"Орталық депозитарийге арналған тәуекелдерді басқару және ішкі бақылау жүйесін қалыптастыру қағидаларын бекіту туралы" Қазақстан Республикасы Ұлттық Банкі Басқармасының 2018 жылғы 28 желтоқсандағы № 318 қаулысына өзгерістер енгізу туралы

Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 2022 жылғы 30 мамырдағы № 40 қаулысы. Қазақстан Республикасының Әділет министрлігінде 2022 жылғы 7 маусымда № 28402 болып тіркелді

Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігінің Басқармасы ҚАУЛЫ ЕТЕДІ:

1. "Орталық депозитарийге арналған тәуекелдерді басқару және ішкі бақылау жүйесін қалыптастыру қағидаларын бекіту туралы" Қазақстан Республикасы Ұлттық Банкі Басқармасының 2018 жылғы 28 желтоқсандағы № 318 қаулысына (Қазақстан Республикасының нормативтік құқықтық актілерін мемлекеттік тіркеу тізілімінде № 18180 болып тіркелген) мынадай өзгерістер енгізілсін:

көрсетілген қаулымен бекітілген Орталық депозитарийге арналған тәуекелдерді басқару және ішкі бақылау жүйесін қалыптастыру қағидаларында:

5-қосымшаға сәйкес Тәуекелдерді басқару және ішкі бақылау жүйесінің ішкі құжаттарына қойылатын талаптарда:

1-тармақ мынадай редакцияда жазылсын:

"1. Орталық депозитарийдің тәуекелдерді басқару жүйесі мына ішкі құжаттардың болуын көздейді, бірақ олармен шектелмейді:

1) орталық депозитарийдің тәуекелдерді басқару жөніндегі саясаты;

2) орталық депозитарийдің меншікті активтерін инвестициялау тәртібі;

3) ішкі бақылау мен ішкі аудитті жүзеге асыру рәсімдері;

4) қылмыстық жолмен алынған кірістерді заңдастыруға (жылыстауға) және терроризмді қаржыландыруға қарсы іс қимылға бағытталған рәсімдерді;

5) орталық депозитарийде орын алған және әлеуетті мүдде қайшылықтарын басқару рәсімі;

6) орталық депозитарийдің, оның қызметкерлерінің және үшінші тұлғалардың өз мүдделері үшін оларды пайдалануларын болдырмауға бағытталған коммерциялық және (немесе) Қазақстан Республикасының заңдарымен қорғалатын мәліметтерді (бұдан әрі – конфиденциалды ақпарат) сақтауды қамтамасыз ету рәсімдері;

7) қаржылық құралдарымен мәмілелер бойынша клирингті жүзеге асыру рәсімдері;

8) эмитенттер мен бағалы қағаздарды ұстаушылардың бағалы қағаздарды шығару, орналастыру және айналысы жөніндегі олардың қызметінің тәртібін регламенттейтін Қазақстан Республикасының бағалы қағаздар рыногы туралы заңнамасының талаптарына және орталық депозитарийдің ішкі құжаттарына сәйкестігі тұрғысынан мониторинг жүргізу және бақылау рәсімдері;

9) орталық депозитарийдің ақпараттық саясаты;

10) қауіпсіздік техникасы бойынша нұсқаулық;

11) ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі құжаттама;

12) клиенттердің, эмитенттердің және (немесе) бағалы қағаздарды ұстаушылардың бұйрықтарын уақтылы орындамауды және (немесе) орындамауды, сондай-ақ деректерді орталық депозитарийдің есепке алу жүйесіне, бағалы қағаздардың ұйымдастырылған және ұйымдастырылмаған нарықтарында жасалған туынды қаржы құралдарымен мәмілелердің тізілімі жүйесіне қате енгізуді болдырмауға бағытталған рәсімдер;

13) орталық депозитарийдің операциялық процестерін қолданыстағы бақылаудың тиімділігін оңтайландыру бойынша рәсімдер;

14) орталық депозитарийдің қызметін жүзеге асыру процесінде ақпаратты жасау және жария ету рәсімдері;

15) резервтік техникалық орталыққа қойылатын талаптар;

16) бағалы қағаздарды ұстаушылар тізілімдерінің жүйесін құрайтын орталық депозитарийдің архивтік құжаттарын сақтауға арналған үй-жайға қойылатын талаптар;

17) басқарушылық ақпарат жүйесінің жұмыс істеу тәртібі;

18) орталық депозитарийдің директорлар кеңесі белгілеген өзге құжаттар.";

16-тармақ мынадай редакцияда жазылсын:

"16. Ақпараттық қауіпсіздікті қамтамасыз ету жөніндегі құжаттама мыналарды:

1) орталық депозитарийдің ақпараттық қауіпсіздік саясатын;

2) қорғалуға жататын және оның ішінде қызметтік, коммерциялық немесе заңмен қорғалатын өзге де құпияны құрайтын мәліметтерді қамтитын ақпарат тізбесін (бұдан әрі – қорғалатын ақпарат);

3) қорғалатын ақпаратпен жұмыс істеу тәртібін;

4) қорғалатын ақпаратты өңдейтін ақпараттық жүйелердің тізбесін;

5) қорғалатын ақпаратты өңдейтін ақпараттық жүйелерді таңдау, енгізу, әзірлеу және тестілеу кезінде ақпараттық қауіпсіздікті қамтамасыз етуге қойылатын талаптарды;

6) қорғалатын ақпаратты өңдейтін ақпараттық жүйелерге қолжетімділікті басқару тәртібін;

7) қорғалатын ақпаратты өңдейтін ақпараттық жүйелердің резервтік көшірмелерінің резервтік көшірмелерін жасау, сақтау, қалпына келтіру, жұмысқа қабілеттілігін тестілеу тәртібін;

8) орталық депозитарийдің ақпараттық инфрақұрылымын вирусқа қарсы қорғауды қамтамасыз ету тәртібін;

9) орталық депозитарийде пайдалануға рұқсат етілген бағдарламалық қамтылымның тізбесін;

10) ақпараттық қауіпсіздікті қамтамасыз етудің қабылданған шараларының бұзылғаны туралы не ақпараттық қауіпсіздікке қатысы болуы мүмкін бұрын белгісіз болған жағдай туралы куәландыратын ақпараттық қауіпсіздік жүйесін қоса алғанда, ақпараттық-коммуникациялық инфрақұрылымның немесе оның жекелеген объектілерінің жұмысында жеке немесе сериялы түрде туындайтын оқиғаларды (бұдан әрі – ақпараттық қауіпсіздік оқиғалары) мониторингтеудің кезеңділігі мен қағидаларын;

11) мониторингтелуге тиіс ақпараттық қауіпсіздік оқиғаларының тізбесін;

12) ақпараттық қауіпсіздік оқиғалары көздерінің тізбесін;

13) ақпараттық-коммуникациялық инфрақұрылымның немесе оның жекелеген объектілерінің жұмысында жекелеген немесе сериялы түрде туындайтын, олардың тиісінше жұмыс істеуіне қатер төндіретін және (немесе) қорғалатын ақпаратты заңсыз алу, көшірмесін түсіру, тарату, түрлендіру, жою немесе бұғаттау үшін жағдайлар жасайтын іркілістерді (бұдан әрі – ақпараттық қауіпсіздіктің оқыс оқиғалары) өңдеу тәртібін;

14) ақпараттық қауіпсіздік оқиғаларын ақпараттық қауіпсіздіктің оқыс оқиғаларына жатқызу тәртібін;

15) орталық депозитарийдің қызметкерлері болып табылмайтын адамдардың қорғалатын ақпаратты өңдейтін ақпараттық жүйелерге қол жеткізу тәртібін;

16) Интернетті және электрондық поштаны пайдалану кезінде ақпаратты қорғау тәртібін;

17) ақпараттық жүйелердің жаңартуларын басқару тәртібін айқындайды.";

18-тармақ мынадай редакцияда жазылсын:

"18. Орталық депозитарийдің операциялық процестерін қолданыстағы бақылаудың тиімділігін оңтайландыру рәсімдері мыналарды айқындайды:

1) бастапқы құжаттар негізінде іс-әрекеттерді жүзеге асырумен байланысты тәуекелдер:

бастапқы құжаттарды уәкілетті емес тұлғаның ұсынуы;

бастапқы құжаттардың ұрлануы, айырбасталуы немесе жоғалуы;

қолданыста жоқ бұйрықты ақпараттық жүйеге, есепке алу және тізілімдер жүйелеріне енгізу;

бір бұйрықтың деректерін түрлі қызметкерлердің ақпараттық жүйеге, есепке алу және тізілімдер жүйелеріне екі рет енгізуі;

бұйрық деректерінің ақпараттық жүйеге, есепке алу және тізілімдер жүйелеріне дұрыс енгізілмеуі;

бұйрықты ақпараттық жүйеге, есепке алу және тізілімдер жүйелеріне енгізуді орындамау;

бұйрықты ақпараттық жүйеге, есепке алу және тізілімдер жүйелеріне уақтылы енгізбеу;

бұйрықтың ақпараттық жүйедегі, орталық депозитарийдің есепке алу жүйесіндегі дұрыс емес мәртебесін таңдау;

бұйрықтың ақпараттық жүйедегі, есепке алу және тізілімдер жүйелеріндегі мәртебесіне өзгеріс енгізбеу;

бұйрықтың ақпараттық жүйеде, есепке алу және тізілімдер жүйелеріндегі өзгертуге жатпайтын мәртебесін өзгерту;

ақпараттық жүйедегі, есепке алу және тізілімдер жүйелеріндегі өзгертуге жатпайтын анықтамалықтар деректерін өзгерту;

ақпараттық жүйеде, есепке алу және тізілімдер жүйелеріндегі анықтамалықтар деректерінің дұрыс өзгертілмеуі;

ақпараттық жүйедегі, есепке алу және тізілімдер жүйелеріндегі анықтамалықтар деректеріне өзгерістер енгізбеу;

тиісті құжатсыз ақпараттық жүйеде, есепке алу және тізілімдер жүйелерінде анықтамалықтар деректерін өзгерту;

ақпараттық жүйеде, есепке алу және тізілімдер жүйелерінде анықтамалықтар деректерін уақтылы өзгертпеу;

2) бастапқы құжаттар негізінде есептік және өзге құжаттарды берумен байланысты тәуекелдер:

есептік құжатты қалыптастыруды орындамау;

есептік құжатты уақтылы қалыптастырмау;

есептік құжаттағы дұрыс емес деректер;

бұйрықтың қате мәртебесін көрсете отырып орындау туралы есепті қалыптастыру;

есептік құжатты уәкілетті емес тұлғаға беру;

есептік құжаттарды ұрлау, айырбастау және жоғалту;

3) ақпараттық жүйелерді пайдалануға байланысты тәуекелдер:

операциялық күнді ашу (жабу) рәсімдерін орындамау;

қор биржасының терминалын қосуды орындамау;

кіріс файлының дұрыс емес форматы;

кіріс файлының дұрыс емес мазмұны;

түрлі қызметкерлердің дерекқорда жазбаны қалыптастыру үшін деректерді екі рет енгізуі;

дерекқорда жазбаны қалыптастыруды орындамау;

ақпараттық жүйеде жөнелтушіден келген құжаттардың қайталануы (операциялық күн ішінде);

есептеулерді кейінге қалдыру күнімен бұйрықты кезекке қою;

ақпараттық жүйеде транзакцияларды жүргізу кезіндегі қателер;

бұйрықты қарсы бұйрықсыз орындау (екі қарсы бұйрықтар негізінде тіркелетін мәмілелер бойынша);

айналыста болмаған бағалы қағаздар бойынша бұйрықты орындау;

регламентке кірмейтін уақытта бұйрықты орындау;

регламентке кірмейтін уақытта бұйрықты қабылдау;

ашылмаған операциялық күн кезінде бұйрықты орындау;

бағалы қағаздармен операцияларды тоқтата тұру кезінде бұйрықты орындау;

рұқсат етілмеген операциялар бойынша бұйрықты орындау;

4) ақпараттық жүйелерді пайдалануға байланысты тәуекелдер:

компьютерлік вирустардың енуі;

лицензиялық емес бағдарламаларды пайдалану;

ақпараттық жүйелерге рұқсатсыз кіру;

серверлік жабдыққа техникалық қызмет көрсету кезіндегі қателер;

электрлік қоректендіру жүйесіндегі іркілістер;

серверлерді кондиционирлеу жүйелерінің іркілістері;

серверлік жабдықтың техникалық іркілісі;

желілік жабдықтың техникалық іркілісі;

деректерді тасымалдағыштарды (қатты дискілерді және өзге тасымалдағыштарды) ұрлау, әдейі бүлдіру;

деректерді тасымалдағыштарға (қатты дискілердегі және өзге тасымалдағыштар) рұқсатсыз қол жеткізу;

табиғи сипаттағы төтенше жағдай;

серверлік бөлмедегі өрт;

серверлік бөлмені судың басып қалуы;

ақпараттық жүйедегі бағдарламалық іркіліс;

тапсырыс берушінің бағдарламалық қамтамасыз етуді әзірлеу бойынша қалыпқа келтірілген талаптарының болмауы;

бағдарламалық қамтамасыз етудің кодын белгілеушілер үшін техникалық тапсырманы дұрыс жасамау;

бағдарламалық қамтамасыз ету кодын жазу кезіндегі қате;

әзірленген бағдарламалық қамтамасыз етуді енгізу кезіндегі қате;

бағдарламалық қамтамасыз етуді әзірлеу және (немесе) енгізу кезіндегі қате.".

2. Киберқауіпсіздік басқармасы Қазақстан Республикасының заңнамасында белгіленген тәртіппен:

1) Заң департаментімен бірлесіп осы қаулыны Қазақстан Республикасының Әділет министрлігінде мемлекеттік тіркеуді;

2) осы қаулыны ресми жарияланғаннан кейін Қазақстан Республикасы Қаржы нарығын реттеу және дамыту агенттігінің ресми интернет-ресурсына орналастыруды;

3) осы қаулы мемлекеттік тіркелгеннен кейін он жұмыс күні ішінде Заң департаментіне осы тармақтың 2) тармақшасында көзделген іс-шараның орындалуы туралы мәліметтерді ұсынуды қамтамасыз етсін.

3. Осы қаулының орындалуын бақылау Қазақстан Республикасының Қаржы нарығын реттеу және дамыту агенттігі Төрағасының жетекшілік ететін орынбасарына жүктелсін.

4. Осы қаулы алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі.

Қазақстан Республикасының Қаржы нарығын реттеу және дамыту Агенттігінің Төрағасы

М. Абылкасымова

О внесении изменений в постановление Правления Национального Банка Республики Казахстан от 28 декабря 2018 года № 318 "Об утверждении Правил формирования системы управления рисками и внутреннего контроля для центрального депозитария"

Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 30 мая 2022 года № 40. Зарегистрировано в Министерстве юстиции Республики Казахстан 7 июня 2022 года № 28402

Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка ПОСТАНОВЛЯЕТ:

1. Внести в постановление Правления Национального Банка Республики Казахстан от 28 декабря 2018 года № 318 "Об утверждении Правил формирования системы управления рисками и внутреннего контроля для центрального депозитария" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов Республики Казахстан под № 18180) следующие изменения:

в Правилах формирования системы управления рисками и внутреннего контроля для центрального депозитария, утвержденных указанным постановлением:

в Требованиях к внутренним документам системы управления рисками и внутреннего контроля согласно приложению 5:

пункт 1 изложить в следующей редакции:

"1. Система управления рисками центрального депозитария предусматривает, но не ограничивается наличием следующих внутренних документов:

1) политика центрального депозитария по управлению рисками;

2) порядок инвестирования собственных активов центрального депозитария;

3) процедуры осуществления внутреннего контроля и внутреннего аудита;

4) процедуры, направленные на противодействие легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

5) процедуры управления существующими и потенциальными конфликтами интересов в центральном депозитарии;

6) процедуры обеспечения сохранности сведений, составляющих коммерческую и (или) иную охраняемую законами Республики Казахстан тайну (далее - конфиденциальная информация), направленные на предотвращение их использования в собственных интересах центрального депозитария, его работников или третьих лиц;

7) процедуры осуществления клиринга по сделкам с финансовыми инструментами;

8) процедуры мониторинга и контроля эмитентов и держателей ценных бумаг на предмет соответствия требованиям законодательства Республики Казахстан о рынке ценных бумаг, регламентирующего порядок их деятельности по выпуску, размещению и обращению ценных бумаг, и внутренним документам центрального депозитария;

9) информационная политика центрального депозитария;

10) инструкция по технике безопасности;

11) документация по обеспечению информационной безопасности;

12) процедуры, направленные на предотвращение несвоевременности исполнения и (или) неисполнения приказов клиентов, эмитентов и (или) держателей ценных бумаг, а также ошибочного ввода данных в систему учета центрального депозитария, систему реестров сделок с производными финансовыми инструментами, заключенных на организованном и неорганизованном рынках ценных бумаг;

13) процедуры по оптимизации эффективности существующего контроля операционных процессов центрального депозитария;

14) процедуры составления и раскрытия информации в процессе осуществления деятельности центрального депозитария;

15) требования к резервному техническому центру;

16) требования к помещению для хранения архивных документов центрального депозитария, составляющих систему реестров держателей ценных бумаг;

17) порядок функционирования системы управленческой информации;

18) иные документы, установленные советом директоров центрального депозитария.";

пункт 16 изложить в следующей редакции:

"16. Документация по обеспечению информационной безопасности определяет:

1) политику информационной безопасности центрального депозитария;

2) перечень информации, подлежащей защите и включающий, в том числе информацию о сведениях, составляющих служебную, коммерческую или иную охраняемую законом тайну (далее – защищаемая информация);

3) порядок работы с защищаемой информацией;

4) перечень информационных систем, обрабатывающих защищаемую информацию;

5) требования к обеспечению информационной безопасности при выборе, внедрении, разработке и тестировании информационных систем, обрабатывающих защищаемую информацию;

6) порядок управления доступом к информационным системам, обрабатывающим защищаемую информацию;

7) порядок резервного копирования, хранения, восстановления, тестирования работоспособности резервных копий информационных систем, обрабатывающих защищаемую информацию;

8) порядок обеспечения антивирусной защиты информационной инфраструктуры центрального депозитария;

9) перечень разрешенного к использованию в центральном депозитарии программного обеспечения;

10) периодичность и правила мониторинга отдельно или серийно возникающих событий в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, включая системы информационной безопасности, свидетельствующих о нарушении принятых мер обеспечения информационной безопасности либо о прежде неизвестной ситуации, которая может иметь отношение к информационной безопасности (далее - события информационной безопасности);

11) перечень событий информационной безопасности, подлежащих мониторингу;

12) перечень источников событий информационной безопасности;

13) порядок обработки отдельно или серийно возникающих сбоев в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающих угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования защищаемой информации (далее - инциденты информационной безопасности);

14) порядок отнесения событий информационной безопасности к инцидентам информационной безопасности;

15) порядок доступа лиц, не являющихся работниками центрального депозитария, к информационным системам, обрабатывающим защищаемую информацию;

16) порядок защиты информации при использовании Интернета и электронной почты;

17) порядок управления обновлениями информационных систем.";

пункт 18 изложить в следующей редакции:

"18. Процедуры по оптимизации эффективности существующего контроля операционных процессов центрального депозитария определяют:

1) риски, связанные с осуществлением действий на основе первичных документов:

представление первичных документов неуполномоченным лицом;

кража, подмена или утеря первичных документов;

ввод несуществующего приказа в информационную систему, системы учета и реестров;

двойной ввод данных одного и того же приказа разными работниками в информационную систему, системы учета и реестров;

некорректный ввод данных приказа в информационную систему, системы учета и реестров;

невыполнение ввода приказа в информационную систему, системы учета и реестров;

несвоевременный ввод приказа в информационную систему, системы учета и реестров;

выбор некорректного статуса приказа в информационной системе, системе учета центрального депозитария;

невнесение изменения в статус приказа в информационной системе, системах учета и реестров;

изменение статуса приказа в информационной системе, системах учета и реестров, не подлежавшего изменению;

изменение данных справочников в информационной системе, системах учета и реестров, не подлежавших изменению;

некорректное изменение данных справочников в информационной системе, системах учета и реестров;

невнесение изменения в данные справочников в информационной системе, системах учета и реестров;

изменение данных справочников в информационной системе, системах учета и реестров без соответствующего документа;

несвоевременное изменение данных справочников в информационной системе, системах учета и реестров;

2) риски, связанные с выдачей отчетных и иных документов на основе первичных документов:

невыполнение формирования отчетного документа;

несвоевременное формирование отчетного документа;

некорректные данные в отчетном документе;

формирование отчета об исполнении с указанием неправильного статуса приказа;

выдача отчетного документа неуполномоченному лицу;

кража, подмена и утеря отчетных документов;

3) риски, связанные с использование информационных систем:

невыполнение процедур открытия (закрытия) операционного дня;

невыполнение включения терминала фондовой биржи;

некорректный формат входящего файла;

некорректное содержание входящего файла;

двойной ввод данных разными работниками для формирования записи в базе данных;

невыполнение формирования записи в базе данных;

некорректное формирование записи в базе данных;

повтор документов от отправителя в информационной системе (в течение операционного дня);

постановка приказа в очередь с отложенной датой расчетов;

ошибки при проведении транзакций в информационной системе;

исполнение приказа без встречного приказа (по сделкам, которые регистрируются на основании двух встречных приказов);

исполнение приказа по ценным бумагам, не находящимся в обращении;

исполнение приказа во время, не входящее в регламент;

прием приказа во время, не входящее в регламент;

исполнение приказа в момент не открытого операционного дня;

исполнение приказа в момент приостановления операций с ценными бумагами;

исполнение приказа на неразрешенные операции;

4) риски, связанные с эксплуатацией информационных систем:

заражение компьютерными вирусами;

использование нелицензионных программ;

неавторизованный доступ к информационным системам;

ошибка при техническом обслуживании серверного оборудования;

сбой в системе электропитания;

сбой систем кондиционирования серверов;

технический сбой серверного оборудования;

технический сбой сетевого оборудования;

кража, преднамеренная порча носителей данных (жестких дисков и иных носителей);

неавторизованный доступ к носителям данных (жестким дискам и иным носителям);

чрезвычайная ситуация природного характера;

пожар в серверной комнате;

затопление серверной комнаты;

программный сбой в информационной системе;

отсутствие формализованного требования заказчика по разработке программного обеспечения;

некорректное составление технического задания для кодировщиков программного обеспечения;

ошибка при написании кода программного обеспечения;

ошибка при внедрении разработанного программного обеспечения;

ошибка при разработке и (или) внедрении программного обеспечения.".

2. Управлению кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить:

1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;

2) размещение настоящего постановления на официальном интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования;

3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.

3. Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.

4. Настоящее постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.

Председатель Агентства Республики Казахстан по регулированию и развитию финансового рынка

М. Абылкасымова