ПНИИИМР Ланселот Правила внутреннего контроля по 224-ФЗ
Запросить демонстрацию

Федеральный закон от 27.07.2010 № 224-ФЗ, статья 11, часть 2

Правила внутреннего контроля по 224-ФЗ, которые исполняются системой и оставляют доказательство исполнения

Сообщения о возможных нарушениях приходят в почту и теряются, срок рассмотрения никто не считает, согласование замыкается на одном человеке, а на запрос Банка России доказательства собираются вручную по переписке. Продукт превращает процедуру ПВК в маршрут, который нельзя обойти, и фиксирует каждый шаг с датой, временем, сотрудником и комментарием.

Записаться на демо-показ

На показе открываем рабочий стенд: путь сообщения от письма в ящике до закрытия события, права на переходы у четырёх ролей, протокол смены статусов и выгрузка для ответа регулятору. Занимает около 40 минут.

Для тех, кто читает регламенты до разговора: карта «требование ↔ функция» по статье 11, разбор маршрута события и место системы в контуре комплаенса.

  • 24 / 38 статуса и перехода в статусной модели события регуляторного риска — фиксированный маршрут рассмотрения Источник: статусная модель события в поставке продукта
  • 25 из 38 переходов требуют непустого комментария; остальные 13, включая триаж, его не требуют Источник: форма перехода с полем «Комментарий», ограничение «не пусто»
  • 6 × 7 действий (чтение, изменение, добавление, удаление, выполнение, фильтр) на семь типов защищаемых объектов Источник: модель прав модуля безопасности
  • 12 / 26 разделов карточки события и колонок реестра — состав сопоставим с пунктом 6.6 Положения № 716-П Источник: разделы карточки и настроенное представление реестра

Обязанность по 224-ФЗ, санкция за её неисполнение и роль продукта

Функции продукта помогают выполнять требования по управлению регуляторным риском. Для каждой функции указаны соответствующая норма и механизм её выполнения.

Обязанность

Часть 1 статьи 11 Федерального закона от 27.07.2010 № 224-ФЗ обязывает организацию разработать и утвердить порядок доступа к инсайдерской информации и правила охраны её конфиденциальности, назначить должностное лицо, подотчётное единоличному исполнительному органу, и обеспечить условия его работы. Часть 2 той же статьи — разработать, утвердить и обеспечивать выполнение правил внутреннего контроля.

Разбор частей 1 и 2 статьи 11 по пунктам

Санкция

Часть 4 статьи 15.35 КоАП РФ: неисполнение или ненадлежащее исполнение обязанностей по принятию установленных законодательством мер, направленных на предотвращение, выявление и пресечение злоупотреблений на финансовых и товарных рынках, — на должностных лиц от 20 000 до 30 000 рублей либо дисквалификация на срок до одного года; на юридических лиц — от 300 000 до 700 000 рублей.

Все части статьи 15.35 КоАП РФ с точными суммами

Чем помогает продукт

Продукт поддерживает выполнение процедурной части обязанности: сообщение о возможном нарушении проходит фиксированный маршрут, право на каждый переход выдаётся отдельно, движение фиксируется в протоколе смены статусов с датой, временем, сотрудником и комментарием, а нарушенное требование указывается с точностью до абзаца нормативного акта.

Как устроен маршрут события

Пересказ. Часть 2 статьи 11 обязывает организацию разработать, утвердить и обеспечивать выполнение правил внутреннего контроля по предотвращению, выявлению и пресечению неправомерного использования инсайдерской информации и (или) манипулирования рынком. Утверждённый документ сам по себе обязанности не исполняет: проверяется именно выполнение.

Федеральный закон от 27.07.2010 № 224-ФЗ «О противодействии неправомерному использованию инсайдерской информации и манипулированию рынком…», статья 11, часть 2. Источник: consultant.ru. Приведён пересказ, а не дословная цитата.

Формулировка, которой мы придерживаемся

Продукт поддерживает выполнение обязанностей и оставляет доказательство выполнения: у каждого шага процедуры есть дата, время, сотрудник и комментарий, которые ответственное должностное лицо предъявляет при проверке.

Экономический смысл складывается из двух статей расходов: трудозатрат на сбор доказательств при проверке и операционных убытков от события, которое разбирали дольше, чем следовало. Обе величины считаются на данных организации.

Кого касается обязанность: банки, профучастники и эмитенты

Состав обязанностей у трёх категорий свой. Ниже — что требует закон от каждой и на какие функции продукта это опирается.

Банки и небанковские кредитные организации

Отрасль, подтверждённая кодом продукта. Прикладной модуль системы объявлен как «Банк», в поставке идут классификаторы Положения Банка России от 08.04.2020 № 716-П, реализована форма отчётности Банка России 0409106 по официальной схеме электронного формата с реквизитами составителя (КодОрг, ОКАТО, дата подписания), присутствуют шаблоны расчёта по Положению № 744-П, а оргструктура и проводки учётной системы загружаются регламентным импортом из кадровой системы и АБС.

Для кредитной организации связка с операционным риском прямая: реализовавшееся нарушение требований о ПНИИИМР учитывается как событие регуляторного риска и включается в базу событий операционного риска по пункту 6.10 Положения № 716-П.

Как событие ПНИИИМР попадает в базу событий по 716-П

Интерфейс системы: карточка события и протокол исполнения

Слева — дерево разделов, справа — карточка события регуляторного риска. Переключите вкладки: состав полей, протокол смены статусов и фиксация нарушенного требования — это разные объекты доступа, и права на них выдаются раздельно.

События РР · Реестр событий РР · РР-2026-0148 Пример заполнения

Событие РР-2026-0148 · Передача материалов по непубличной сделке во внешний адрес

Передано на согласование СПНП Событие является Регуляторным риском в области ПНИИИМР: ДА

Инициатор
Сотрудник службы внутреннего контроля
Подразделение, в котором произошло событие
Департамент корпоративного бизнеса
Подразделение, обнаружившее событие
Служба информационной безопасности
Дата получения информации
Дата выявления события
Дата наступления события
Уровень конфиденциальности
Строго конфиденциальная информация
Способ создания
Ручной ввод
Описание события
Материалы по непубличной сделке направлены на внешний адрес до раскрытия информации. Требуется проверка круга лиц, имевших доступ, и оснований передачи.

Звёздочкой отмечены обязательные поля. Их состав зависит от роли: для ролей «Сотрудник» и «Руководитель» на вкладке «Описание» обязательны девять полей, для «Сотрудника СПНП» — только состояние.

Карточка события: пример заполнения.

Один экран вместо десятка таблиц

Как это выглядит без системы

Цвет строки — договорённость между людьми, а не правило. Кто менял статус и когда — восстанавливается по переписке.

Как это выглядит в системе

Статус — состояние маршрута, а не заливка ячейки. Просрочка вычисляется по двум порогам от даты последнего изменения, ответственный определяется членством в роли.

Сравнение способов ведения реестра событий.

Механизмы, которыми исполняется процедура внутреннего контроля

Каждый механизм назван вместе с тем, как он устроен в поставке продукта.

Конструктивный запрет обхода триажа

Единственный выход из статуса «Предсобытие» — «Первичная валидация». Прямой переход в согласование руководителю в модели отсутствует: он закомментирован в поставке. Ни одно сообщение не попадает в согласование, минуя первичную оценку.

Право на каждый переход — отдельное разрешение

Переход по статусной модели — самостоятельный объект безопасности с действием «выполнение». Роль получает право не на экран и не на событие целиком, а на конкретный переход.

Обязательный комментарий при переходе

25 переходов из 38 открывают форму с полем «Комментарий» и ограничением «не пусто»: решение нельзя провести молча, объяснение попадает в протокол.

Разделение полномочий как конструкция маршрута

После верификации событие расходится на три независимые ветви — СПНП, информационная безопасность и ИТ, — и только после согласования СПНП уходит на финальное согласование эксперту ПНИИИМР.

Гранулярность прав

Шесть действий — чтение, изменение, добавление, удаление, выполнение, фильтр — на семь типов защищаемых объектов. 12 разделов карточки события регуляторного риска — самостоятельные объекты безопасности с раздельными правами на чтение и изменение.

Вложения с признаком «Ограниченный доступ»

Файл, помеченный ограниченным доступом, скачивается и удаляется только при наличии отдельного права: здесь признак секретности напрямую управляет доступом.

Роль-зависимый состав обязательных полей

Для ролей «Сотрудник» и «Руководитель» на вкладке «Описание» обязательны девять полей, для «Сотрудника СПНП» — только состояние. Единственная роль координатора открывает реестр в урезанном представлении: ввод и последующая обработка разделены технически — ровно то, чего требует пункт 2.2.4 Методических рекомендаций Банка России от 14.09.2018 № 23-МР.

Двухпороговый контроль сроков

Два непересекающихся диапазона — предупреждение и критическая просрочка — считаются от даты последнего изменения. Адресаты определяются членством в роли и, при включённом признаке, подразделением, обнаружившим событие.

Предохранитель «событие останется без рассмотрения»

Если следующий статус недоступен ни одному пользователю системы, рассылается предупреждение о том, что событие останется без рассмотрения. Редкий и сильный механизм против обрыва маршрута согласования.

Канал приёма сообщений, который нельзя обойти

Почтовый ящик опрашивается раз в минуту, из письма создаётся событие всегда в статусе «Первичная валидация», отправитель сопоставляется с сотрудником по адресу электронной почты. Сообщение, отправленное на общий адрес, физически не может миновать триаж.

Фиксация нарушенного требования до абзаца

Справочник ссылок на документ с реквизитами «тип, номер, статья, часть, пункт, подпункт, абзац», таблица нарушенных требований и таблица оснований для привлечения к ответственности. Это единственный механизм продукта, который связывает событие с нормой права напрямую.

Запросы информации со сроками

Сотрудник-инициатор, содержание, дата запроса, установленная и фактическая даты ответа, сам ответ и вложения. В маршруте им соответствуют статусы «Запрос информации у инициатора» и «Информация по запросу предоставлена».

Доказательная база

Протокол смены статусов с датой и временем, старым и новым статусом, ФИО сотрудника и комментарием, плюс журнал работы и журнал аудита безопасности с выгрузкой в файл.

Защита ролевой матрицы

Роль администратора безопасности и ещё семь прикладных ролей помечены системными: из интерфейса они не редактируются и не удаляются.

Пять режимов аутентификации

Режим переключается свойством конфигурации: Kerberos поверх LDAP, LDAP, единый вход, общий режим и собственная база учётных записей. Полномочия наполняются из каталог учётных записей по LDAP, подключение к базе возможно по Kerberos, в собственном режиме пароли хранятся под BCrypt.

Маркировка конфиденциальности

Реквизит «Гриф доступа» и справочник из трёх уровней: «Открытая», «Конфиденциальная», «Строго конфиденциальная информация». Маркировка попадает в карточку события и в выгрузки.

На чём основана разработка

Продукт предоставляет инструменты, которыми организация исполняет процедуры своих правил внутреннего контроля. Разработано с учётом требований статьи 11 Федерального закона № 224-ФЗ, Указания Банка России № 5222-У и Методических рекомендаций № 23-МР.

Событие ПНИИИМР как событие регуляторного риска по 716-П

Для кредитной организации это не смежная тема, а рамка, в которую событие попадает. Реализовавшееся нарушение требований о ПНИИИМР — событие регуляторного риска, а такие события включаются в базу событий операционного риска.

Пересказ. Пункт 6.10 относит к включаемым в базу событий операционного риска события регуляторного риска и других нефинансовых рисков. Ближайший тип события по пункту 3.6 — 3.6.4: нарушение прав клиентов и контрагентов, включая нарушение условий договоров и сохранности конфиденциальной информации. Состав сведений о событии задан пунктом 6.6.

Положение Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», пункты 3.6, 6.6, 6.10. Источник: consultant.ru. Приведён пересказ, а не дословная цитата.

Сопоставление: сведения по пункту 6.6 и поля карточки события

Состав сведений о событии по пункту 6.6 Положения № 716-П и соответствующие им реквизиты карточки события регуляторного риска
Сведения по пункту 6.6Реквизит карточки и реестра
Идентификационный номер и дата регистрации Уникальный идентификатор события, дата получения информации, год и квартал
Дата и время реализации события Дата наступления события, дата выявления события
Описание события: в чём заключается, как обнаружено, что явилось причиной Описание регуляторного риска, описание причин возникновения, кто обнаружил, работа, проведённая для сбора информации и анализа
Классификационные элементы: категория источника, тип события, вид риска Вкладка «Классификация», признак «Событие является регуляторным риском в области ПНИИИМР», справочники типов риска и потерь
Причастные подразделения, направления деятельности и процессы Подразделение, в котором произошло событие; подразделение, обнаружившее событие; бизнес-процессы
Сведения о потерях и возмещениях Сумма фактических финансовых потерь, реализованное нефинансовое влияние, вкладка «Последствия»; возмещения — в отчётной части

Подробный разбор связи ПНИИИМР и базы событий операционного риска · Как этим пользуется ответственное должностное лицо

Кому подходит

По профилю организации

  • кредитным организациям, которые уже ведут базу событий операционного риска по 716-П и хотят вести события ПНИИИМР в том же контуре;
  • организациям, где у ответственного должностного лица есть утверждённые ПВК и нужен способ доказать их выполнение;
  • организациям с развитой ролевой структурой: маршрут из трёх параллельных ветвей и раздельные права работают там, где полномочия разделены между подразделениями.

По задаче

  • когда рассмотрение сообщения занимает недели и нужно в любой момент видеть текущего держателя вопроса;
  • когда нужна выгрузка «событие → нарушенное требование → основание ответственности» для ответа на запрос регулятора;
  • когда справочник нормативных документов наполняется под правила конкретной организации и события связываются с её собственными пунктами ПВК.

Частые вопросы о 224-ФЗ, штрафах и работе продукта

Кто в организации отвечает за меры по ПНИИИМР?

Часть 1 статьи 11 Федерального закона от 27.07.2010 № 224-ФЗ обязывает организацию создать структурное подразделение или назначить должностное лицо, подотчётное лицу, осуществляющему функции единоличного исполнительного органа. Административная ответственность за неисполнение или ненадлежащее исполнение обязанностей по принятию мер, направленных на предотвращение, выявление и пресечение злоупотреблений на финансовых и товарных рынках, установлена частью 4 статьи 15.35 КоАП РФ: для должностных лиц — от 20 000 до 30 000 рублей либо дисквалификация на срок до одного года.

Какой штраф грозит за нарушение требований 224-ФЗ о мерах внутреннего контроля?

Часть 4 статьи 15.35 КоАП РФ за неисполнение или ненадлежащее исполнение обязанностей по принятию установленных законодательством мер, направленных на предотвращение, выявление и пресечение злоупотреблений на финансовых и товарных рынках, предусматривает для должностных лиц от 20 000 до 30 000 рублей либо дисквалификацию на срок до одного года, для юридических лиц — от 300 000 до 700 000 рублей. Другие части этой статьи касаются раскрытия инсайдерской информации, ведения списка инсайдеров и уведомления Банка России об операциях; суммы по ним отличаются.

Что продукт даёт для исполнения требований статьи 11 224-ФЗ?

Продукт предоставляет инструменты, которыми организация исполняет процедуры своих правил внутреннего контроля, и оставляет доказательство их исполнения: сообщение о возможном нарушении проходит фиксированный маршрут из 24 статусов и 38 переходов, право на каждый переход выдаётся отдельным разрешением роли, движение фиксируется в протоколе смены статусов с датой, временем, сотрудником и комментарием, а нарушенное требование указывается с точностью до абзаца нормативного акта.

Как событие ПНИИИМР связано с операционным риском?

Реализовавшееся нарушение требований о ПНИИИМР — это событие регуляторного риска. Согласно пункту 6.10 Положения Банка России от 08.04.2020 № 716-П, события регуляторного риска и других нефинансовых рисков включаются в базу событий операционного риска; ближайший тип события — 3.6.4 (нарушение прав клиентов и контрагентов, включая сохранность конфиденциальной информации). Продукт ведёт именно такую базу событий.

Можно ли настроить маршрут события под наши правила внутреннего контроля?

Настраивается то, кто и какой переход вправе выполнить: право на каждый переход выдаётся отдельным разрешением роли, а состав обязательных полей и доступных разделов карточки задаётся правами. Сам перечень статусов и переходов — 24 статуса и 38 переходов — задан в поставке продукта; его изменение выполняется как доработка под правила организации.

Посмотрите маршрут события на стенде

За один показ проходим путь сообщения от письма в почтовом ящике до закрытого события с полным протоколом, показываем права четырёх ролей на переходы и выгрузку, которой отвечают на запрос регулятора.

Записаться на демо-показ Карта «требование ↔ функция»