canada, ведёт систему управления рисками и реагирования на инциденты (ст. 17(1)) и без промедления уведомляет пострадавших и Банк об инциденте с существенным воздействием (ст. 18(1)). С 8 сентября 2025 года эти системы должны работать. Техническую часть в Канаде выполняет ИТ-бренд группы itopsi.com.

1. Карта правил. Выписываем требования, относящиеся к вашей лицензии, и документы, которые из них следуют.
2. Письмо о рамках (scope letter). Фиксируем юрлица, системы, срок и фиксированную цену. До подписи ничего не смотрим.
3. Сверка с реальностью. Сравниваем документы с настройками: доступы, журналы, резервные копии и тесты восстановления, договоры с поставщиками, записи об инцидентах. Каждую находку проверяет человек.
4. Исправления. Быстрые закрываем сами или с вашим ИТ-подрядчиком, длинным назначаем владельца и дату.
5. Папка. Документы разложены по номерам правил, к каждому разделу короткая записка для руководства простым языком.
6. Репетиция. Проходим с ответственными лицами вопросы, которые проверяющие обычно задают по их участку.

Сильнее всего расходятся часы уведомлений. Технический стандарт DORA требует первичного уведомления в течение 4 часов после классификации инцидента как крупного и не позднее 24 часов с момента, когда о нём стало известно; MAS FSM-N13 даёт 1 час с момента обнаружения; RPAA требует уведомить без промедления. Одна процедура реагирования с таблицей уведомлений по каждому режиму держит эти сроки под контролем.

Различаются и тесты. VARA ждёт независимого внешнего тестирования (правило I.E.1); DORA оставляет тесты на проникновение на основе угроз (TLPT) для организаций, которые выбрал надзор (ст. 26). Пентест доступен по запросу через независимого исполнителя; мы готовим рамки и закрываем находки.

Лицензии и корпоративную структуру ведёт наша практика лицензирования.