НБУ зобов’язав банки перевіряти підрядників, які надають критичні послуги

Які зміни впроваджуються?

У новій постанові впроваджено термін "третя сторона-постачальник послуг" (Third-Party Service Provider, ТРSP). Це визначення стосується як юридичних, так і фізичних осіб, що мають партнерські відносини з фінансовими установами, і від яких залежить можливість надання фінансових послуг.

Приклади ТРSP-постачальників включають зовнішніх підрядників для забезпечення кібербезпеки, постачальників електроенергії, сервісів Інтернету або ІТ-компанії, що створюють мобільні застосунки для банків.

Однак, до ТРSP не відносять такі компанії, які займаються:

• аудиторськими послугами;
• доступом до глобальних мереж;
• кліринговими і розрахунковими послугами;
• міжнародними системами для обробки інформації і платежів;
• послугами, які не впливають на операційні процеси (наприклад, прибиральні, ландшафтні, юридичні послуги тощо).

Фінансові установи, які співпрацюють з іншими компаніями, повинні запровадити ризик-менеджмент стосовно ТРSP-постачальників та регулярно їх оцінювати.

Оцінка ТРSP-постачальників передбачає перевірку зв'язків цих компаній (або їх керівників та власників) з країнами-агресорами або санкційними списками. У таких випадках банки зобов'язані терміново припинити співпрацю.

Додатково, важливим аспектом є перевірка ділової репутації ТРSP-постачальників, їхніх керівників і акціонерів. Цю перевірку банк повинен проводити як на етапі укладення угоди, так і протягом всього терміну співпраці.

Постанова не вимагає автоматичного припинення співпраці з ТРSP-постачальником у разі виявлення поганої репутації. Проте, співпраця з такими контрагентами стане більш складною та дорогою для банків.

Відповідно до нових вимог, банки мають проводити оцінку ризиків співпраці з третіми сторонами і, в разі їх виявлення, або розривати угоду, або вимагати дотримання тих же стандартів репутації, що й для самих банків, включаючи належний капітал для управління цими ризиками.

Хоча нова постанова є загальною і стосується всіх банків, одним із найбільш відомих ТРSP-постачальників, на якого це може вплинути, є компанія Fintech-IT Group, що розробляє продукт, інтегрований в «Універсал банк».

Запровадження системи управління ризиками для третіх сторін є вимогою Міжнародного валютного фонду в рамках програми, затвердженої 26 лютого 2026 року.