Мудрый Экономист

Бесперебойность функционирования платежных систем

"Расчеты и операционная работа в коммерческом банке", 2013, NN 1, 2

В соответствии с требованиями российского законодательства операторы платежных систем должны обеспечить регламентацию порядка обеспечения бесперебойности функционирования платежной системы, организовать деятельность по его реализации, а также определить показатели бесперебойности функционирования платежной системы и методики анализа рисков в платежной системе. Осуществление перечисленных мероприятий будет представлять для операторов платежных систем непростую задачу, сложность которой не в последнюю очередь обусловлена противоречиями в понятийном аппарате базовой концепции бесперебойности функционирования платежных систем.

Бесперебойность функционирования платежной системы (далее - БФПС) является центральным элементом системы управления рисками платежной системы (далее - СУР ПС), которая в соответствии с Федеральным законом от 27.06.2011 N 161-ФЗ "О национальной платежной системе" (далее - Закон N 161-ФЗ) представляет собой комплекс мероприятий и способов снижения вероятности возникновения неблагоприятных последствий для БФПС с учетом размера причиняемого ущерба. Основным документом, который регулирует вопросы, связанные с БФПС, является Положение Банка России от 31.05.2012 N 379-П "О бесперебойности функционирования платежных систем и анализе рисков в платежных системах" (далее - Положение N 379-П). Данное Положение вводит термины, имеющие отношение к БФПС, а также определяет требования к порядку обеспечения БФПС, показателям БФПС и методикам анализа рисков в платежной системе (далее - ПС), которые в рамках Положения N 379-П фактически сводятся к рискам нарушения БФПС.

К сожалению, ряд обстоятельств затрудняет выявление реального содержания термина БФПС и концепции обеспечения БФПС, что усложняет практическую реализацию требований, заложенных в Законе N 161-ФЗ и Положении N 379-П. В частности, существуют некоторые противоречия в определениях терминов, приведенных в Положении N 379-П, а также неясности в отношении ряда процедур, которые должны выполняться в соответствии с указанным Положением. При этом поиск непротиворечивой интерпретации БФПС и оптимальных решений при внедрении технологии обеспечения БФПС осложняется тем, что российское понятие БФПС трудно сопоставить с зарубежными аналогами. Англоязычный перевод российского термина "бесперебойность функционирования платежной системы" в виде "continuity of the payment system's operation" <1> в англоязычной литературе не встречается, а его содержание отличается от наиболее близкого к БФПС зарубежного аналога - "smooth functioning of payment system" <2>.

<1> http://www.cbr.ru/eng/analytics/federal_law_161fz.pdf.
<2> См., например: http://www.bis.org/cpss/paysys/ECBComp.pdf.

В настоящей статье обсуждаются основные проблемные вопросы концепции БФПС, включая вопросы о содержании используемых терминов (БФПС, обеспечение БФПС, нарушение БФПС, риски нарушения БФПС и др.) и вопросы практической реализации требований Положения N 379-П. В частности, рассматриваются некоторые варианты оценки приемлемого и достигнутого уровней риска нарушения БФПС, а также способы выявления факторов риска нарушения БФПС и определения степени и характера влияния факторов риска нарушения БФПС на БФПС.

Понятийный аппарат концепции БФПС БФПС, НФПС и нарушения НФПС

Прилагательное "бесперебойный" означает "осуществляющийся без перебоев, непрерывный" <3>. Как следствие, "бесперебойное функционирование ПС" должно обозначать "непрерывное, осуществляющееся без перебоев функционирование ПС". Ситуация с существительным "бесперебойность" более сложная - те немногие словари, которые определяют значение этого слова, рассматривают его как "отсутствие перебоев в чем-либо" <4>. Если следовать данному значению, БФПС должна обозначать всего лишь факт отсутствия перебоев в функционировании ПС. Однако в рамках Положения N 379-П "бесперебойность" приравнивается к "способности", а именно: под БФПС понимается "способность предупреждать нарушения надлежащего функционирования ПС (далее - НФПС) и восстанавливать НФПС в случае его нарушения".

<3> Лопатин В.В., Лопатина Л.Е. Толковый словарь современного русского языка. М.: Эксмо, 2008.
<4> Ефремова Т.Ф. Новый словарь русского языка (толково-словообразовательный). М.: Русский язык, 2000.

Как легко заметить, понятие БФПС строится на базе терминов "НФПС" и "нарушения НФПС", хотя в Положении N 379-П определяется только второе понятие: под "нарушениями НФПС" понимаются нарушения требований законодательства, правил ПС и заключенных договоров при взаимодействии субъектов ПС.

Исходя из определения термина "нарушения НФПС" логично предположить, что под НФПС понимается такое взаимодействие субъектов ПС, которое осуществляется без нарушений требований законодательства, правил ПС и заключенных договоров. Это коррелирует с подходом к понятию НФПС, использованному в рамках предыдущей статьи <1>, в которой НФПС рассматривалось как такое функционирование ПС, которое осуществляется в соответствии с правилами ПС, а также (в части, не охваченной правилами ПС) нормативными актами и договорами между субъектами ПС.

<1> Лопатин В.А. Управление рисками в платежных системах // Расчеты и операционная работа в коммерческом банке. 2012. N 6. С. 44 - 57.

С определенными оговорками НФПС можно считать эквивалентным термину "бесперебойное функционирование ПС". Можно даже предположить, что термин "надлежащее функционирование ПС" был введен именно для того, чтобы не путать термины "бесперебойность функционирования ПС" и "бесперебойное функционирование ПС": в первом случае мы имеем дело со способностью предупреждать нарушения процесса функционирования ПС и восстанавливать его в случае нарушения, а во втором - с разновидностью самого функционирования ПС.

Заметим, что, определив БФПС как способность предупреждать нарушения НФПС и восстанавливать НФПС в случае его нарушения, Банк России не уточнил, о чьей способности идет речь - ПС в целом, оператора ПС, других субъектов ПС или чьей-либо еще. Логично предположить, что речь идет о способности ПС в целом, то есть способности всех субъектов ПС вместе взятых, каждый из которых вносит в указанную способность свой вклад в соответствии с распределением функций в рамках организационной модели СУР ПС.

Нарушение БФПС и риски нарушения БФПС

С понятием "нарушение БФПС" связана небольшая проблема. С одной стороны, так как под "нарушением способности" обычно понимают полную или частичную утрату способности, нарушение БФПС логично определить как "полную или частичную утрату способности предупреждать нарушения НФПС и восстанавливать НФПС в случае его нарушения".

С другой стороны, Положение N 379-П определяет термин "риски нарушения БФПС", под которыми понимаются "присущие функционированию ПС типичные возможности неоказания, ненадлежащего оказания услуг ПС участникам ПС вследствие наступления неблагоприятных событий, связанных с факторами риска нарушения БФПС". В этом определении ни о каких способностях речь не идет. Более того, учитывая, что в количественном отношении риск (как влияние неопределенности на цели) <1> обычно характеризуется возможностью отклонения результата от ожидаемого <2>, из вышеприведенного определения можно сделать вывод, что под нарушениями БФПС понимается "неоказание, ненадлежащее оказание услуг ПС участникам ПС вследствие наступления неблагоприятных событий, связанных с факторами риска нарушения БФПС". Но в таком контексте БФПС больше похожа на "бесперебойное функционирование ПС", чем на "бесперебойность функционирования ПС".

<1> Международный стандарт ISO 73:2009 "Риск-менеджмент - Словарь".
<2> Энциклопедия риск-менеджмента / Под ред. А.А. Лобанова, А.В. Чугунова. М.: Альпина Паблишер, 2009.

Факторы рисков нарушения БФПС

В рамках Положения N 379-П термин "факторы риска нарушения БФПС" определяется как внутренние и внешние факторы функционирования ПС, с которыми связаны неблагоприятные события, вследствие которых происходит неоказание, ненадлежащее оказание услуг ПС участникам ПС.

Сразу заметим, что фраза "факторы функционирования ПС", использованная в Положении N 379-П, должна трактоваться как "факторы, связанные с функционированием ПС", так как здесь речь идет не о причинах или движущих силах функционирования ПС, а о причинах и движущих силах процессов, воздействующих на функционирование ПС. Кроме того, заметим, что здесь также содержание термина "нарушения БФПС" существенно отличается от "полной или частичной утраты способности предупреждать нарушения НФПС и восстанавливать НФПС в случае его нарушения".

В соответствии с п. 11 Положения N 379-П к факторам рисков нарушения БФПС могут относиться:

Естественно, это неполный перечень факторов рисков нарушения БФПС - в нем отражены только те, на которые Банк России посчитал целесообразным обратить внимание субъектов ПС. В каждом конкретном случае этот перечень может дополняться и уточняться. Например, он может быть дополнен новым внешним фактором в виде состояния правовой базы в области регулирования ПС. Или внутренний фактор в виде технологического обеспечения операторов услуг платежной инфраструктуры может быть разбит на несколько факторов, соответствующих технологическому обеспечению операционного, платежного клирингового и расчетного центров.

Риски в ПС и риски нарушения БФПС

Положение N 379-П оперирует двумя типами рисков: "рисками в ПС" и "рисками нарушения БФПС", в связи с чем возникает вопрос о соотношении между ними. С одной стороны, Положение N 379-П не устанавливает прямой связи между двумя этими терминами, поэтому логично предположить, что "риски в ПС" являются более общим термином и включают в себя "риски нарушения БФПС". При этом возникает вопрос, как согласуется общепринятый перечень рисков в ПС <1> с появлением рисков нарушения БФПС: это какие-то новые риски или разновидности прежних рисков?

<1> Кредитные риски, риски ликвидности, операционные риски, правовые и системные риски.

С другой стороны, Положение N 379-П устанавливает требования к методикам анализа рисков в ПС, которые полностью ориентированы на риски нарушения БФПС. Кроме того, требования к содержанию деятельности по обеспечению БФПС включают в себя как часть порядок разработки, применения и оценки эффективности методик анализа рисков в ПС. А это заставляет думать, что в рамках Положения N 379-П термины "риски в ПС" и "риски нарушения БФПС" используются как эквивалентные. В этом случае риски из общепринятого перечня рисков в ПС должны совпадать с рисками нарушения БФПС, однако Положение N 379-П этого вопроса не касается.

Проблема идентификации рисков возникает и с другой стороны. В соответствии с п. 13 Положения N 379-П методики анализа рисков в ПС должны обеспечивать в том числе описание профиля рисков нарушения БФПС как структурированного перечня выявленных факторов риска нарушения БФПС с указанием сопоставленных им категорий субъектов платежной системы, характера и степени влияния, оказываемого на БФПС, возможных форм или сценариев их проявления. То есть все риски нарушения БФПС описываются одним профилем рисков нарушения БФПС в виде перечня факторов риска нарушения БФПС, для каждого из которых указываются категории субъектов ПС, характер и степень влияния на БФПС и т.д. Это существенно отличается от методики построения профилей риска, изложенной в Письме Банка России от 03.05.2011 N 67-Т "О системном риске расчетной системы". В соответствии с Письмом профили рисков составляются по категориям рисков (правовой риск, операционный риск, кредитный риск и риск ликвидности, системный риск), причем для каждой категории риска описание должно включать:

Все это говорит о том, что установление связи между "рисками в ПС" и "рисками нарушения БФПС" превращается в непростую задачу, решить которую без дополнительных разъяснений со стороны регулятора не представляется возможным.

Виды нарушений НФПС

В соответствии с Положением N 379-П (п. 13) методики анализа рисков в ПС должны обеспечивать "разделение нарушений НФПС на не оказывающие и оказывающие влияние на БФПС, в том числе приводящие к нарушению БФПС". То есть Положение N 379-П выделяет три вида нарушений НФПС:

В связи с этим необходимо отметить следующее. Так как БФПС представляет собой "способность предупреждать нарушения НФПС и восстанавливать НФПС в случае его нарушения", влияние нарушений НФПС на БФПС можно трактовать так, что при одних нарушениях НФПС указанная "способность" одна, а при других нарушениях НФПС она может быть другой. Или по-другому: при изменении объекта "нарушения НФПС" изменяется объект "способность предупреждать нарушения НФПС и восстанавливать НФПС в случае его нарушения".

Оценивать изменения объектов "БФПС" и "нарушения НФПС" можно с помощью каких-то показателей, например "уровень БФПС" и "уровень нарушений НФПС". При этом совершенно очевидно, что наличие или отсутствие связи между объектами будет зависеть от шкалы, выбранной для измерения показателей: искусственно можно определить такую шкалу измерений для каждого показателя, что "уровень БФПС" будет малочувствителен к "уровню нарушений НФПС". Например, если "уровень БФПС" измерять по двухбалльной шкале ("наличие способности" и "отсутствие способности"), а "уровень нарушений НФПС" - по десятибалльной (например, десять наборов из нарушений НФПС, упорядоченных по какому-либо признаку), то очевидно, что в большинстве случаев изменение "уровня нарушений НФПС" не приведет к изменению "уровня БФПС".

Аналогично дело обстоит с нарушениями НФПС, приводящими или не приводящими к нарушению БФПС: влияние нарушений НФПС на нарушения БФПС можно искусственно изменять путем выбора подходящих шкал для измерения "уровня нарушений НФПС" и "уровня нарушений БФПС". Более того, путем выбора подходящих шкал можно организовать дело так, что при изменении "уровня нарушений НФПС" будет изменяться "уровень нарушений БФПС", но не будет изменяться "уровень БФПС" (т.е. не будет влияния нарушений НФПС на БФПС).

Заметим, что, если шкала измерения "уровня БФПС" выбрана, разделить все нарушения НФПС на те, которые изменяют "уровень БФПС", и те, которые его не изменяют, крайне затруднительно. Дело в том, что нарушением НФПС является не только нарушение конкретного пункта правил ПС (нормативного акта, договора), но и любая комбинация из таких нарушений. Таким образом, уже при четырех пунктах (которые можно нарушить) необходимо проверить 16 вариантов комбинаций из нарушений НФПС, при пяти - 32 варианта, при шести - 64 варианта и т.д. Учитывая, что таких пунктов только в правилах ПС может насчитываться несколько сотен, перебрать все комбинации (на предмет изменения "уровня БФПС") принципиально невозможно.

В реальности дело обстоит еще хуже, так как вопрос о том, нарушен или не нарушен конкретный пункт правил ПС (нормативного акта, договора), далеко не всегда имеет однозначный ответ. В связи с этим размывается само понятие "нарушения НФПС", которое начинает зависеть от толкования положений правил ПС, нормативных актов и договоров. В такой ситуации говорить о какой-либо "способности предупреждать нарушения НФПС и восстанавливать НФПС в случае его нарушения" можно только с большим количеством оговорок. Возможно, это свидетельствует о том, что определения терминов "БФПС" и "нарушения НФПС" в Положении N 379-П сформулированы не совсем удачно.

Приемлемый и достигнутый уровни рисков нарушения БФПС

Уровень понятийного противостояния в Положении N 379-П существенно зависит от того, какой объект определяет следующая фраза в п. 3 Положения: "...размер возможного ущерба, причиняемого участникам ПС, их клиентам вследствие нарушений НФПС, с учетом вероятности возникновения указанных нарушений в течение прогнозируемого периода времени". Формально эта фраза относится к термину "достигнутый уровень рисков нарушения БФПС", что приводит к проблемам при выявлении содержания термина "приемлемый уровень рисков нарушения БФПС". Последний термин в Положении N 379-П не определяется, в связи с чем его содержание приходится конструировать из содержания других терминов, включая "риски нарушения БФПС".

Однако более продуктивной видится иная интерпретация текста Положения N 379-П, при которой указанная выше фраза определяет термин "уровень рисков нарушения БФПС". В этом случае на ее основе легко строятся оба термина: "достигнутый уровень рисков нарушения БФПС" будет представлять собой "достигнутый размер возможного ущерба, причиняемого участникам ПС, их клиентам вследствие нарушений НФПС, с учетом вероятности возникновения указанных нарушений в течение прогнозируемого периода времени", а "приемлемый уровень рисков нарушения БФПС" - "приемлемый размер возможного ущерба, причиняемого участникам ПС, их клиентам вследствие нарушений НФПС, с учетом вероятности возникновения указанных нарушений в течение прогнозируемого периода времени".

Заметим, что в случае приемлемого уровня рисков нарушения БФПС остается непростой вопрос, для кого данный размер возможного ущерба должен быть приемлем:

При этом на аналогичный вопрос в случае достигнутого уровня рисков нарушения БФПС (кем данный размер возможного ущерба должен быть достигнут), как представляется, можно дать вполне определенный ответ: всеми субъектами ПС с учетом взаимосвязей между ними.

Порядок скоординированной деятельности

В соответствии с преамбулой Положение N 379-П устанавливает требования к порядку обеспечения БФПС, показателям БФПС и методикам анализа рисков в ПС. А согласно п. 15 данного Положения операторы ПС должны (в срок до 1 января 2013 г. и в соответствии с требованиями Положения):

В то же время в соответствии с п. 2 Положения N 379-П в целях обеспечения БФПС оператором платежной системы устанавливается "порядок осуществления субъектами платежной системы скоординированной деятельности, направленной на достижение, подтверждение и поддержание приемлемого уровня рисков нарушения БФПС" (далее - "порядок скоординированной деятельности"). При этом возникает вопрос, является ли "порядок скоординированной деятельности" самостоятельным порядком, отличным от порядка обеспечения БФПС, или он должен быть частью порядка обеспечения БФПС.

В пользу первого варианта говорит то, что вопросам регламентации порядка обеспечения БФПС посвящены отдельные пункты Положения N 379-П, причем в рамках этих пунктов явного упоминания "порядка скоординированной деятельности" нет (хотя есть иные порядки, связанные с координацией деятельности).

В пользу второго варианта говорит то, что "порядок скоординированной деятельности" устанавливается "в целях обеспечения БФПС", то есть в тех же целях, что и порядок обеспечения БФПС. В связи с этим подготовка отдельного "порядка скоординированной деятельности" видится нецелесообразной, а все вопросы данного порядка представляется правильным отражать в рамках порядка обеспечения БФПС. Тем более что вопросы достижения, подтверждения и поддержания приемлемого уровня рисков нарушения БФПС жестко взаимосвязаны с обеспечением БФПС. Например, в соответствии с п. 6 Положения N 379-П требования к содержанию деятельности по обеспечению БФПС включают требования к детализации приемлемого уровня рисков нарушения БФПС, а также порядок выбора и реализации мероприятий и способов достижения и поддержания приемлемого уровня рисков нарушения БФПС.

Однако в связи с наличием формального требования об установлении "порядка скоординированной деятельности" абсолютно логичный второй вариант, как представляется, может не найти широкого применения: чтобы снизить правовые риски, операторы ПС предпочтут подойти к вопросу формально и разработать "порядок скоординированной деятельности".

Управление рисками нарушения БФПС

В соответствии с Положением N 379-П оператор ПС обязан:

Все перечисленные пункты в той или иной степени относятся к деятельности оператора ПС по управлению рисками нарушения БФПС. При этом центральным элементом системы управления рисками нарушения БФПС, как представляется, необходимо рассматривать п. 3 Положения N 379-П, в котором раскрываются требования к организации управления рисками нарушения БФПС. Данный пункт включает пять процедур:

Сделаем несколько замечаний в отношении перечисленных процедур.

Первая процедура - установление приемлемого уровня рисков нарушения БФПС - может быть основана на общем для приемлемого и достигнутого уровней рисков нарушения БФПС алгоритме определения "размера возможного ущерба, причиняемого участникам ПС, их клиентам вследствие нарушений НФПС, с учетом вероятности возникновения указанных нарушений в течение прогнозируемого периода времени" (далее - "размер возможного ущерба"). При этом дополнительно необходимо разработать алгоритм определения диапазона "приемлемости", которому должен соответствовать устанавливаемый приемлемый уровень рисков нарушения БФПС, а также алгоритмы некоторых других, связанных с приемлемым уровнем рисков нарушения БФПС, процедур, предусмотренных требованиями к порядку обеспечения БФПС (в частности, процедуры детализации приемлемого уровня рисков нарушения БФПС).

Вторая процедура - анализ рисков нарушения БФПС - в свою очередь (в соответствии с Положением N 379-П) включает четыре подчиненные процедуры:

По сложности эта задача может превышать предыдущую задачу (установление приемлемого уровня рисков нарушения БФПС), так как включает сопоставимую задачу (оценку достигнутого уровня рисков нарушения БФПС) и ряд других не менее сложных задач. В частности, это относится к процедуре определения степени и характера влияния факторов риска нарушения БФПС на БФПС (точнее, на показатель, используемый для оценки БФПС, например "уровень БФПС").

Заметим, что в соответствии с Положением N 379-П процедуры выявления факторов риска нарушения БФПС и определения степени и характера влияния факторов риска на БФПС являются подчиненными процедурами для процедуры анализа рисков нарушения БФПС. Однако, как представляется, выполнение этих подчиненных процедур необходимо уже на этапе установления приемлемого уровня рисков нарушения БФПС. Это говорит о том, что эти процедуры должны быть независимы от процедуры анализа рисков нарушения БФПС либо входить в процедуру анализа рисков нарушения БФПС вместе с процедурой установления приемлемого уровня рисков нарушения БФПС.

Третья процедура - принятие мер, необходимых для достижения или поддержания приемлемого уровня рисков нарушения БФПС, - требует разработки алгоритмов процедур, предусмотренных в рамках порядка обеспечения БФПС, в частности процедур достижения и поддержания приемлемого уровня рисков нарушения БФПС. При этом к моменту "принятия мер" указанные алгоритмы должны быть не только разработаны, но и протестированы на предмет эффективности достижения и поддержания приемлемого уровня рисков нарушения БФПС.

Сразу обратим внимание на некоторое несоответствие: в п. 2 Положения N 379-П речь идет о "достижении, подтверждении и поддержании приемлемого уровня рисков нарушения БФПС", но в п. п. 3 и 10 осталось только "достижение или поддержание приемлемого уровня рисков нарушения БФПС", а в п. 6 - "достижение и поддержание приемлемого уровня рисков нарушения БФПС". В связи с этим возникает вопрос о необходимости "подтверждения приемлемого уровня рисков нарушения БФПС" в целях обеспечения БФПС.

Четвертая процедура - мониторинг рисков нарушения БФПС - в соответствии с Положением N 379-П сводится к выявлению текущих изменений достигнутого уровня рисков нарушения БФПС. В связи с этим четвертая процедура будет включать алгоритм оценки достигнутого уровня рисков нарушения БФПС, требования к периодичности и точности оценки, а также порядок фиксации значений достигнутого уровня рисков нарушения БФПС и меры, принимаемые при критичных изменениях этих значений.

Пятая процедура - информационное взаимодействие субъектов ПС в целях управления рисками нарушения БФПС - менее обременительна с точки зрения алгоритмизации, чем предыдущие процедуры (особенно в условиях ПС, которые отличаются высоким уровнем компьютеризации и использования средств телекоммуникаций). Однако она может оказаться наиболее сложной с точки зрения реализации, когда необходимы слаженные действия большого количества субъектов ПС.

Порядок обеспечения бесперебойного функционирования платежных систем

В соответствии с Законом N 161-ФЗ оператор ПС должен разработать правила ПС, неотъемлемой частью которых является порядок обеспечения БФПС. При этом в соответствии с Положением N 379-П в целях регламентации порядка обеспечения БФПС оператор ПС должен определить:

Фактически перечисленные пункты должны стать тремя самостоятельными разделами документа "Порядок обеспечения БФПС", каждый из которых будет включать целый ряд регламентов по различным направлениям обеспечения БФПС. При разработке этих регламентов оператор ПС должен учитывать особенности функционирования ПС, в частности используемые процедуры платежного клиринга и расчета, применяемые технологии обработки платежной информации, характер и масштаб деятельности и т.д. В дальнейшем оператор ПС должен контролировать соответствие деятельности субъектов ПС по обеспечению БФПС порядку обеспечения БФПС. Кроме того, организационной моделью управления рисками в ПС на оператора ПС (или на расчетный центр) может быть возложена функция координации деятельности субъектов ПС по обеспечению БФПС.

Организационные аспекты взаимодействия субъектов платежной системы

Организационные аспекты взаимодействия субъектов ПС при осуществлении деятельности по обеспечению БФПС включают:

Организационные модели управления рисками в ПС перечислены в Законе N 161-ФЗ и включают три модели: самостоятельное управление рисками в ПС оператором ПС, распределение функций по оценке и управлению рисками между оператором ПС, операторами услуг платежной инфраструктуры и участниками ПС, а также передача функций по оценке и управлению рисками оператором ПС, не являющимся кредитной организацией, расчетному центру. При совмещении функций оператора ПС и оператора услуг платежной инфраструктуры кредитной организации логично выбрать первую из перечисленных моделей, а при привлечении оператором ПС сторонних операторов услуг платежной инфраструктуры - вторую или третью модель.

Порядок и формы координации деятельности субъектов ПС, как представляется, должны определять субъекта ПС, ответственного за осуществление координации, его полномочия, порядок создания и функционирования координационного центра, порядок включения в состав координационного центра представителей субъектов ПС, порядок взаимодействия координационного центра с субъектами ПС и т.д. В простейшем случае координационный центр может состоять из центрального координатора (представителя координирующей организации) и координаторов на местах (представителей субъектов ПС), которые должны находиться в постоянном контакте с центральным координатором.

Порядок и формы осуществления контроля за соблюдением порядка обеспечения БФПС могут включать вопросы организации текущего и последующего контроля, перечень объектов контроля, описание процедур контроля, описание процедур фиксации нарушений порядка обеспечения БФПС, ответственность субъектов ПС за нарушение порядка обеспечения БФПС и другие вопросы. При этом порядок и формы осуществления контроля за соблюдением порядка обеспечения БФПС должны соответствовать порядку осуществления контроля за соблюдением правил ПС.

Порядок оценки эффективности СУР ПС в целях ее совершенствования может вызвать определенные сложности при его разработке. Так как СУР ПС по определению представляет собой "комплекс мероприятий и способов снижения вероятности возникновения неблагоприятных последствий для БФПС с учетом размера причиняемого ущерба", оценка эффективности СУР ПС сводится к оценке эффективности указанного комплекса мероприятий и способов снижения вероятности. А это предполагает не только оценку эффективности каждого из мероприятий и способов, но и оценку эффективности взаимодействия всех мероприятий и способов в рамках такого комплекса. При этом серьезные проблемы могут возникнуть с определением термина "эффективность" и выбором алгоритма оценки эффективности, в отношении которых существует большое разнообразие мнений.

Требования к содержанию деятельности по обеспечению БФПС

Требования к содержанию деятельности по обеспечению БФПС, осуществляемой оператором ПС, операторами услуг платежной инфраструктуры и участниками ПС (по видам участия), включают:

Требования к детализации ПУРН БФПС, как представляется, можно рассматривать как требования к методике распределения "приемлемого размера возможного ущерба, причиняемого участникам ПС, их клиентам" по видам услуг операторов услуг платежной инфраструктуры и по видам участия участников ПС. В случае услуг операторов услуг платежной инфраструктуры такое распределение можно осуществить в соответствии с уровнем бесперебойности оказания каждой услуги (см. раздел "Показатели БФПС"). А в случае участников ПС - в соответствии со средним объемом услуг, потребляемых участниками ПС по видам участия.

Порядок разработки, применения и оценки эффективности методик анализа рисков в ПС (включая требования к оформлению и проверке результатов анализа) прежде всего потребует раскрытия понятия "эффективность методик анализа рисков в ПС", что может представлять собой непростую задачу. Дело в том, что "эффективность" обычно определяется как "достижение каких-либо определенных результатов с минимально возможными издержками или получение максимально возможного объема продукции из данного количества ресурсов" <1>. В связи с этим необходимо понимать, о чем идет речь в случае методик: об эффективности получения результатов анализа рисков в ПС с помощью методик или об эффективности достижения положительного эффекта от применения методик анализа рисков в ПС. Во втором случае потребуется дополнительно разработать алгоритм определения эффекта от применения методик анализа рисков в ПС.

<1> Экономика. Толковый словарь. М.: ИНФРА-М, Издательство "Весь Мир", 2000.

Заметим, что эффективность методик анализа рисков в ПС определяется по отношению ко всем методикам в целом. В то же время это не запрещает конструировать такую эффективность исходя из эффективностей отдельных методик (например, в виде средневзвешенной суммы).

Порядок оценки качества и надежности функционирования информационных систем, операционных и технологических средств, применяемых операторами услуг платежной инфраструктуры, представляет собой один из самых важных элементов в рамках обеспечения БФПС. В отличие от многих других нарушений нарушения работы информационных систем, а также операционных и других технологических средств чаще всего препятствуют оказанию платежных услуг, блокируя бесперебойное функционирование процесса перевода денежных средств.

В общем случае качество определяется "мерой соответствия товаров, работ, услуг условиям и требованиям стандартов, договоров, контрактов, запросов потребителей" <1>. В связи с этим порядок оценки качества функционирования информационных систем, операционных и технологических средств может ориентироваться на оценку отклонения текущих параметров функционирования систем и средств от стандартных. Если позволяет шкала измерения параметров, такое отклонение можно оценить как среднеквадратичное отклонение текущих параметров от стандартных. В иных случаях можно использовать различные алгоритмы на основе построения рейтингов.

<1> Райзберг Б.А., Лозовский Л.Ш., Стародубцева Е.Б. Современный экономический словарь. 2-е изд., испр. М.: ИНФРА-М, 1999.

Надежность определяется как способность "сохранять требуемые свойства, безотказно действовать, выполнять предназначенные функции в течение заданного срока" <2>. При этом функционирование информационных систем, операционных и технологических средств может быть качественным, но не надежным, и наоборот. Заметим, что теория надежности технических систем хорошо разработана, что позволяет использовать готовые решения.

<2> Там же.

Кроме того, заметим, что для оценки качества и надежности функционирования информационных систем, операционных и технологических средств могут использоваться технологии, успешно опробованные многими кредитными организациями при развертывании базовых процессов, обеспечивающих поддержку и предоставление ИТ-сервисов (IT Service Management, или ITSM).

Порядок выбора и реализации мероприятий и способов достижения и поддержания ПУРН БФПС (включая порядок оценки их эффективности и совершенствования) необходимо отличать от порядка разработки таких мероприятий и способов. При этом отсутствие хотя бы приблизительного перечня мероприятий и способов в большинстве случаев не позволит разработать полноценный порядок выбора и реализации указанных выше мероприятий и способов.

Непосредственно порядок выбора, как представляется, должен ориентироваться на выбор мероприятий и способов, наиболее эффективных в данной конкретной ситуации. В связи с этим в общем случае необходим алгоритм оценки эффективности мероприятий и способов достижения и поддержания ПУРН БФПС в зависимости от текущей ситуации, которая может характеризоваться некоторым набором показателей БФПС, прежде всего отклонением ДУРН БФПС от ПУРН БФПС.

Требования к мониторингу рисков нарушения БФПС могут включать перечень отслеживаемых показателей БФПС, требования к частоте и точности оценки показателей БФПС, порядок фиксации результатов оценки, а также порядок действий при выходе значений показателей БФПС за установленные рамки. Как представляется, в первую очередь должны отслеживаться значения ДУРН БФПС и отклонения ДУРН БФПС от ПУРН БФПС. Хотя более точную картину рисков нарушения БФПС, естественно, можно получить при мониторинге большего количества показателей БФПС, включая показатели бесперебойности оказания услуг платежной инфраструктуры (с разбивкой по виду услуг).

Требования к планам обеспечения непрерывности деятельности и восстановления деятельности операторов услуг платежной инфраструктуры могут включать перечень событий, которые могут нарушить непрерывность деятельности операторов услуг платежной инфраструктуры, сроки и объем восстановления деятельности для каждого события, а также требования по применению тех или иных стандартов ОНиВД (обеспечения непрерывности и восстановления деятельности). При этом кредитные организации могут использовать опыт разработки планов ОНиВД, полученный ими при выполнении требований Положения Банка России от 16.12.2003 N 242-П "Об организации внутреннего контроля в кредитных организациях и банковских группах", которое устанавливает необходимость наличия планов ОНиВД и Рекомендации по структуре и содержанию таких планов (Приложение N 5 "Рекомендации по структуре и содержанию плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения непредвиденных обстоятельств, а также по организации проверки возможности его выполнения").

Порядок информационного взаимодействия субъектов платежной системы

В соответствии с Положением N 379-П порядок информационного взаимодействия субъектов ПС и документационного обеспечения их деятельности по обеспечению БФПС должен включать:

При этом первичная информация о функционировании ПС может включать:

Особо необходимо отметить порядок информирования оператора ПС о событиях, вызвавших спорные, нестандартные и чрезвычайные ситуации, включая случаи системных сбоев. Фактически наряду с координационным центром в рамках ПС целесообразно иметь ситуационный центр (который может быть объединен с координационным центром), который бы получал и обрабатывал информацию о всех значимых отклонениях функционирования ПС от заданных стандартов, а также о значимых факторах риска нарушения БФПС, способных существенно повлиять на НФПС.

Показатели БФПС

В соответствии с п. 10 Положения N 379-П "оператором ПС определяются показатели БФПС", причем одновременно в п. 11 Положения N 379-П устанавливается, что к показателям БФПС относятся:

Прежде всего заметим, что здесь появляется новый вид бесперебойности - бесперебойность оказания услуг платежной инфраструктуры, точнее, ее разновидности: бесперебойность оказания операционных услуг (далее - БООУ), бесперебойность оказания услуг платежного клиринга (далее - БОУПК) и бесперебойность оказания расчетных услуг (далее - БОРУ), причем ни одному из перечисленных видов бесперебойности в Положении N 379-П не дано определение.

Тем не менее такие определения можно сконструировать самостоятельно, взяв за основу определение БФПС и предположив, что в рамках процесса функционирования ПС можно выделить три процесса: процесс оказания операционных услуг (далее - ПООУ), процесс оказания услуг платежного клиринга (далее - ПОУПК) и процесс оказания расчетных услуг (далее - ПОРУ). В этом случае БООУ (БОУПК, БОРУ) можно рассматривать как способность предупреждать нарушения надлежащего функционирования ПООУ (ПОУПК, ПОРУ) и восстанавливать ПООУ (ПОУПК, ПОРУ) в случае его нарушения.

Как говорилось выше, Положение N 379-П предлагает все три "бесперебойности" (БООУ, БОУПК и БОРУ) оценивать с помощью показателя "уровень бесперебойности", который трансформируется соответственно в "уровень БООУ", "уровень БОУПК" и "уровень БОРУ". Каждый такой показатель может принимать некоторый набор значений, дискретный или непрерывный. А так как в рамках Положения N 379-П "бесперебойность" эквивалентна "способности", в простейшем случае набор значений может состоять из "наличия способности" и "отсутствия способности".

Так как процессы ПООУ, ПОУПК и ПОРУ взаимосвязаны, в общем случае каждый из трех показателей ("уровень БООУ", "уровень БОУПК" и "уровень БОРУ") будет зависеть от параметров функционирования всех трех процессов, или, другими словами, от процесса функционирования ПС в целом. В связи с этим удобно использовать интегрированный показатель - "уровень БФПС", который будет характеризовать уровень бесперебойности оказания платежных услуг в рамках ПС.

Заметим, что Положение N 379-П в полном объеме (включая названия показателей) дает возможность определить только "иные показатели", которые дополнительно могут определяться оператором ПС в соответствии с составом факторов риска нарушения БФПС. В отношении трех перечисленных выше показателей, которые установлены Положением N 379-П, определение показателей сводится к определению процедур и методик их формирования на основе первичной информации о функционировании ПС и сведений о факторах рисков нарушения БФПС.

В соответствии с Положением N 379-П оператор ПС определяет показатели БФПС для использования в следующих целях:

Анализ рисков нарушения БФПС, как говорилось выше, включает выявление факторов риска нарушения БФПС, определение степени и характера влияния указанных факторов на БФПС, оценку ДУРН БФПС и подтверждение соответствия ДУРН БФПС установленному ПУРН БФПС. В связи с этим показатели "уровень БООУ", "уровень БОУПК" и "уровень БОРУ" в первую очередь будут использоваться для оценки ДУРН БФПС и подтверждения соответствия ДУРН БФПС установленному ПУРН БФПС. При этом возможны различные варианты использования.

В первом варианте перечисленные показатели будут использоваться в алгоритме оценки обобщенного показателя "уровень риска нарушения БФПС". А для установления ПУРН БФПС будут использоваться производные показатели, такие как "приемлемый уровень БООУ", "приемлемый уровень БОУПК" и "приемлемый уровень БОРУ". Аналогично для оценки ДУРН БФПС будут использоваться производные показатели "достигнутый уровень БООУ", "достигнутый уровень БОУПК" и "достигнутый уровень БОРУ".

Во втором варианте для оценки обобщенного показателя "уровень риска нарушения БФПС" можно использовать интегрированный показатель "уровень БФПС" (созданный на основе показателей "уровень БООУ", "уровень БОУПК" и "уровень БОРУ"). В этом случае для установления ПУРН БФПС будет использоваться производный показатель "приемлемый уровень БФПС", а для оценки ДУРН БФПС - производный показатель "достигнутый уровень БФПС".

В любом случае перечень показателей не будет ограничиваться только показателями, прямо упомянутыми в п. 11 Положения N 379-П, так как в состав "иных показателей" войдут показатели ПУРН БФПС и ДУРН БФПС, предусмотренные требованиями к порядку обеспечения БФПС. Кроме того, в зависимости от используемых алгоритмов в состав "иных показателей" могут войти: обобщенный показатель "уровень риска нарушения БФПС", интегрированный показатель "уровень БФПС", а также показатели "приемлемого уровня" и "допустимого уровня", производные от показателей "уровень БФПС", "уровень БООУ", "уровень БОУПК" и "уровень БОРУ".

Описание профиля рисков нарушения БФПС, согласно п. 13 Положения N 379-П, представляет собой структурированный перечень выявленных факторов рисков нарушения БФПС с указанием сопоставленных им категорий субъектов ПС, характера и степени влияния, оказываемого на БФПС, возможных форм или сценариев их проявления. Данное определение прямо не упоминает каких-либо показателей, в связи с чем вопрос об использовании показателей БФПС для целей оценки описания профиля рисков нарушения БФПС вызывает некоторые затруднения. Тем не менее можно предположить, что всякий раз, когда упоминается "влияние, оказываемое на БФПС", имеется в виду изменение показателя "уровень БФПС" под воздействием факторов риска нарушения БФПС.

В связи с этим в рамках описания профиля рисков нарушения БФПС для оценки степени влияния факторов риска нарушения БФПС, оказываемого на БФПС, могут использоваться как непосредственно показатель "уровень БФПС", так и связанные с ним показатели, в частности показатели "уровень БООУ", "уровень БОУПК" и "уровень БОРУ", а также производные от них показатели приемлемого и допустимого уровней.

С целью выбора или пересмотра мер, необходимых для достижения или поддержания ПУРН БФПС, и идентификации субъекта (категории субъектов) ПС, ответственного (ответственных) за их реализацию, показатели БФПС могут использоваться косвенным образом. Во-первых, выбор или пересмотр мер, необходимых для достижения или поддержания ПУРН БФПС, будет включать их тестирование на эффективность достижения и поддержания ПУРН БФПС, что подразумевает оценку показателя ДУРН БФПС и подтверждение соответствия значения показателя ДУРН БФПС установленному значению показателя ПУРН БФПС. А так как разные субъекты ПС могут реализовывать указанные меры с разной степенью эффективности, те же процедуры могут использоваться и при тестировании мер для целей идентификации (выбора) субъекта ПС, ответственного за реализацию мер.

Заметим, что в соответствии с Положением N 379-П оператором ПС могут определяться количественные и качественные показатели БФПС. Количественные показатели фиксируют применение к свойству объекта некоторой меры (включая шкалу и единицы измерения в рамках меры), а качественные - наличие или отсутствие определенного свойства. Фактически качественные показатели представляют собой те же количественные показатели, шкала измерения которых сводится к нескольким уровням, например: низкий/высокий, низкий/средний/высокий и т.п.

Какие именно - количественные или качественные - показатели будут использоваться, зависит от доступных алгоритмов оценки (измерения) показателей. Как правило, количественные показатели используются в ситуациях, когда существует математическая модель показателя, построенная на основе выявленных устойчивых взаимосвязей между значениями разнообразных параметров, влияющих на величину показателя.

В случае БФПС адекватные математические модели показателей БФПС отсутствуют, в связи с чем для оценки показателей БФПС проще всего использовать различные системы построения рейтинга. В частности, такие системы могут строиться путем многоуровневой декомпозиции показателя БФПС на ряд подчиненных показателей, связанных между собой системой взвешивающих коэффициентов. При этом шкала оценки показателя БФПС и подчиненных показателей может содержать от двух и более значений <1>, причем подчиненные показатели самого нижнего уровня могут оцениваться как количественно (например, статистическими методами), так и качественно (например, исходя из наличия или отсутствия некоторого набора признаков).

<1> Чем больше значений, тем сложнее использовать такую систему.

Наибольшую сложность в разработке системы построения рейтингов представляет обоснование процедуры декомпозиции показателя БФПС на подчиненные показатели, величин взвешивающих коэффициентов, а также алгоритмов расчета подчиненных показателей нижнего уровня. Как представляется, по мере накопления практического опыта использования показателей БФПС появятся "лучшие практики", которые получат наибольшее распространение.

В соответствии с Положением N 379-П показатели БФПС могут характеризовать:

В отношении таких "иных показателей", как ПУРН БФПС и ДУРН БФПС, это бесспорно. Однако в случае показателей "уровень БООУ", "уровень БОУПК" и "уровень БОРУ" возникают следующие вопросы:

Учитывая, что бесперебойное функционирование ПС эквивалентно бесперебойному функционированию ПООУ, ПОУПК и ПОРУ, во втором случае можно ввести показатели "уровень риска нарушения ПООУ", "уровень риска нарушения ПОУПК" и "уровень риска нарушения ПОРУ". Однако вопрос о соотношении между "уровнем БООУ (БОУПК, БОРУ)" и "уровнем риска нарушения ПООУ (ПОУПК, ПОРУ)" остается.

Заметим, что для каждого устанавливаемого показателя БФПС должны определяться процедура и методика его формирования, причем в соответствии с Положением N 379-П это должно делаться на основе первичной информации о функционировании ПС и сведений о факторах риска нарушения БФПС. Это требование вполне укладывается в систему оценки показателей БФПС на основе системы построения рейтинга - в данном случае в качестве подчиненных показателей нижнего уровня будут использоваться параметры функционирования ПС и качественные оценки факторов риска нарушения БФПС.

Методики анализа рисков в платежной системе

В соответствии с Положением N 379-П оператор ПС должен определить методики анализа рисков в ПС, которые должны обеспечивать:

Заметим, что Положение N 379-П не уточняет, сколько и какие именно методики должны быть определены, а устанавливает минимальный объем содержания всех методик в целом. Как представляется, удобно разработать отдельную методику по каждому из приведенных пунктов содержания, что позволит повысить уровень прозрачности при контроле за охватом всех пунктов содержания.

Описание профиля рисков нарушения БФПС должно представлять собой структурированный перечень выявленных факторов риска нарушения БФПС с указанием:

Учитывая, что дополнительные разъяснения по поводу профиля рисков в Положении N 379-П отсутствуют, можно предположить, что при сопоставлении категорий субъектов ПС необходимо указывать всех субъектов ПС, с которыми связан данный фактор рисков нарушения БФПС. Что касается характера и степени влияния, оказываемого на БФПС (точнее - на "уровень БФПС"), то возможно огромное количество вариантов как для характера влияния, так и для шкалы измерения степени влияния. В простейшем случае характер влияния может описываться направлением влияния - "повышение" или "понижение", а шкала для измерения степени влияния состоять из двух значений - "высокая" и "низкая". Наконец, возможные формы и сценарии проявления факторов рисков нарушения БФПС могут представлять собой перечень известных форм и перечень распространенных сценариев проявления указанных факторов.

Выявление закономерностей функционирования ПС на основе статистического или сценарного анализа дает возможность построить статистику нарушений НФПС, а также выявить нарушения НФПС, возникающие при реализации каждого из известных сценариев функционирования ПС. Все это позволяет не только определить перечень нарушений, но и выявить степень корреляции между этими нарушениями НФПС и факторами риска нарушения БФПС.

В связи с тем что количество комбинаций нарушений НФПС быстро растет с ростом количества отдельных нарушений НФПС, сокращение количества нарушений представляет собой важный элемент упрощения СУРН БФПС, в частности, с точки зрения выполнения требования о разделении всех нарушений НФПС (всех возможных комбинаций из отдельных нарушений НФПС) на те, которые влияют и не влияют на БФПС (изменяют или не изменяют "уровень БФПС").

Выявление возможностей нарушений НФПС, разделение указанных нарушений на не оказывающие и оказывающие влияние на БФПС, в том числе приводящие к нарушению БФПС, позволяют учитывать при расчете показателей БФПС только те факторы риска нарушения БФПС и параметры функционирования ПС, которые наиболее часто и (или) наиболее сильно влияют на БФПС (изменяют "уровень БФПС"), в том числе приводят к нарушению БФПС.

Формирование оценки ДУРН БФПС и определение ПУРН БФПС целесообразно строить на общем (для ДУРН и ПУРН БФПС) алгоритме оценки "уровня рисков нарушения БФПС". Заметим, что если оценка "уровня рисков нарушения БФПС" строится на рейтинговой основе, то для оценки ДУРН БФПС целесообразно использовать "достигнутые" значения подчиненных показателей и параметров, а для определения ПУРН БФПС - их "приемлемые" значения.

Выявление изменений ДУРН БФПС и профиля рисков нарушения БФПС с точки зрения содержания методики анализа рисков в ПС, как представляется, в первом приближении может сводиться:

При этом частота и точность оценки ДУРН БФПС и разницы между ДУРН БФПС и ПУРН БФПС могут зависеть от множества факторов, включая тип сценария развития событий в рамках функционирования ПС, текущее значение ДУРН БФПС, текущее значение отклонения ДУРН БФПС от ПУРН БФПС и т.д. Если значение последнего параметра достаточно велико, принимается решение о выполнении дополнительных процедур по достижению и поддержанию ПУРН БФПС.

Что касается частоты пересмотра профиля рисков нарушения БФПС, то первоначально такой пересмотр, по-видимому, должен проводиться регулярно и достаточно часто, что позволит установить корреляцию между поправками на значение ДУРН БФПС (по результатам пересмотра профиля рисков нарушения БФПС) и изменениями факторов риска нарушения БФПС. В свою очередь, это позволит скорректировать частоту пересмотра и выявить ситуации, когда необходим внеочередной пересмотр профиля рисков.

Выводы

Регламентация деятельности ПС в рамках Положения N 379-П потребует создания более двух десятков регламентов по вопросам обеспечения БФПС, а также большого количества алгоритмов для расчета показателей, выполнения процедур и описания методик СУРН БФПС. Большинство алгоритмов кредитным организациям придется создавать самостоятельно, так как открытых материалов по данным вопросам немного. Если Банк России не выпустит подробные методические рекомендации, банковскому сообществу предстоит длительный процесс освоения требований Положения N 379-П с привлечением специализированных институтов и консалтинговых компаний, а также при активном обмене опытом в рамках межбанковских ассоциаций и некоммерческого партнерства "Национальный платежный совет".

В.А.Лопатин

Заместитель начальника

департамент международных расчетов

дирекции расчетных операций

Внешэкономбанк