Т

Интегрированная и устойчивая инфраструктура,обеспечивающая довериена финансовых рынках

Ландшафт киберугроз постоянно меняется и усложняется. Эффективное управление кибербезопасностью является неотъемлемой частью систематического и активного подхода Биржи к противостоянию существующим и новым угрозам информационной безопасности и управлению ими. Принимая во внимание важнейшую роль, которую Московская биржа играет на финансовом рынке, на нее возлагается колоссальная ответственность за то, чтобы подавать пример в области обеспечения киберустойчивости, формировать доверие и налаживать сотрудничество между участниками рынка, продвигать инициативы, направленные на усиление сектора и повышение уровня осведомленности по вопросам информационной безопасности.

Задаче обеспечения операционной стабильности Группа "Московская Биржа" уделяет особое внимание. Являясь нейтральной торговой площадкой и поставщиком услуг, Группа должна поддерживать свой авторитет за счет повышения прозрачности и предоставления доступа к рынку при обеспечении высокого качества услуг. Биржа обращает пристальное внимание на качество раскрываемой информации, тем самым формируя доверие среди инвесторов. Политики Группы в области информационной безопасности обеспечивают защищенность ее инфраструктуры от различных видов киберугроз, и инвесторы ценят выгоды инвестирования в безопасной среде. Ниже представлены различные меры, принимаемые Группой "Московская Биржа" для обеспечения бесперебойности своей деятельности.


 

ЦЕЛИ УСТОЙЧИВОГО РАЗВИТИЯ ООН, связанные с направлением деятельности Московской Биржи "Интегрированная и устойчивая инфраструктура, обеспечивающая довериена финансовых рынках"
	> ЦУР 9.b Обеспечивать устойчивость функционирования финансовой инфраструктуры внутри Компании

Управление рисками
В Группе "Московская Биржа" внедрена и успешно функционирует интегрированная система управления рисками, соответствующая требованиям российского законодательства, предъявляемым к Группе как к организатору торгов, а также ведущим международным стандартам и лучшим практикам.

Раскрытие информации по требованию регулирующих органов, включая правоохранительные органы

Группа "Московская Биржа" обязана раскрывать информацию по официальному требованию компетентных государственных органов Российской Федерации, включая правоохранительные органы, в целях предотвращения или расследования возможных противозаконных действий. Требования могут касаться в основном следующих тем: противодействие неправомерному использованию инсайдерской информации и манипулированию рынком (Федеральный закон No 224-ФЗ), информация об эмитентах/участниках конкурсов (Федеральный закон No 325-ФЗ) и противодействие легализации доходов, полученных преступным путем (Федеральный закон No 115-ФЗ).

Функционирование системы внутреннего контроля Группы "Московская Биржа" построено на риск-ориентированном подходе. Внутренний контроль осуществляют: органы управления Биржи (Общее собрание акционеров, Наблюдательный совет, Правление и Председатель Правления), Комиссия Наблюдательного совета по аудиту, внешний аудитор, Служба внутреннего аудита, Служба внутреннего контроля (контроль регуляторных рисков), подразделения по управлению рисками и непрерывностью деятельности, подразделения безопасности, иные подразделения и сотрудники Биржи (в том числе главный бухгалтер и его заместители).

Роль Наблюдательного совета в процессе управления рисками

Наблюдательный совет определяет принципы и подходы Московской биржи к организации системы управления рисками, в том числе утверждает следующие документы:


> внутренние документы, определяющие политику в области организации системы управления рисками;
> документы, регламентирующие методику определения предельного размера рисков (допустимого уровня рисков) организатора торгов, а также совокупного предельного размера рисков организатора торговли и перечень мер, принимаемых в чрезвычайных ситуациях и направленных на обеспечение непрерывности осуществления деятельности по проведению организованных торгов.

При Наблюдательном совете действует специальная Комиссия
по управлению рисками, которая вырабатывает для Наблюдательного совета рекомендации по определению приоритетных направлений развития системы управления рисками компаний Группы, проводит анализ внутренних процедур по управлению рисками и готовит рекомендации по повышению их эффективности, а также осуществляет мониторинг предоставленных отчетов.


Внутренний аудит и внутренний контроль
 

Внутренний контроль имеет целью обеспечение надзора за соответствием деятельности, осуществляемой Биржей на основании лицензии, требованиям федеральных законов и принятых в соответствии с ними нормативных актов, правилам организованных торгов, а также учредительным и внутренним документам Биржи. Методы осуществления внутреннего контроля основаны на выявлении, анализе, оценке, мониторинге риска возникновения расходов (убытков) и (или) иных неблагоприятных последствий в результате операционной деятельности, применения мер со стороны Центрального банка Российской Федерации и иных регулирующих органов (далее – регуляторный риск), а также на управлении таким риском.

В рамках указанных методов система внутреннего контроля Биржи реализуется на основе концепции Комитета организаций – спонсоров Комиссии Тредвея (COSO) по внутреннему контролю и построена по модели трех линий защиты, в соответствии с которой обязанности по управлению рисками и внутреннему контролю распределены между органами управления, подразделениями, осуществляющими контрольные и координирующие функции, и внутренним аудитом.

Первой линией защиты являются все исполнители бизнес-функций и работники операционных подразделений Биржи, участвующие в выявлении, оценке и управлении рисками, присущими ежедневной деятельности, а также в разработке и реализации политик и процедур, регламентирующих действующие бизнес-процессы.

 

Вторую линию защиты представляют Департамент операционных рисков, информационной безопасности и непрерывности бизнеса, Департамент по внутреннему контролю и комплаенсу, Служба внутреннего контроля, Департамент безопасности, Юридический департамент, а также отдельные сотрудники и подразделения Блока Финансов, осуществляющие непрерывный мониторинг и управление рисками в рамках своей функции, включая среди прочего управление рисками по следующим направлениям:

> обеспечение информационной безопасности, в том числе защищенности интересов Биржи;
> соблюдение законодательства и внутренних документов;
> исключение вовлечения Биржи и ее работников в противоправную и недобросовестную деятельность, в том числе в легализацию (отмывание) доходов, полученных преступным путем, в финансирование терроризма, в коррупционную деятельность;
> исключение неправомерного использования инсайдерской информации и (или) манипулирования рынком;
> исключение конфликта интересов, в том числе выявление и контроль конфликта интересов, а также предотвращение последствий конфликта интересов.
 

Вторая линия защиты оказывает поддержку подразделениям первой линии защиты по вопросам выявления регуляторных рисков, разработки и внедрения контрольных процедур, разъяснения требований применимого законодательства, подготовки отчетности по результатам мониторинга для органов управления.

Третьей линией защиты является Служба внутреннего аудита, осуществляющая контроль за эффективностью и результативностью финансово-хозяйственной деятельности, эффективностью управления активами и пассивами, включая обеспечение сохранности активов, эффективностью системы управления рисками.

Система внутреннего контроля проходит независимый аудит, по итогам которого уровень зрелости системы был оценен как "развитой". При этом Группа продолжает совершенствование системы внутреннего контроля для сохранения системы на высоком уровне. В том числе Московская биржа реализует проект "Стабилизация 3.0", направленный на развитие корпоративной комплаенс-культуры и выработку единых подходов к управлению комплаенс-рисками в Группе.

Соответствие международным стандартам
 

На Бирже организована система управления рисками и внутреннего контроля, соответствующая в числе прочего требованиям российского законодательства, предъявляемым к Бирже как к организатору торговли, а также международным стандартам и передовой практике. Группа проводит ежегодную проверку соответствия своей деятельности Принципам для инфраструктур финансового рынка CPMI–IOSCO, концепции COSO "Управление рисками организаций", рекомендациям Базельского комитета по банковскому надзору в области процедур управления рисками. Система внутреннего контроля и управления рисками выстроена по модели трех линий защиты по COSO, что соответствует лучшим международным практикам.

В рамках реализации стратегии управления рисками Группа "Московская Биржа" ежегодно пересматривает свой уровень риск-аппетита и терпимости к риску, исходя из поставленных стратегических задач.

Для каждой компании Группы характерны отдельные виды рисков, обусловленные спецификой ее деятельности. Так, Московская биржа, являясь головной компанией Группы, несет риски, связанные с организацией торгов, а также с осуществлением операций с собственным имуществом. НРД как инфраструктурный институт финансового рынка Российской Федерации несет риски в рамках своей депозитарной деятельности.

Ключевым носителем рисков в Группе является НКЦ, выполняющий функции клиринговой организации, центрального контрагента на всех основных рынках Группы и оператора товарных поставок на товарном рынке.

НКЦ также раз в три года проходит сертификационный аудит по стандарту ISO 9001 "Системы менеджмента качества". Последняя проверка проведена в 2019 году.

Помимо этого, для организации дополнительного контроля в ключевых компаниях Группы функционируют отдельные специализированные комитеты: Комиссия по рискам Московской биржи, Комитет по рискам Наблюдательного совета НКЦ и Комитет по рискам при Правлении НРД. Московской биржей создано также отдельное структурное подразделение, ответственное за управление рисками организатора торгов.

На уровне Группы "Московская Биржа" реализуется программа "Стабилизация 3.0", включающая проведение независимой оценки системы внутреннего контроля и выполнения мероприятий по снижению операционных и комплаенс-рисков. Одним из основных направлений программы являются повышение комплаенс-культуры и разработка новых каналов взаимодействия для обмена информацией о рисках между работниками компаний Группы "Московская Биржа".

Существующая система внутреннего контроля соответствует характеру и масштабам деятельности, осуществляемой компаниями Группы. При этом Группа продолжает совершенствовать систему внутреннего контроля для повышения ее эффективности и сохранения высокого уровня ее производительности.

Профиль ключевых рисков
 

В Группе "Московская Биржа" внедрена интегрированная система управления рисками, то есть управление нефинансовыми рисками происходит совместно с управлением финансовыми и операционными рисками – все системные процессы в равной мере распространяются и на нефинансовые риски.

Информация об управлении финансовыми и операционными рисками представлена в Годовом отчете Группы "Московская Биржа" за 2020 год. Основные нефинансовые риски включают стратегический риск, комплаенс-риск, риск информационной безопасности, риск потери деловой репутации, кадровый риск, которые описаны в таблице ниже.

Информационная безопасность
 

Вопросы информационной безопасности становятся крайне актуальными: в период пандемии финансовый сектор подвергся большему количеству кибератак, чем другие отрасли экономики. Эти атаки пока не привели к существенным сбоям или системным проблемам, однако сохраняется высокий уровень киберрисков, и регулирующие органы по всему миру разрабатывают меры по снижению таких рисков.

Наблюдательный совет утверждает стратегию управления рисками и стратегию управления информационной безопасностью, а также другие основные политики. Комиссия по управлению рисками Наблюдательного совета рассматривает отчеты по управлению рисками и предоставляет рекомендации по управлению отдельными типами
риска. Правление несет ответственность за определение уровня приемлемого риска и утверждение внутренних документов.
 

Группа принимает меры по развитию и актуализации процессов обеспечения информационной безопасности и таким образом уделяет внимание повышению эффективности Стратегии управления информационной безопасностью. В документе изложены меры, направленные на снижение вероятности наступления фактических угроз информационной безопасности Московской биржи, и определены ключевые показатели эффективности реализации Стратегии.

Группа "Московская Биржа" регулярно проводит аудиты информационной безопасности, тесты на вторжение, антифишинг. Для защиты от DDoS-атак применяется гибридное решение, в рамках которого
в целях защиты от простых атак используется собственное оборудование Биржи, а в отношении более сложных атак автоматически подключается центр очистки вышестоящего провайдера. Отдельное подразделение – Центр управления информационной безопасностью – несет ответственность за мониторинг и реагирование на инциденты информационной безопасности.
 

Группа "Московская Биржа" также проводит регулярную оценку рисков нарушения прав человека, связанных с конфиденциальностью данных. Для оценки таких рисков Московская биржа использует собственную методологию оценки риск-аппетита. Группа "Московская Биржа" раскрывает информацию о процедурах оценки и ответа на запросы данных от правоохранительных или правительственных органов в соответствии с российским законодательством. Орган, ответственный за обработку персональных данных, – Департамент операционных рисков информационной безопасности и непрерывности бизнеса.

Развитие технологий
 

В силу характера современных биржевых операций и их технологической составляющей компании Группы "Московская Биржа" должны использовать надежные технологические системы, обеспечивающие стабильность и способствующие предотвращению опасных сбоев работы систем.

Внедрение процессов технологического развития в компаниях Группы "Московская Биржа" регламентировано Стратегией развития информационных технологий Группы. Основные задачи для Группы – обеспечение доступности ИТ-систем, обновление ИТ-систем для обслуживания новых продуктов и услуг, а также разработка и внедрение новых платформенных решений. Основные направления обновленной Стратегии развития ИТ до 2024 года:

> внедрение бизнес- и технологических инициатив;
> ускорение внедрения новых технологий при сохранении устойчивости;
> создание инновационной ИТ-среды;
> укрепление синергии в составе Группы;
> внедрение модели ИТ-управления;
> контроль эффективности затрат.
 

В целях поддержания репутации надежных партнеров и снижения связанных рисков компании Группы внедрили систему управления информационной безопасностью и информационную систему персональных данных, полностью соответствующую действующему российскому законодательству, а также стандарту ISO 27 0001.

Программа формирования и усиления ответственного отношения сотрудников к вопросам обеспечения безопасности включает следующие компоненты:

> специальная система КПЭ для сотрудников, в которой ежегодно

ставятся задачи по обеспечению информационной безопасности;

> регулярные мероприятия по повышению осведомленности
сотрудников, в том числе онлайн-обучение требованиям информационной безопасности, вводный инструктаж при приеме на работу;
> регулярные информационные рассылки на тему информационной безопасности и защиты конфиденциальной информации;
> тренинги и тренировочные рассылки для сотрудников по противодействию фишинговым атакам.
 

Бесперебойная и отказоустойчивая работа систем обеспечивается технологией "горячего" и "теплого" резервного копирования, позволяющей быстро восстанавливать торговые и клиринговые системы в случае сбоя. Возраст серверного оборудования, поддерживающего критически важные торговые и клиринговые операции, составляет не более трех лет, сетевого оборудования – не более пяти лет; все оборудование регулярно модернизируется, устанавливаются новейшие модели. Новые технологии могут способствовать значительному снижению энергопотребления. Так, в соответствии с Технологической политикой Московской биржи устаревшие и менее энергоэффективные серверы выводятся из эксплуатации.

Доступ к рынкам и клиентский опыт

Группа прилагает все усилия для обеспечения удобства работы с Биржей для существующих клиентов, а также для привлечения новых. С этой целью Группа:


> разрабатывает новые продукты, услуги и новые режимы торгов;
> продлевает часы торгов;
> внедряет новые технологии доступа к торгам и рыночным данным;
> развивает сотрудничество с другими рынками и биржами.


Технологическая инфраструктура Московской биржи предоставляет участникам рынка безопасную и надежную среду с функциямиопределения цен и формирования стакана. В тесном взаимодействии с системой управления рисками Московской биржи технологическая инфраструктура обеспечивает бесперебойные торги, клиринговые и расчетные операции. Надежность обеспечивается следующими факторами:

> высокоэффективная система управления рисками, обеспеченная крупномасштабными инвестициями в информационные технологии;
> капитализированная центральная инфраструктура контрагентов и расчетов;
> высокие стандарты листинга и раскрытия информации эмитентами.