DORA: реестр информации об ИКТ-контрактах — скоро FSA скажет «проверьте

Одним из важных обязательств, которое регулирование DORA налагает на финансовые организации, является ведение и предоставление в FSA реестра информации о контрактах в сфере ИКТ (ROI).

Этот реестр — не просто сборник договоров с поставщиками ИКТ. Его цель — создать базу данных, которая имеет решающее значение с точки зрения управления рисками в сфере ИКТ. ROI призван отобразить отношения между финансовой организацией и ее поставщиками, обеспечивая надзорным органам полное понимание и контроль над этими отношениями.

Приближается срок подготовки и представления первого ROI в FSA. По данным FSA, первые отчеты ROI будут представлены в апреле 2025 года (точная дата будет объявлена в начале апреля).

Техническое задание и основные задачи

Для подготовки ROI финансовым организациям необходимо будет собрать ряд сведений, включая:

• информацию о конкретных контрактах в сфере ИКТ — как базовую информацию о сторонах, типе услуг, датах заключения и продолжительности, так и более подробную информацию о стоимости контракта, сроках уведомления, месте предоставления услуг или хранения данных;
• LEI-номера поставщиков и субподрядчиков ИКТ;
• в случае контрактов, обеспечивающих выполнение критически важных или основных функций, — полная информация о цепочке поставок.

Для многих финансовых учреждений одной из основных проблем является получение данных для реестра ROI. Часто эта информация не собирается централизованно, что требует привлечения различных организационных подразделений и внешних поставщиков ИКТ, что может затянуть процесс.

Формальные требования, валидация и развивающиеся рекомендации

Простой сбор данных — это только первый шаг. Следующая задача — правильно заполнить реестр ROI в соответствии с требованиями FSA.

Обязанность по предоставлению отчетности будет осуществляться через систему отчетности FSA с использованием специальных форм ROI. Реестр должен соответствовать определенным стандартам — ошибочный формат данных, отсутствие обязательных полей или неправильное имя файла могут привести к его отклонению, что означает необходимость срочного исправления и повторной подачи.

Дополнительной проблемой является меняющаяся нормативная база. Таксономия, формы и инструкции постоянно обновляются, поэтому финансовым организациям необходимо следить за рекомендациями FSA и EBA, чтобы действовать в соответствии с последними требованиями и избежать проблем при подаче реестра.

Консолидация данных в группах капитала

Для групп капитала дополнительной проблемой является консолидация реестра ROI. Финансовая организация, обязанная вести консолидированный ROI, должна включать в него не только собственные контракты с поставщиками ИКТ, но и аналогичную информацию от своих дочерних компаний (в той мере, в какой они подпадают под действие DORA).

Для финансовых организаций это означает, что:

✔ Проверить, подлежит ли их ROI консолидации и в какой степени,

✔ если они обязаны консолидироваться — своевременно получить данные от своих дочерних компаний для проверки и внесения в реестр.

Согласование порядка представления данных различными организациями является ключевым моментом для предотвращения несоответствий в консолидированном регистре ROI.

Как подготовиться?

Учитывая сложность процесса, связанного с подготовкой надлежащего ROI, на мой взгляд, ключом к обеспечению успеха всей работы являетсявнедрение внутреннего процесса подготовки реестра, который должен включать в себя:

1. тщательное ознакомление с определениями, содержащимися в DORA и имплементирующих актах, а также с интерпретацией руководящих принципов FSA;
2. для групп капитала: определение субъектов, охватываемых реестром, — определение того, на какие субъекты в рамках финансовой группы распространяется обязательство по отчетности;
3. сбор и заполнение данныхв соответствующих формах — выявление недостающей информации и обращение к поставщикам для ее получения.
4. поддержание соответствия форматам и таксономии
5. регулярный мониторинг изменений в законодательстве— слежение за обновлениями FSA и EBA, чтобы убедиться, что организация работает по правильным формам и в соответствии с текущим руководством.

В целом…

Реестр информации об ИКТ-контрактах являетсяключевым обязательством для финансовых организаций, подпадающих под действие DORA, и его подготовка требует времени, особой тщательности и точности. Несоблюдение требований FSC может привести к отклонению отчета и, в крайнем случае, к серьезным санкциям.

Финансовые организации должны интенсивно работать над своими реестрамии следить за обновлениями, предоставляемыми FSA и EBA , так как изменение руководящих принципов может потребовать дополнительных корректировок отчетности.

Полезные материалы

• EBA:Руководство и материалы по DORA
• FSA: Портал отчетности DORA (формы для отчетности, подробные инструкции и руководства FSA, требуется вход)