Контур комплаенса
Обязанность по части 2 статьи 11 Федерального закона от 27.07.2010 № 224-ФЗ — не просто утвердить правила внутреннего контроля, а обеспечивать их выполнение. Система берёт на себя процедурную часть этой обязанности: принимает сообщение о возможном нарушении, ведёт его по маршруту с правами и сроками, фиксирует каждый шаг в протоколе и отдаёт ответственному должностному лицу готовую доказательную выгрузку.
Ниже — что именно система делает на каждом участке процедуры, что получает ответственное должностное лицо и как система работает вместе с теми системами, которые в организации уже стоят: комплаенс-системой брокера, кадровым контуром, службой каталогов, системой дистанционного обучения и документооборотом.
Каждая строка — участок процедуры, норма, которая его требует, и механизм системы, который на этом участке работает.
| Норма | Что делает система |
|---|---|
| Приём сообщения о возможном нарушении 224-ФЗ, статья 11, часть 2; Указание Банка России от 01.08.2019 № 5222-У, пункт 1 |
Общий почтовый ящик опрашивается раз в минуту. Из письма создаётся событие всегда в статусе «Первичная валидация», отправитель сопоставляется с сотрудником по адресу электронной почты, текст и вложения письма попадают в карточку. Сообщение, отправленное на общий адрес, проходит триаж — единственный выход из «Предсобытия» ведёт в первичную валидацию. |
| Маршрут рассмотрения и разделение полномочий 224-ФЗ, статья 11, часть 2; 5222-У, пункт 1 (независимость ответственного должностного лица) |
Статусная модель из 24 статусов и 38 переходов ведёт событие от первичной валидации к квалификации и верификации. После верификации маршрут расходится на три независимые ветви — СПНП, информационная безопасность, информационные технологии, — и только после согласования СПНП событие уходит на финальное согласование эксперту ПНИИИМР. Возврат оформляется явными статусами «Возврат руководителю» и «Возврат СПНП». |
| Права на переходы и разграничение доступа Методические рекомендации Банка России от 14.09.2018 № 23-МР, пункты 2.2.4, 2.2.5–2.2.6 |
Каждый переход по маршруту — самостоятельный объект безопасности с действием «выполнение»: роль получает право на конкретный переход. 12 разделов карточки события — тоже самостоятельные объекты с раздельными правами на чтение и изменение, а вложения с признаком «Ограниченный доступ» скачиваются и удаляются только при наличии соответствующего права. Ввод и последующая обработка разделены технически: состав обязательных полей вкладки «Описание» зависит от роли, а при единственной роли координатора реестр предсобытий открывается в урезанном представлении. Пять режимов аутентификации переключаются свойством конфигурации, полномочия наполняются из службы каталогов, уникальный идентификатор — учётная запись с логином и доменом, связанная с сотрудником. |
| Сроки рассмотрения 5222-У, пункт 1 (порядок контроля за совершением действий) |
Двухпороговый контроль сроков: два непересекающихся диапазона — предупреждение и критическая просрочка — считаются от даты последнего изменения. Адресаты определяются членством в роли и, при включённом признаке, подразделением, обнаружившим событие. У запроса информации фиксируются установленная и фактическая даты ответа. Если следующий статус недоступен ни одному пользователю системы, рассылается предупреждение о том, что событие останется без рассмотрения. |
| Протокол исполнения 224-ФЗ, статья 11, часть 2 («обеспечивать выполнение»); статья 14 (запросы Банка России) |
Протокол смены статусов ведётся по каждому переходу: дата и время, старый и новый статус, фамилия сотрудника, комментарий. Комментарий обязателен на 25 переходах из 38. Рядом работают журнал работы и журнал аудита безопасности: попытки входа с причиной отказа, состав ролей вошедшего, изменение пользователей, назначение и снятие ролей, добавление и удаление разрешений. |
| Выгрузка доказательств для регулятора 224-ФЗ, статья 14; КоАП РФ, статья 15.35, часть 4 |
Нарушенное требование фиксируется с точностью до абзаца: тип документа, номер, статья, часть, пункт, подпункт, абзац — отдельно ведутся таблица нарушенных требований и таблица оснований для привлечения к ответственности. Протокол смены статусов, журналы и отчёт по событиям выгружаются в файл, состав выгрузки собирается под конкретный запрос. |
| База событий регуляторного риска Положение Банка России от 08.04.2020 № 716-П, пункты 3.6, 6.6, 6.10 |
Реализовавшееся нарушение требований о ПНИИИМР ведётся как событие регуляторного риска и попадает в ту же базу событий, что и события операционного риска: пункт 6.10 относит события регуляторного и других нефинансовых рисков к включаемым в базу. Состав карточки сопоставим с пунктом 6.6 — идентификатор и дата регистрации, даты наступления и выявления, описание и причины, классификационные элементы, причастные подразделения и процессы, сведения о потерях. Ближайший тип события по пункту 3.6 — 3.6.4. |
| Отчётность 5222-У, пункт 1 (порядок составления и представления отчётов); 716-П |
Отчёт по событиям, отчёт о своевременности в шести разрезах, отчёты по качеству из пяти частей и интерактивная отчётность. Каждый отчёт — самостоятельный объект безопасности с правом на чтение, поэтому отчётность открывается отдельному адресату. Прикладной модуль «Банк» поставляется с классификаторами Положения № 716-П и формой отчётности Банка России 0409106 по официальной схеме электронного формата с реквизитами составителя (КодОрг, ОКАТО, дата подписания); присутствуют шаблоны расчёта по Положению № 744-П. |
Федеральный закон от 27.07.2010 № 224-ФЗ «О противодействии неправомерному использованию инсайдерской информации и манипулированию рынком…», статья 11, часть 2. Источник: consultant.ru. Приведён пересказ, а не дословная цитата.Пересказ. Часть 2 статьи 11 обязывает организацию разработать, утвердить и обеспечивать выполнение правил внутреннего контроля по предотвращению, выявлению и пресечению неправомерного использования инсайдерской информации и (или) манипулирования рынком.
Должностное лицо, назначенное по части 1 статьи 11 224-ФЗ и подотчётное единоличному исполнительному органу, работает в системе с готовым рабочим местом. Персональная административная ответственность по части 4 статьи 15.35 КоАП РФ — от 20 000 до 30 000 рублей либо дисквалификация на срок до одного года — делает предъявимость работы главным требованием к инструменту.
Реестр событий регуляторного риска и реестр предсобытий с раздельными представлениями, 26 колонок, фильтры видимости строк как отдельный вид разрешения. Держатель вопроса виден по текущему статусу, срок — по двухпороговому контролю.
Сотрудник, направивший запрос, содержание, дата запроса, установленная и фактическая даты ответа, сам ответ и вложения. В маршруте им соответствуют статусы «Запрос информации у инициатора» и «Информация по запросу предоставлена».
Справочник ссылок на нормативный документ с реквизитами «тип, номер, статья, часть, пункт, подпункт, абзац» связывает событие и с внешней нормой, и с конкретным пунктом внутренних правил внутреннего контроля организации.
Собственная статусная модель мер из 6 статусов и 7 переходов: «Создано» → «На согласовании СПНП» → «Согласовано» → «В работе» → «Выполнено» либо «Отклонено». Фиксируются дата направления, периодичность, отчёт об исполнении, результат оценки надлежащего исполнения и степень влияния на уровень риска.
Конструктор анкет с шестью типами вопросов (число, список значений, флаг, справочник, множественный выбор, текст), страницами и результатами. Анкета — отдельная вкладка карточки события, отчёт по анкетированию — защищаемый объект. Содержание анкет организация задаёт под свои процедуры.
Права привязаны к роли, а не к человеку, поэтому замещение выполняется переназначением роли. Роль администратора безопасности и ещё семь прикладных ролей защищены от редактирования и удаления.
Подробный разбор рабочего места ответственного должностного лица · Все части статьи 15.35 КоАП РФ с точными суммами
Комплаенс-контур банка редко состоит из одной программы. Ниже — что система получает из соседних систем, что передаёт в них и чем дополняет их работу.
| Система организации | Как связаны |
|---|---|
| Кадровая система и автоматизированная банковская система | Получает данные из. Оргструктура, справочник сотрудников и проводки учётной системы загружаются регламентным импортом. Из оргструктуры берутся подразделение, в котором произошло событие, и подразделение, обнаружившее событие; сотрудники сопоставляются с учётными записями и ролями. |
| Служба каталогов (каталог учётных записей по LDAP, LDAP) | Получает данные из. Полномочия наполняются из службы каталогов, вход возможен по Kerberos поверх LDAP, через LDAP, единым входом, из файла пользователей либо по собственной базе учётных записей; в собственном режиме пароли хранятся под BCrypt. Подключение к базе данных возможно под доменной учётной записью по Kerberos. |
| Корпоративная почта | Получает данные из. Общий ящик для сообщений о возможных нарушениях опрашивается раз в минуту; письмо превращается в событие в статусе «Первичная валидация». Обратный канал — регламентные оповещения о сроках и о смене статуса, которые уходят адресатам в системе и письмом. |
| Отчётный контур по операционному риску | Передаёт в. Событие ПНИИИМР ведётся как событие регуляторного риска и учитывается в базе событий операционного риска по пункту 6.10 Положения № 716-П. Прикладной модуль «Банк» содержит классификаторы 716-П, форму 0409106 по официальной XSD-схеме и шаблоны расчёта по Положению № 744-П. |
| Комплаенс-система брокера, реестр инсайдеров, предторговый контроль | Дополняет. Эти системы ведут списки лиц и контроль операций на своей стороне. Система ПНИИИМР добавляет к ним процедурный контур: сообщение о возможном нарушении получает маршрут, ответственного, срок и протокол исполнения, а по итогам разбора — назначенные меры со сроками и отчётом об исполнении. |
| Система дистанционного обучения и кадровый контур | Дополняет. Обучение работников требованиям законодательства проводится в СДО (Указание № 5222-У, пункт 1; Методические рекомендации № 23-МР, пункты 1.1.8 и 1.1.14). В системе ПНИИИМР обучение по итогам разбора события назначается как мера из классификатора — «Проведение тренингов и обучение персонала» — со сроком, отчётом об исполнении и оценкой результата. |
| Система документооборота | Передаёт в и ссылается на. Правила внутреннего контроля и порядок доступа к инсайдерской информации живут в документообороте; система ПНИИИМР ссылается на их конкретные пункты и абзацы при фиксации нарушенного требования, а выгрузки протокола, журналов и отчётов передаются в документооборот файлом. |
Положение Банка России от 08.04.2020 № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе», пункты 3.6, 6.6, 6.10. Источник: consultant.ru. Приведён пересказ, а не дословная цитата.Пересказ. Пункт 6.10 относит к включаемым в базу событий операционного риска события регуляторного риска и других нефинансовых рисков. Ближайший тип события по пункту 3.6 — 3.6.4: нарушение прав клиентов и контрагентов, включая нарушение условий договоров и сохранности конфиденциальной информации. Состав сведений о событии задан пунктом 6.6.
Три механизма системы наполняются данными конкретной организации — так контур получается «своим», а не универсальным.
Справочник нормативных требований
Механизм фиксации нарушенного требования с точностью до абзаца наполняется перечнем норм организации: 224-ФЗ, Указание Банка России № 5222-У, Методические рекомендации № 23-МР и собственные правила внутреннего контроля с их нумерацией пунктов.
Матрица порогов контроля сроков
Двухпороговый контроль «жёлтая линия — критическая линия» настраивается матрицей «роль → статус → пороги» из файла настроек: значения сроков задаёт организация исходя из своих правил внутреннего контроля. Тогда же включается сканирование по расписанию.
Анкеты по ПНИИИМР
Конструктор анкет с шестью типами вопросов и отчётом по анкетированию наполняется вопросами организации — оценка действий работников и органов управления описывается так, как её требуют собственные правила внутреннего контроля.
На чём основана разработка
Система предоставляет инструменты, которыми организация исполняет процедуры своих правил внутреннего контроля. Разработано с учётом требований статьи 11 Федерального закона № 224-ФЗ, Указания Банка России № 5222-У и Методических рекомендаций № 23-МР.