Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка ПОСТАНОВЛЯЕТ:

      1. Внести в постановление Правления Национального Банка Республики Казахстан от 28 декабря 2018 года № 318 "Об утверждении Правил формирования системы управления рисками и внутреннего контроля для центрального депозитария" (зарегистрировано в Реестре государственной регистрации нормативных правовых актов Республики Казахстан под № 18180) следующие изменения:

      в Правилах формирования системы управления рисками и внутреннего контроля для центрального депозитария, утвержденных указанным постановлением:

      в Требованиях к внутренним документам системы управления рисками и внутреннего контроля согласно приложению 5:

      пункт 1 изложить в следующей редакции:

      "1. Система управления рисками центрального депозитария предусматривает, но не ограничивается наличием следующих внутренних документов:

      1) политика центрального депозитария по управлению рисками;

      2) порядок инвестирования собственных активов центрального депозитария;

      3) процедуры осуществления внутреннего контроля и внутреннего аудита;

      4) процедуры, направленные на противодействие легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

      5) процедуры управления существующими и потенциальными конфликтами интересов в центральном депозитарии;

      6) процедуры обеспечения сохранности сведений, составляющих коммерческую и (или) иную охраняемую законами Республики Казахстан тайну (далее - конфиденциальная информация), направленные на предотвращение их использования в собственных интересах центрального депозитария, его работников или третьих лиц;

      7) процедуры осуществления клиринга по сделкам с финансовыми инструментами;

      8) процедуры мониторинга и контроля эмитентов и держателей ценных бумаг на предмет соответствия требованиям законодательства Республики Казахстан о рынке ценных бумаг, регламентирующего порядок их деятельности по выпуску, размещению и обращению ценных бумаг, и внутренним документам центрального депозитария;

      9) информационная политика центрального депозитария;

      10) инструкция по технике безопасности;

      11) документация по обеспечению информационной безопасности;

      12) процедуры, направленные на предотвращение несвоевременности исполнения и (или) неисполнения приказов клиентов, эмитентов и (или) держателей ценных бумаг, а также ошибочного ввода данных в систему учета центрального депозитария, систему реестров сделок с производными финансовыми инструментами, заключенных на организованном и неорганизованном рынках ценных бумаг;

      13) процедуры по оптимизации эффективности существующего контроля операционных процессов центрального депозитария;

      14) процедуры составления и раскрытия информации в процессе осуществления деятельности центрального депозитария;

      15) требования к резервному техническому центру;

      16) требования к помещению для хранения архивных документов центрального депозитария, составляющих систему реестров держателей ценных бумаг;

      17) порядок функционирования системы управленческой информации;

      18) иные документы, установленные советом директоров центрального депозитария.";

      пункт 16 изложить в следующей редакции:

      "16. Документация по обеспечению информационной безопасности определяет:

      1) политику информационной безопасности центрального депозитария;

      2) перечень информации, подлежащей защите и включающий, в том числе информацию о сведениях, составляющих служебную, коммерческую или иную охраняемую законом тайну (далее – защищаемая информация);

      3) порядок работы с защищаемой информацией;

      4) перечень информационных систем, обрабатывающих защищаемую информацию;

      5) требования к обеспечению информационной безопасности при выборе, внедрении, разработке и тестировании информационных систем, обрабатывающих защищаемую информацию;

      6) порядок управления доступом к информационным системам, обрабатывающим защищаемую информацию;

      7) порядок резервного копирования, хранения, восстановления, тестирования работоспособности резервных копий информационных систем, обрабатывающих защищаемую информацию;

      8) порядок обеспечения антивирусной защиты информационной инфраструктуры центрального депозитария;

      9) перечень разрешенного к использованию в центральном депозитарии программного обеспечения;

      10) периодичность и правила мониторинга отдельно или серийно возникающих событий в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, включая системы информационной безопасности, свидетельствующих о нарушении принятых мер обеспечения информационной безопасности либо о прежде неизвестной ситуации, которая может иметь отношение к информационной безопасности (далее - события информационной безопасности);

      11) перечень событий информационной безопасности, подлежащих мониторингу;

      12) перечень источников событий информационной безопасности;

      13) порядок обработки отдельно или серийно возникающих сбоев в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающих угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования защищаемой информации (далее - инциденты информационной безопасности);

      14) порядок отнесения событий информационной безопасности к инцидентам информационной безопасности;

      15) порядок доступа лиц, не являющихся работниками центрального депозитария, к информационным системам, обрабатывающим защищаемую информацию;

      16) порядок защиты информации при использовании Интернета и электронной почты;

      17) порядок управления обновлениями информационных систем.";

      пункт 18 изложить в следующей редакции:

      "18. Процедуры по оптимизации эффективности существующего контроля операционных процессов центрального депозитария определяют:

      1) риски, связанные с осуществлением действий на основе первичных документов:

      представление первичных документов неуполномоченным лицом;

      кража, подмена или утеря первичных документов;

      ввод несуществующего приказа в информационную систему, системы учета и реестров;

      двойной ввод данных одного и того же приказа разными работниками в информационную систему, системы учета и реестров;

      некорректный ввод данных приказа в информационную систему, системы учета и реестров;

      невыполнение ввода приказа в информационную систему, системы учета и реестров;

      несвоевременный ввод приказа в информационную систему, системы учета и реестров;

      выбор некорректного статуса приказа в информационной системе, системе учета центрального депозитария;

      невнесение изменения в статус приказа в информационной системе, системах учета и реестров;

      изменение статуса приказа в информационной системе, системах учета и реестров, не подлежавшего изменению;

      изменение данных справочников в информационной системе, системах учета и реестров, не подлежавших изменению;

      некорректное изменение данных справочников в информационной системе, системах учета и реестров;

      невнесение изменения в данные справочников в информационной системе, системах учета и реестров;

      изменение данных справочников в информационной системе, системах учета и реестров без соответствующего документа;

      несвоевременное изменение данных справочников в информационной системе, системах учета и реестров;

      2) риски, связанные с выдачей отчетных и иных документов на основе первичных документов:

      невыполнение формирования отчетного документа;

      несвоевременное формирование отчетного документа;

      некорректные данные в отчетном документе;

      формирование отчета об исполнении с указанием неправильного статуса приказа;

      выдача отчетного документа неуполномоченному лицу;

      кража, подмена и утеря отчетных документов;

      3) риски, связанные с использование информационных систем:

      невыполнение процедур открытия (закрытия) операционного дня;

      невыполнение включения терминала фондовой биржи;

      некорректный формат входящего файла;

      некорректное содержание входящего файла;

      двойной ввод данных разными работниками для формирования записи в базе данных;

      невыполнение формирования записи в базе данных;

      некорректное формирование записи в базе данных;

      повтор документов от отправителя в информационной системе (в течение операционного дня);

      постановка приказа в очередь с отложенной датой расчетов;

      ошибки при проведении транзакций в информационной системе;

      исполнение приказа без встречного приказа (по сделкам, которые регистрируются на основании двух встречных приказов);

      исполнение приказа по ценным бумагам, не находящимся в обращении;

      исполнение приказа во время, не входящее в регламент;

      прием приказа во время, не входящее в регламент;

      исполнение приказа в момент не открытого операционного дня;

      исполнение приказа в момент приостановления операций с ценными бумагами;

      исполнение приказа на неразрешенные операции;

      4) риски, связанные с эксплуатацией информационных систем:

      заражение компьютерными вирусами;

      использование нелицензионных программ;

      неавторизованный доступ к информационным системам;

      ошибка при техническом обслуживании серверного оборудования;

      сбой в системе электропитания;

      сбой систем кондиционирования серверов;

      технический сбой серверного оборудования;

      технический сбой сетевого оборудования;

      кража, преднамеренная порча носителей данных (жестких дисков и иных носителей);

      неавторизованный доступ к носителям данных (жестким дискам и иным носителям);

      чрезвычайная ситуация природного характера;

      пожар в серверной комнате;

      затопление серверной комнаты;

      программный сбой в информационной системе;

      отсутствие формализованного требования заказчика по разработке программного обеспечения;

      некорректное составление технического задания для кодировщиков программного обеспечения;

      ошибка при написании кода программного обеспечения;

      ошибка при внедрении разработанного программного обеспечения;

      ошибка при разработке и (или) внедрении программного обеспечения.".

      2. Управлению кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить:

      1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;

      2) размещение настоящего постановления на официальном интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования;

      3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.

      3. Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.

      4. Настоящее постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.