Глава 1. Требования к системе внутреннего контроля бюро кредитных историй

1.1. В соответствии с частью 2 ² статьи 10 Федерального закона от 30 декабря 2004 года N 218-ФЗ "О кредитных историях" (далее - Федеральный закон "О кредитных историях") бюро кредитных историй (далее - бюро) обязано организовать систему внутреннего контроля бюро.

Система внутреннего контроля бюро должна быть направлена на соблюдение бюро требований законодательства Российской Федерации, нормативных актов Банка России, учредительных и внутренних документов бюро, включая:

обеспечение достоверности, полноты, объективности и своевременности составления и представления бюро бухгалтерской (финансовой) и иной отчетности;

обеспечение защиты информации бюро, включая предотвращение не контролируемого бюро распространения информации ограниченного доступа (далее - утечка информации);

обеспечение эффективности финансово-хозяйственной деятельности бюро;

исключение вовлечения бюро и его работников в осуществление противоправной и недобросовестной деятельности;

исключение конфликтов интересов, возникающих при осуществлении бюро своих функций, в том числе выявление и контроль конфликта интересов, а также предотвращение его последствий;

обеспечение качества предоставляемых бюро услуг, предусмотренных Федеральным законом "О кредитных историях", включая обеспечение соответствия сведений, содержащихся в кредитных историях, требованиям, определенным на основании части 5 статьи 10 Федерального закона "О кредитных историях", а также критериям достоверности и актуальности, установленным во внутренних документах бюро (далее - требования к качеству данных кредитных историй).

1.2. Система внутреннего контроля бюро должна обеспечивать:

разработку бюро мероприятий, направленных на предупреждение и предотвращение последствий реализации рисков, связанных с осуществляемой им деятельностью по формированию, обработке и хранению кредитных историй, а также по предоставлению кредитных отчетов и сопутствующих услуг, предусмотренных Федеральным законом "О кредитных историях" (далее - риски), управление рисками, а также реализацию и (или) контроль выполнения указанных мероприятий;

осуществление бюро процессов, направленных на выявление, анализ, оценку, мониторинг рисков, в том числе событий, связанных с возникновением у бюро расходов (убытков) и (или) иных неблагоприятных последствий в результате несоответствия его деятельности требованиям законодательства Российской Федерации, нормативных актов Банка России, учредительных и внутренних документов бюро и (или) применением в отношении бюро, его акционеров (участников) и лиц, под контролем или значительным влиянием которых находятся акционеры (участники) бюро, мер со стороны Банка России или органов исполнительной власти;

осуществление бюро процедур предотвращения конфликта интересов;

осуществление бюро контроля исполнения предписаний (требований) Банка России;

разработку бюро критериев и методов оценки достоверности и актуальности сведений, содержащихся в кредитных историях;

разработку и осуществление бюро мероприятий, направленных на обеспечение соответствия сведений, содержащихся в кредитных историях, требованиям к качеству данных кредитных историй, на выявление, анализ, оценку, мониторинг событий, связанных с несоответствием сведений, содержащихся в кредитных историях, требованиям к качеству данных кредитных историй, на предупреждение и предотвращение последствий несоответствия сведений, содержащихся в кредитных историях, требованиям к качеству данных кредитных историй, на осуществление бюро контроля за выполнением указанных мероприятий;

ведение электронных журналов (протоколов), учитывающих каждое действие бюро, связанное с осуществлением деятельности бюро, и содержащих:

дату и время (до секунд) выполнения каждого действия бюро;

идентификаторы источника формирования кредитной истории (далее - источник), пользователя кредитной истории (далее - пользователь), иного юридического лица или индивидуального предпринимателя, не являющегося пользователем, бюро, субъекта кредитной истории (далее - субъект) и лиц, указанных в пунктах 3-8 части 1 статьи 6 Федерального закона "О кредитных историях" (далее при совместном упоминании - взаимодействующие лица), определяемые в соответствии с внутренними документами бюро;

исходящие и входящие идентификаторы запроса и ответа, направляемых каждым взаимодействующим лицом, содержащие дату и время (до секунд) отправления (поступления) и номер запроса и ответа.

1.3. Система внутреннего контроля бюро должна функционировать на постоянной основе.

1.4. В целях организации системы внутреннего контроля бюро должно разработать политику внутреннего контроля, содержащую основные принципы (подходы) к организации системы внутреннего контроля бюро, в том числе порядок осуществления внутреннего контроля, утверждаемую советом директоров (наблюдательным советом) бюро, а при его отсутствии - общим собранием акционеров (участников) бюро. По решению бюро политика внутреннего контроля может содержаться в одном или нескольких внутренних документах бюро.

Политика внутреннего контроля должна пересматриваться бюро не реже одного раза в год.

1.5. В рамках организации системы внутреннего контроля бюро обязано назначить контролера или сформировать отдельное структурное подразделение (далее - служба внутреннего контроля).

Контролер (служба внутреннего контроля) должен быть подотчетен (должна быть подотчетна):

в случае отсутствия принятого бюро (за исключением квалифицированного бюро) решения об организации и осуществлении внутреннего аудита в соответствии с абзацем вторым пункта 1.7 настоящего Положения - совету директоров (наблюдательному совету) бюро, а в случае его отсутствия - общему собранию акционеров (участников) бюро;

во всех остальных случаях - единоличному исполнительному органу бюро.

Контролер не должен одновременно являться контролером (работником службы внутреннего контроля) и (или) аудитором (работником службы внутреннего аудита) лиц, оказывающих профессиональные услуги на финансовом рынке, а также в некредитных финансовых организациях и (или) кредитных организациях.

Контролер (служба внутреннего контроля) выполняет функции, указанные в подпунктах 1.9.2-1.9.5 пункта 1.9 настоящего Положения, в случае отсутствия принятого бюро (за исключением квалифицированного бюро) решения об организации и осуществлении внутреннего аудита в соответствии абзацем вторым пункта 1.7 настоящего Положения.

1.6. В рамках осуществления внутреннего контроля контролер (служба внутреннего контроля) выполняет следующие функции:

1.7. В рамках организации системы внутреннего контроля квалифицированное бюро обязано организовать и осуществлять внутренний аудит путем назначения внутреннего аудитора, либо создания отдельного структурного подразделения, либо привлечения независимой внешней организации на основании договора (далее при совместном упоминании - Внутренний аудитор).

Бюро (за исключением квалифицированных бюро) вправе принять решение об организации и осуществлении внутреннего аудита путем назначения Внутреннего аудитора. При принятии такого решения внутренний аудит бюро осуществляется в порядке, предусмотренном для квалифицированных бюро в соответствии с пунктами 1.8-1.10, 1.12 настоящего Положения.

1.8. В рамках организации системы внутреннего контроля квалифицированное бюро должно обеспечить подчиненность и подотчетность Внутреннего аудитора совету директоров (наблюдательному совету) квалифицированного бюро, а в случае его отсутствия - общему собранию акционеров (участников) квалифицированного бюро.

Внутренний аудитор не должен принимать участие в проверке деятельности и функций, которые осуществлялись им в течение проверяемого периода и в течение двенадцати месяцев после завершения осуществления указанных деятельности и функций.

1.9. В рамках осуществления внутреннего контроля Внутренний аудитор выполняет следующие функции:

1.10. Для выполнения в рамках системы внутреннего контроля функций, установленных пунктом 1.9 настоящего Положения, Внутренний аудитор:

составляет план проведения проверок (внутреннего аудита) с учетом оценки рисков, изменений в системе внутреннего контроля квалифицированного бюро, системе управления рисками квалифицированного бюро, требования к которой установлены главой 2 настоящего Положения, а также с учетом периодичности проведения проверок направлений деятельности и (или) бизнес-процессов, и (или) структурных подразделений квалифицированного бюро, содержащий в том числе перечень объектов внутреннего аудита, подлежащих проверке, предмет проверок (если планом проведения проверок (внутреннего аудита) предполагается определить отдельные направления оценки объекта внутреннего аудита), календарный график проведения проверок;

составляет акты о результатах проведенных проверок (внутреннего аудита), в которых должны быть отражены основания проведения проверок (внутреннего аудита), сроки их проведения, выводы и рекомендации Внутреннего аудитора (в том числе в части определения сроков реализации рекомендаций по совершенствованию деятельности квалифицированного бюро и ответственных за реализацию указанных рекомендаций лиц);

составляет и направляет не реже одного раза в год отчеты о проведенных проверках (проведенном внутреннем аудите) квалифицированного бюро и ходе выполнения органами управления квалифицированного бюро рекомендаций по совершенствованию деятельности такого бюро (при наличии указанных рекомендаций), а также о случаях, препятствующих осуществлению Внутренним аудитором своих функций (при наличии указанных случаев), членам совета директоров (наблюдательного совета) квалифицированного бюро, а при отсутствии совета директоров (наблюдательного совета) - общему собранию акционеров (участников) квалифицированного бюро.

В рамках организации системы внутреннего контроля квалифицированное бюро должно обеспечить хранение указанных в абзацах втором - четвертом настоящего пункта документов в течение не менее пяти лет с даты их составления.

1.11. Система внутреннего контроля бюро должна предусматривать хранение:

форм подтверждения пользователями наличия согласия субъекта на получение его кредитного отчета - не менее одного года со дня их получения бюро;

кредитных отчетов, предоставляемых по запросу пользователей (включая передаваемые сведения о среднемесячных платежах, индивидуальные рейтинги и скоринги субъектов), - не менее одного года со дня их формирования;

электронных журналов (протоколов), указанных в абзацах восьмом-одиннадцатом пункта 1.2 настоящего Положения, в электронном виде - не менее трех лет со дня формирования электронного журнала (протокола) по каждому действию;

документов, содержащих сведения, включая дополнительную информацию, предусмотренные статьей 4 Федерального закона "О кредитных историях", полученных от источников, - не менее одного года со дня их получения бюро;

запросов кредитных отчетов, включая запрос сведений о среднемесячных платежах, индивидуальных рейтингов, скорингов субъектов, поступивших от пользователей, - не менее одного года со дня их получения бюро;

документов, поступивших в бюро от источников и субъектов, - не менее одного года со дня их получения бюро, а также документов, направленных бюро источникам и субъектам, - не менее одного года со дня их регистрации бюро в рамках оспаривания субъектом информации, содержащейся в его кредитной истории, в соответствии с частью 3 статьи 8 Федерального закона "О кредитных историях";

отчетов о проведенных мероприятиях, направленных на обеспечение качества данных кредитных историй, разрабатываемых и проводимых бюро в соответствии с абзацем седьмым пункта 1.2 настоящего Положения, - не менее одного года со дня их формирования.

1.11 ¹. Система внутреннего контроля квалифицированного бюро помимо хранения документов, указанных в абзацах втором - восьмом пункта 1.11 настоящего Положения, должна также предусматривать:

хранение заявлений о внесении в кредитную историю сведений о запрете (снятии запрета) на заключение договоров потребительского займа (кредита), подаваемых субъектами кредитных историй - физическими лицами в соответствии со статьей 5 ¹ Федерального закона "О кредитных историях" (далее соответственно - заявление о запрете, заявление о снятии запрета). Заявление о запрете хранится в квалифицированном бюро на постоянной основе или не менее семи лет со дня снятия такого запрета, заявление о снятии запрета хранится в квалифицированном бюро не менее семи лет;

хранение сведений, направленных в адрес источников, пользователей, бюро, других квалифицированных бюро, субъектов при предоставлении квалифицированным бюро услуг в соответствии с Федеральным законом "О кредитных историях" и (или) принятыми в соответствии с ним нормативными актами Банка России, в электронном виде - не менее одного года со дня направления сведений.

1.12. В рамках организации системы внутреннего контроля бюро должно обеспечивать выполнение контролером (службой внутреннего контроля) и Внутренним аудитором своих функций и решение поставленных задач без вмешательства со стороны иных структурных подразделений и работников бюро, исполнение структурными подразделениями и должностными лицами бюро требований контролера (службы внутреннего контроля) и Внутреннего аудитора, связанных с выполнением их функций, а также обеспечивать контролера (службу внутреннего контроля) и Внутреннего аудитора:

ресурсами (материальными, техническими, кадровыми), необходимыми и достаточными для достижения поставленных перед ними задач;

доступом к информации, необходимой для осуществления ими своих функций.