Świadczenie usług płatniczych wiąże się z istotnym ryzykiem dla bezpieczeństwa finansowego klientów MIP, KIP, banków i innych dostawców usług płatniczych. Dlatego podmioty działające w tym sektorze powinny zadbać o wprowadzenie mechanizmów zarządzania ryzykiem. Wyjaśniamy, jak to zrobić i podajemy praktyczne przykłady.
W tym artykule przeczytasz o:
- Znaczeniu procedur zarządzania ryzykiem w sektorze usług płatniczych.
- Procedurach, jakie muszą wdrożyć dostawcy usług płatniczych.
- Obowiązkach organów zarządzających względem DORA.
Dlaczego zarządzanie ryzykiem w sektorze usług płatniczych jest ważne?
Każdy dostawca usług płatniczych jest zobowiązany zapewnić bezpieczeństwo swoim użytkownikom. Korzystający z usług powierzają dostawcom swoje środki pieniężne i wrażliwe dane, tym samym są narażeni na oszustwa. Z tego względu dostawcy usług płatniczych zostali zobowiązani do spełnienia szeregu wymogów, m.in. do opracowania i przestrzegania systemu zarządzania ryzykiem.
Uniwersalne wymogi zarządzania ryzykiem możemy znaleźć w Ustawie o usługach płatniczych, Dyrektywie PSD2 oraz Wytycznych Europejskiego Urzędu Nadzoru Bankowego. Rekomendacje w tej materii sformułowała również Komisja Nadzoru Finansowego. W niniejszym artykule przyjrzymy się bliżej wytycznym zarządzania ryzykiem dla dostawców usług płatniczych oraz wskażemy, na co zwrócić szczególną uwagę.
Tworząc system zarządzania ryzykiem i niezbędną dokumentację, warto zwrócić się o pomoc do profesjonalistów. Niedochowanie wymogów wynikających z ustawy o usługach płatniczych może skutkować nałożeniem na obowiązanego kary grzywny, a nawet kary pozbawienia wolności. Co bardzo istotne, każda procedura musi być dostosowana do indywidualnego podmiotu, dla którego jest tworzona. Do posiadania procedury zarządzania ryzykiem są zobowiązane m.in. małe instytucje płatnicze. O sporządzaniu procedury zarządzania ryzykiem w Małych Instytucjach Płatniczych przeczytacie TUTAJ.
Czym jest zarządzanie ryzykiem i kogo dotyczy?
System zarządzania ryzykiem to całokształt działań podejmowanych w celu ograniczenia ryzyk operacyjnych i ryzyk bezpieczeństwa. Będą to więc procedury, praktyki i strategie oraz rozwiązania bazowe, infrastrukturalne, składające się na ramowy system, do którego opracowania, stosowania i aktualizowania zobowiązany jest dostawca.
Według Ustawy o usługach płatniczych (dalej: UUP), wdrażającej postanowienia Dyrektywy Parlamentu Europejskiego i Rady, usługi płatnicze mogą być wykonywane tylko przez dostawców usług płatniczych, których wyczerpująco wymienia UUP. Oprócz banków są to więc również m.in.:
- instytucje płatnicze,
- małe instytucje płatnicze,
- instytucje pieniądza elektronicznego,
- biura usług płatniczych
Usługą płatniczą wg UUP może być m.in. działalność polegająca na:
- przyjmowaniu wpłat gotówki i dokonywanie wypłat gotówki z rachunku płatniczego i wszelkie działania niezbędne do prowadzenia rachunku
- wykonywaniu transakcji płatniczych
- świadczeniu usługi przekazu pieniężnego
- świadczeniu usługi inicjowania transakcji płatniczej
- świadczeniu usługi dostępu do informacji o rachunku
Co powinno się znaleźć w procedurze zarządzania ryzykiem?
System zarządzania ryzykiem powinien być kompleksowym dokumentem obejmującym plan dot. bezpieczeństwa podmiotu. W dokumencie dostawca powinien opisać, jak będzie monitorował i rozwiązywał incydenty związane z bezpieczeństwem oraz skargi klientów. W systemie powinien również znaleźć się podział ról i obowiązków u danego dostawcy usług płatniczych. Ze względu na złożoność całego systemu zarządzania ryzykiem, warto prowadzić rejestr dokumentów, które się na niego składają wraz z ich aktualizacjami.
Jak zarządzać ryzykiem transakcji płatniczych? – wytyczne KNF i DORA
Na przestrzeni lat KNF publikował wiele wytycznych dotyczących bezpieczeństwa funkcjonowania instytucji płatniczych jak chociażby Rekomendacja D, Rekomendacja M, czy Rekomendacja dotycząca bezpieczeństwa transakcji płatniczych wykonywanych w internecie przez banki, krajowe instytucje płatnicze, krajowe instytucje pieniądza elektronicznego i spółdzielcze kasy oszczędnościowo – kredytowe.
Krajowe paradygmaty działania w dużej mierze straciły na znaczeniu w związku z wejściem w życie rozporządzenia DORA. Do jego stosowania są zobligowane m.in. MIP, KIP, instytucje kredytowe i banki. Unijny ustawodawca wyznaczył kilka filarów zarządzania ryzykiem, których nie można pominąć przy projektowaniu procesów dla nowej instytucji usług płatniczych lub audytowaniu tej już istniejącej. Na co musisz zwrócić szczególną uwagę?
Testy TLPT
Analiza zagrożeń cyfrowych musi być realizowana z wykorzystaniem testów penetracyjnych ukierunkowanych przez analizę zagrożeń (Threat-Led Penetration Testing). Mają one symulować ataki, na które narażona jest organizacja. Cały proces dzieli się na przygotowanie, testowanie i zamknięcie. Organizując TLPT pamiętaj, że:
- testy poprzedzone są działaniami rozpoznawczymi, które mają na celu opracowanie scenariuszy ataków jak najbardziej zbliżonych do rzeczywistych zagrożeń występujących w Twojej organizacji,
- TLPT prowadzi się bezpośrednio w środowisku produkcyjnym, co stwarza realne ryzyko zakłócenia normalnych operacji biznesowych czy nieprzewidziane skutki dla kluczowych procesów,
- bezpieczeństwo organizacji jest oceniane poprzez systemy i procesy, ale również świadomość użytkowników. Zadbaj o szkolenie swoich pracowników.
- w trakcie testów weryfikowane są techniczne zabezpieczenia, ale też skuteczność procesów reagowania na zagrożenia wewnątrz organizacji,
- w proces testu zaangażowana jest tzw. TLPT Authority. to trzecia strona, której zadaniem jest ocena obiektywizmu TLPT oraz wyników.
- jeśli to możliwe – prowadź testy oparte o framework Tiber-EU. To międzynarodowy standard oceny cyberbezpieczeństwa wdrożony m.in. przez EBC i 16 państw europejskich.
Jasne zasady reagowania na zagrożenie
Rozporządzenie DORA wymaga, aby poza przywróceniem skutecznego działania systemu w razie cyberagresji organizacja zadbała o dokumentację incydentu i jego zgłoszenie odpowiednim organom nadzoru. Upewnij się, że zaimplementowałeś:
- jasno zdefiniowane procesy reagowania na incydenty,
- systemy monitorujące, które szybko wykryją potencjalne zagrożenie,
Tylko w ten sposób możliwe jest standaryzowanie procesów i skuteczna ochrona interesów klientów.
Identyfikacja poważnych incydentów
W celu zapewnienia adekwatnej reakcji na ataki cyberprzestępców każdy dostawca usług płatniczych powinien przeprowadzić segmentację incydentów, dzieląc je na „zwykłe” i „poważne”.
Zwykłym incydentem jest pojedyncze zdarzenie lub seria powiązanych ze sobą zdarzeń, nieplanowanych przez dany podmiot finansowy, które zagrażają bezpieczeństwu sieci i systemów informatycznych i mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych lub na usługi świadczone przez ten podmiot finansowy. Z kolei poprzez incydent poważny należy rozumieć incydent związany z ICT o dużym negatywnym wpływie na sieci i systemy informatyczne, które wspierają krytyczne lub istotne funkcje podmiotu finansowego.
W ocenie, czy dany incydent można zakwalifikować jako poważny, KNF, w ślad za DORA, radzi uwzględnić następujące kryteria:
- liczbę lub znaczenie klientów lub kontrahentów finansowych oraz (w stosownych przypadkach) kwotę lub liczbę transakcji, których dotyczy incydent związany z ICT, oraz to czy taki incydent spowodował skutki reputacyjne,
- krytyczność usług, których dotyczy incydent związany z ICT, w tym transakcji i operacji podmiotu finansowego,
- czas trwania incydentu związanego z ICT, w tym przerwa w świadczeniu usług,
- utratę danych w wyniku incydentu związanego z ICT w kontekście dostępności, autentyczności, integralności lub poufności danych,
- skutki gospodarcze incydentu związanego z ICT, w szczególności bezpośrednie oraz pośrednie koszty i straty,
- zasięg geograficzny incydentu związanego z ICT, w szczególności, jeżeli dotyczy on więcej niż dwóch państw członkowskich.
Poważne incydenty należy zgłaszać w ramach powiadomienia wstępnego oraz raportowania śródokresowego i końcowego
Realizacja obowiązków przez organ zarządzający
Zarządzanie ryzykiem to nie tylko sprawnie działające systemy informatyczne. To także odpowiedzialne zarządzanie spółką przez zarząd. Rozporządzenie DORA nakłada na organy zarządzające liczne obowiązki, w tym:
- zatwierdzenie i nadzorowanie ram zarządzania ryzykiem związanym z ICT,
- wprowadzenie polityk zapewniających utrzymanie wysokich standardów dostępności, autentyczności, integralności i poufności danych,
- ustalenie wyraźnych ról i obowiązków w odniesieniu do wszystkich funkcji związanych z ICT,
- określenie i zatwierdzenie strategii operacyjnej odporności cyfrowej,
- zatwierdzenie i nadzorowanie wdrażania strategii na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT oraz okresowych audytów w tym zakresie,
- zatwierdzenie planów dotyczących wewnętrznych audytów ICT,
- zatwierdzenie polityki w zakresie umów dotyczących korzystania z usług ICT,
- aktywne aktualizowanie wiedzy i umiejętności wystarczających do zrozumienia i oceny ryzyka związanego z ICT.
Na co jeszcze warto zwrócić uwagę przygotowując procedury zarządzania ryzykiem?
Do niektórych czynności związanych z usługami płatniczymi, ustawodawca wymaga od dostawcy silnego uwierzytelnianie użytkownika. Przykładem takiej czynności jest np. uzyskanie dostępu do swojego rachunku w trybie on-line. Silne weryfikowanie tożsamości użytkownika musi być oparte o co najmniej dwa elementy z kategorii wymienionych:
- wiedza, którą ma tylko Użytkownik np. hasło
- posiadanie czegoś, co tylko Użytkownik posiada np. karta płatnicza
- charakterystyczne dla Użytkownika cechy np. odcisk palca
Bardzo istotne jest, aby pamiętać, iż informację roczną dot. oceny i aktualizacji procedur składających się na zarządzanie ryzykiem dostawca jest obowiązany corocznie, w terminie do dnia 31 stycznia roku następnego, przekazać Komisji Nadzoru Finansowego lub innemu właściwemu organowi nadzoru.
Jak wspieramy zarządzanie ryzykiem u dostawców usług płatniczych?
Prawidłowe sporządzenie kompletnej i efektywnej dokumentacji dot. zarządzania ryzykiem u dostawców usług płatniczych jest niezwykle istotną kwestią. Tworząc procedurę, dostawca powinien przede wszystkim określić sposoby radzenia sobie z nim ryzykiem oraz kwestię monitorowania go. Na dostawcy ciąży również obowiązek dokumentowania i monitorowania czynności związanych z zarządzaniem ryzykiem. Pamiętajmy, że każda procedura zarządzania ryzykiem musi być odpowiednio dostosowana do danego dostawcy usług płatniczych. Szczegółowość poszczególnych rozwiązań zależy bowiem od wielkości dostawcy, charakteru oraz zakresu usług, które oferuje. Zupełnie inny będzie więc system dot. zarządzania ryzykiem w banku krajowym, inny – w małej instytucji płatniczej.
Kancelaria RPMS wspiera realizację obowiązków w zakresie cyberbezpieczeństwa:
- przygotowujemy umowy z zewnętrznymi dostawcami ICT,
- opracowujemy wewnętrzne polityki, strategie i wytyczne dotyczące bezpieczeństwa, cyfrowego,
- pomagamy w raportowaniu incydentów do organu nadzoru,
- szkolimy pracowników,
- doradzamy w zakresie zabezpieczeń adekwatnych dla danego biznesu,
- monitorujemy zgodność organizacji z DORA, PSD2 i ustawą o usługach płatniczych.
Pytania i odpowiedzi
Kto oprócz banków musi wprowadzać system zarządzania ryzykiem?
Świadczenie usług płatniczych w dobie dynamicznego rozwoju firm z sektora fintech nie jest już wyłącznie domeną banków. W związku z powyższym, nie tylko banki będą zobowiązane do wdrożenia systemu zarządzania ryzykiem. Obowiązek ten spoczywa bowiem również na instytucjach płatniczych, małej instytucji płatniczej czy biurach usług płatniczych.
Jak wdrożyć system zarządzania ryzykiem w praktyce?
Praktyczne wdrożenie systemu zarządzania ryzykiem nie jest proste. Przede wszystkim konieczne jest przygotowanie dokumentów dot. wszystkich procedur, które mają być wdrożone w jednostce (system zarządzania ryzykiem powinien być sporządzony w formie papierowej). W wielu przypadkach skorzystanie z pomocy kancelarii prawnej specjalizującej się w obsłudze podmiotów szeroko pojętego rynku finansowego może być bardzo pomocne.
Czy podmiot objęty regulacją PSD2 musi raportować poważny incydent podwójnie – na gruncie DORA i PSD2?
Nie, w takiej sytuacji obowiązki zgłoszeniowe występują wyłącznie na gruncie DORA. W ten sposób możliwe jest zmniejszenie obciążenia administracyjnego i wyeliminowanie powielających się obowiązków w zakresie zgłaszania incydentów.