Проект

Правління Національного банку України

П О С Т А Н О В А

 __ ________ 2016 року                     м. Київ                                                 № ____

Про схвалення Методичних рекомендацій щодо моніторингу операцій з використанням електронних платіжних засобів
Відповідно до статей 7, 40 Закону України “Про Національний банк України” та статті 401 Закону України “Про платіжні системи та переказ коштів в  Україні”, з метою сприяння розвитку безготівкових платежів та створення безпечного національного платіжного простору для масового використання електронних платіжних засобів суб’єктами розрахунків на території України Правління Національного банку України постановляє:
1. Схвалити Методичні рекомендації щодо параметрів моніторингу операцій з використанням електронних платіжних засобів у банківській системі Україні, що додаються.
2. Департаменту платіжних систем (Лапко Н. Г.) довести зміст цієї постанови до відома банків України для керівництва та використання в роботі.
3. Постанова набирає чинності з дня, наступного за днем її офіційного опублікування.
4. Контроль за виконанням цієї постанови покласти на заступника Голови Національного банку України Смолія Я. В.

Голова                                                                                         В. О. Гонтарева

Інд. 53-04

ЗАТВЕРДЖЕНО
постановою Правління Національного банку України
_________ 2016 року № ____ 	

Методичні рекомендації
щодо параметрів моніторингу операцій з використанням електронних платіжних засобів у банківській системі Україні
І. Загальні положення
1. Методичні рекомендації підготовлені Національним банком України (далі – Національний  банк) з метою реалізації банками, філіями іноземних банків (далі – банки), які уклали договори з платіжними організаціями платіжних систем, вимог статті 401 Закону України “Про платіжні системи та переказ коштів в Україні”, Положення про порядок емісії електронних платіжних засобів і здійснення операцій з їх використанням, затвердженого постановою Правління Національного банку від 05 листопада 2014 року № 705 та інших нормативно-правових актів України.
2. Національний банк рекомендує банкам дотримуватися цих Методичних рекомендацій у частині порядку здійснення моніторингу за операціями з використанням електронних платіжних засобів та/або їх реквізитів.
3. Методичні рекомендації визначають загальний порядок, параметри та вимоги Національного банку щодо здійснення моніторингу за операціями з використанням електронних платіжних засобів та/або їх реквізитів.

4. Терміни в цих Методичних рекомендаціях вживаються в такому значенні:
1) операційний ризик — ризик виникнення майнових втрат у результаті впливу зовнішніх чинників, невідповідності діяльності банку вимогам діючого законодавства, внутрішніх положень та/або процедур проведення банківських операцій, порушення працівниками банку та/або третіми особами (внаслідок ненавмисних або навмисних дій чи бездіяльності), застосування банком застарілих інформаційних, технологічних та інших систем та/або їх відмов (порушень функціонування, а також у результаті впливу зовнішніх чинників) тощо.
2) система моніторингу – поєднання комплексів технічних, технологічних, організаційних та інших заходів, що забезпечують систематичний контроль (моніторинг) за операціями, що здійснені з використанням електронних платіжних засобів та/або їх реквізитів.
3) сумнівна операція – операція здійснена з використанням електронного платіжного засобу та/або його реквізитів, що відрізняється від інших операцій, здійснених з його використанням (суттю,   часом, інше)

4) спірна операція – операція здійснена з використанням електронного платіжного засобу та/або його реквізитів, що оскаржується (емітентом, держателем, еквайром тощо).

5) незаконна операція – операція здійснена з використання електронного платіжного засобу та/або його реквізитів, що відбулась з порушенням правил та вимог, що встановлені законодавством України та/або правил міжнародних платіжних систем.

6) шахрайська операція – операція здійснена з використанням електронного платіжного засобу та/або його реквізитів, що призвела до фінансової втрати одного або більше учасників (банк-емітент, держатель (клієнт), еквайр/торговець тощо), які брали участь у її проведенні. 
Інші терміни, які вживаються у цих Методичних рекомендаціях, застосовуються в значеннях, визначених Законом України “Про платіжні системи та переказ коштів в Україні”, іншими законами та нормативно-правовими актами Національного банку.
5. Класифікація ознак незаконних, сумнівних та шахрайських операцій
5.1	. За типами операції поділяються на:
1) сумнівні, можуть мати такі ознаки:
а) відрізняються за своєю суттю від попередніх (за часом, сумою, місцем здійснення тощо);
б) не мають об’єктивного зв’язку між собою (мають розбіжності за типами, обсягом та географічним розташуванням);
в) нелогічні та/або не притаманні типовій поведінці клієнта (швидкі розрахунки в різних точках міста, велика кількість операцій за короткий проміжок часу або нетипові для клієнта/держателя розрахунки (наприклад в мережі Інтернет тощо).
г) операція здійснюється з використанням реквізитів електронного платіжного засобу (голосова авторизація в торговельній мережі тощо);
д) інші.

2) незаконні, здійснені з використанням:
а) загублених та вкрадених карток;
б) не отриманих карток;
в) підроблених карток;
г) персональних даних держателя картки та/або інформації стосовно рахунку;
д) інші.

3) шахрайські ті, що призвели до майнових втрат одного та більше учасників.
4) незаконні шахрайські ті, що відбуваються із порушенням чинного законодавства України та Правил платіжних систем (у тому числі за попередньою змовою з держателем/працівником банку/торговельно-сервісним підприємством тощо) та призводять до майнових або фінансових втрат держателя/банка/торговця.
 
5.2. Способи, що призводять до компрометації електронних платіжних засобів (магнітної смуги, чипу, піну, тощо):
1) Скіммінг – несанкціоноване копіювання та збереження даних за допомогою спеціального технічного пристрою (скімміра) з магнітної смуги електронного платіжного засобу. Скіммер розміщуються перед (над) отвором для приймання карток на платіжному пристрої;
2) Фішинг – різновид Інтернет-шахрайства, метою якого є отримання доступу до персональних даних держателя електронного платіжних засобів (даних електронного платіжного засобу) через масову розсилку електронних листів, внутрішніх повідомлень сервісів  тощо;
3) Шиммінг – різновид скіммінгу. Технічний пристрій для копіювання та збереження даних розміщується в отворі (середині пристрою) для приймання карток на платіжному пристрої.
4) Фармінг – різновид Інтернет-шахрайства, метою якого є отримання доступу до персональних даних держателя електронного платіжних засобів (даних електронного платіжного засобу) через процедуру прихованого перенаправлення держателя платіжної картки на фіктивний сайт під час здійснення операції в мережі Інтернет.
5) Шкідливе програмне забезпечення – вірусне зараження технічних пристроїв (персональний комп’ютер, смартфон, планшет та інші пристрої користувача) за допомогою яких здійснюються операції з електронними платіжними засобами та/або їх реквізитів.
II. Управління ризиками
1. Для визначення впливу незаконних, сумнівних та шахрайських операцій здійснених з використанням електронних платіжних засобів та/або їх реквізитів на діяльність банку, необхідно врахувати такі ризики:
1) фінансовий результатом якого, є фінансові втрати банку та/або його клієнтів;
2) репутаційний – завдання шкоди іміджу/репутації/статусу банку;
3) безперервності здійснення банківської діяльності – зупинення банком  обслуговування операцій з використанням електронних платіжних засобів.
2. Для ефективного управління ризиками необхідно забезпечити дотримання таких заходів:
1) керуватися обов’язковими вимогами та рекомендаціями щодо забезпечення інформаційної безпеки визначених законодавством України, нормативно-правовими актами Національного банку України та Правилах платіжних систем. 
2) створювати і підтримувати безпечну та захищену інформаційну мережу, що обслуговує  операції з використанням електронних платіжних засобів та/або їх реквізитів;
3) забезпечити надійний захист персональних даних клієнта, платіжної карти тощо;
4) запровадити ефективний механізм контролю за доступом до баз даних клієнтів, платіжних карток, банківської мережі тощо, у тому числі обмежити фізичний доступ цих даних;
5) забезпечити постійний моніторинг за дотриманням правил безпеки, регулярно тестувати системи і процеси безпеки, підтримувати політику інформаційної безпеки та проводити регулярні (раз на рік) проходження сертифікаційних аудитів інформаційної безпеки;
6) використовувати сертифіковані криптографічні та інші засоби захисту інформації при здійсненні операцій з електронними платіжними засобами.
7) забезпечити шифрування даних (персональних даних держателя, електронного платіжного засобу, тощо) при здійсненні їх передачі по відкритих каналах зв’язку;
8) використовувати і регулярно оновлювати антивірусне програмне забезпечення;
9) вживати інших заходів (страхування ризиків тощо). 
3. Також має бути розроблений порядок управління ризиками який має містити:
1) опис ризиків, які можуть призвести до порушення безпеки здійснення операцій з використанням електронних платіжних засобів;
2) ризики повинні бути розмежовані на суттєві, що можуть призвести до порушення безпеки (здійснення операцій) та не суттєві;
3) допустимий рівень ризиків під час здійснення операцій з використанням платіжних засобів;
4) порядок виявлення загроз для системи, яка обслуговує здійснення операцій з використанням електронних платіжних засобів, зокрема системи моніторингу;
5) порядок дій банку стосовно запобігання виявленим ризикам.
4. Необхідно дотримуватися параметрів моніторингу за операціями з електронними платіжними засобами, визначених цими Методичними рекомендаціями, законодавством України, правилами відповідних платіжних систем та забезпечити постійний контроль за їх виконанням.

ІІІ. Моніторинг
1. Своєчасне виявлення незаконних дій/сумнівних операцій із використанням електронних платіжних засобів має здійснюватися на основі системи моніторингу.

2. Виявлення незаконних дій/сумнівних операцій із використанням електронних платіжних засобів необхідне для прийняття ефективних заходів щодо їх запобігання.

3. Система моніторингу повинна бути ефективним інструментом управління ризиками для банків під час здійснення операцій із використанням електронних платіжних засобів.
Система моніторингу має будуватися, зокрема, із урахуванням вимог цих методичних рекомендацій, законодавства України та правил міжнародних платіжних систем.

4. Система моніторингу може бути включена до інших структурних комплексів банку що відповідають за банківську та платіжну безпеку.

5. Система моніторингу має дозволяти здійснювати аналіз всіх операцій з використанням електронних платіжних засобів та їх реквізитів, виявляти серед них незаконні/сумнівні операції та приймати оперативні дії для зменшення ризиків.

6. Система моніторингу має бути створена на високому технічному та технологічному рівні для забезпечення постійного та безперебійного контролю за операціями із застосуванням електронних платіжних засобів та їх реквізитів.

7. Моніторинг має здійснюватись постійно на підставі даних, наданих процесинговими центрами або власної інформації тощо, з урахуванням  внутрішньобанківських правил, розроблених відповідно до законодавства України, нормативно-правових актів Національного банку, правил платіжних систем та з урахуванням вимог цих Методичних рекомендацій (додаток 1).

8. За типами система моніторингу може поділятись на:
1) онлайнову - аналіз операції та прийняття рішення про її проведення/відмову здійснюється в режимі реального часу;
2) постонлайн - аналіз операції здійснюється в режимі реального часу, а прийняття рішення про її проведення/відмову здійснюється безпосередньо після проведення операції;
3) офлайнові – аналіз операції здійснюється на підставі висновку/звіту системи за визначений період (періодично: раз на тиждень/місяць), прийняття рішення про проведення/відмову приймається після здійснення такого аналізу.

9. За типами реагування:
1) автоматична – зупинення/відмова операції здійснюється автоматично на підставі закладених алгоритмів (правила, параметри тощо)

2) автоматизована – рішення про зупинку/відмову здійснює співробітник (працівник/адміністратор системи) на підставі інформації наданої системою моніторингу.
10. З метою зменшення ризиків банк має право:
1) на свій власний розсуд вводити до системи моніторингу нові та/або змінювати існуючі параметри відстеження операцій із використанням електронних платіжних засобів та їх реквізитів, якщо існуючі параметри є недостатніми;
2) встановлювати власні значення параметрів іншим учасникам платіжних систем, які використовуються для моніторингу операцій, якщо такі значення (на думку банку) є недостатніми/неефективними для здійснення моніторингу операцій. У такий спосіб, відповідальність за проведену операцію покладається на банк.

IV. Загальні підходи до організації системи моніторингу
1. Для ефективної роботи системи моніторингу має бути визначена відповідальна особа (керівник банку або уповноважена ним особа є відповідальним за організацію моніторингу в банку).
2. Мають бути визначені Правила організації системи моніторингу, які можуть бути включені до внутрішньобанківських правил з організації здійснення операцій з електронними платіжними засобами та їх реквізитів.
3. Правила системи моніторингу обов’язково мають містити:
1) порядок управління ризиками, зокрема порядок дій способи та заходи;
2) порядок взаємодії учасників процесу (структурні підрозділи, держателі, еквайри тощо);
3) вимоги до безпеки під час здійснення моніторингу, зокрема до інформації;
4) порядок оброблення та зберігання інформації;
5) порядок проведення моніторингу за операціями з використанням електронних платіжних засобів та їх реквізитів;
6) порядок реагування на сумнівні, незаконні дії з використанням електронних платіжних засобів та їх реквізитів;
7) порядок повідомлення учасників процесу;
8) інші.
4. Для ефективного проведення моніторингу Банком може бути створений або визначений окремий структурний підрозділ.
5. Обов’язкові параметри моніторингу операцій еквайрів/емітентів:

5.1. Моніторинг операцій еквайром
Дані аналізуються за транзакціями для кожного торговця, якому надається послуга з еквайрингу, окремо за фінансовими (кліринговими) та авторизаційними транзакціями.

5.1.1. Еквайр має відстежувати всі авторизаційні запити, незалежно від їх  успішності (додаток 1). Моніторинг доцільно здійснювати за такими показниками:
сума транзакції;
кількість транзакцій;
код відповіді на авторизацію;
номер платіжної картки;
час та дата транзакції;
параметри прийому платіжної картки.

5.1.2. Моніторинг клірингових транзакцій
Еквайр має здійснювати моніторинг транзакцій таких типів (додаток 2):
авторизаційні запити та відповіді;
покупки;
операції кредитування та повернення;
зняття готівки;
оскарження операцій з кодами відмов.

5.2. Моніторинг операцій емітентом
З метою зменшення ризиків та запобігання проведенню несанкціонованих дій/шахрайських операцій з платіжними картками емітент має здійснювати моніторинг для виявлення та застосування відповідних заходів (додаток 3).

Доцільно здійснювати моніторинг за такими показниками:
атаки за номерами платіжних карток, що емітовані банком;
відмови за результатами перевірок CVC1/CVC2/CVV/CVV2 тощо;
операції за платіжними картками з терміном дії, що минув;
транзакції за неіснуючими та/або недостовірними номерами платіжних карток;
CAT транзакції;
транзакції у точках компрометації (можливих точках компрометації);
операції кредитування та відмови авторизації торгової точки.
 
5.3. Обов’язкові параметри моніторингу транзакцій:
1) сума однієї транзакцій для торговця;
2) загальна сума та кількість транзакцій для одного торговця;
3) загальна сума та кількість транзакцій за однією платіжною карткою за одним або більше торговцями;
4) кількість та сума повернень (ретрівел) та опротестувань (чарчбек);
5) загальна сума та кількість транзакцій уведених вручну за день за одним торговцем;
6) відсоток підлімітних транзакцій за одним торговцем;
7) загальна кількість та сума транзакцій за одним емітентським БІНом за одним торговцем за день;
8) кількість та сума повернутих платежів для одного торговця;
9) торговці, які не проводили операцій за визначений період часу;
10) надходження коштів до торговця, що не проводив операцій за визначений період;
11) надходження коштів до торговця після розірвання договору еквайрингу.
12) загальна кількість неправильних спроб введення ПІНу;

5.4. Обов’язкові параметри для моніторингу авторизації:
1) сума однієї авторизації;
2) загальна кількість/сума авторизаційних запитів за день за одним торговцем;
3) загальна кількість/сума авторизаційних запитів за одним емітентським БІНом за одним торговцем за день;
4) повторні авторизаційні запити за однією платіжною карткою за день за одним торговцем;
5) загальна кількість/сума авторизаційних запитів, що введені вручну за день за одним торговцем;
6) відсоток відмов авторизації за день за одним торговцем.

V. Прикінцеві положення

1.	Параметри системи моніторингу можуть бути змінені та доповнені банком для забезпечення більш якісного моніторингу операцій здійсненими з використанням електронних платіжних засобів та/або їх реквізитів.

2. Доцільно регулярно складати аналітичні звіти (щоквартальний, за півроку, за рік).

		3. Доцільно формувати та супроводжувати базу даних інцидентів з електронними платіжними засобами на підставі даних системи моніторингу.

Директор 
Департаменту платіжних систем					Н. Г. Лапко

Начальник відділу інноваційних
платіжних продуктів							В. І. Харченко

Додаток 1
Параметри щоденного моніторингу авторизаційних транзакцій еквайром
Номер з/п	Назва параметру	Показник для порівняння	
1.	Сума однієї авторизації	Середньоденна сума авторизації торговця	
2.	Загальна кількість авторизаційних запитів за день у одного торговця	Середньоденна кількість авторизаційних запитів торговця	
3.	Загальна сума авторизаційних запитів за день у одного торговця	Середньоденна сума авторизаційних запитів торговця	
4.	Неодноразові авторизаційні запити за однією і тією ж платіжною карткою за один день у торговця	Значення показника	
5.	Загальна кількість авторизаційних запитів із ручним введенням номеру платіжної картки за день у одного торговця	Середньоденна кількість авторизаційних запитів із ручним введенням у одного торговця	
6.	Загальна сума авторизаційних запитів із ручним введенням номеру платіжної картки за день у одного торговця	Середньоденна сума авторизаційних запитів із ручним введенням у одного торговця	
7.	Загальна кількість та сума авторизаційних запитів по одному БІНу банка-емітента за день у одного торговця	Значення показника	
8.	Відсоток відмов авторизаційних запитів за один день у одного торговця	Значення показника	
9.	Відсоток операцій у торговця, що були здійснені з використанням застарілих технологій для платіжних карток, які мають суміжні технології (FALLBACK)	Значення показника	
10.	Відсоток відмов запитів Авторизації за один день від однієї і тієї ж торгівельної точки торговця.	Значення показника	
11.	Кількість та сума опрацьованих спірних операцій (в тому числі повернення платежів), які було здійснено за одним і тим же рахунком користувача одним або кількома торгівельними точками торговця.	Значення показника	
12.	Сума операцій повернення/відміни здійснених операцій за окремою торгівельною точкою торговця.	Значення показника	

Додаток 2
Параметри щоденного моніторингу клірингових транзакцій еквайром

Номер з/п	Назва параметру	Показник для порівняння	
1.	Сума транзакцій за рахунком торговця	Середньоденна сума транзакцій за рахунком торговця	
2.	Загальна кількість транзакцій за день у одного торговця	Середньоденна кількість транзакцій у одного торговця	
3.	Загальна сума транзакцій за день у торговця	Середньоденна сума транзакцій за рахунком торговця	
4.	Загальна сума та кількість транзакцій, що були здійснені однією платіжною карткою в одного або більше торговців 	Значення показника	
5.	Загальна сума та кількість запитів документів та опротестувань	Значення показника	
6.	Загальна сума транзакцій з ручним введенням номера платіжної картки за день у одного торговця	Середньоденна сума транзакцій з ручним уведенням за день у одного торговця	

Додаток 3
Параметри щоденного моніторингу емісійних транзакцій

Номер з/п	Назва параметру	Показник для порівняння	
1.	Загальна кількість авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений період	Платіжна картка використовується більше визначеної кількості разів за встановлений період	
2.	Загальна кількість авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений період за окремим торговцем 	Платіжна картка використовується більше визначеної кількості разів за встановлений період за окремим торговцем із високим ризиком шахрайства	
3.	Загальна кількість авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений період у одного торговця	Платіжна картка використовується більше визначеної кількості разів у одного торговця	
4.	Загальна кількість авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений період часу в окремій країні	Платіжна картка використовується більше визначеної кількості разів у країні з високим ризиком шахрайства	
5.	Загальна кількість спроб введення неправильного ПІН-коду для платіжної картки за визначений період часу	Спроби використання платіжної картки з неправильним ПІН-кодом у банкоматі понад установлену кількість за визначений період (наприклад, один день)  	
6.	Загальна кількість транзакцій із використанням платіжної картки типу POS XX за визначений період 	Використання платіжної картки в транзакціях типу купівля, де в полі XX знаходиться значення XX	
7.	Загальна сума авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений час	Загальна сума авторизацій із використанням платіжної картки вище встановленого ліміту за визначений період часу	
8.	Загальна сума авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений час за окремим торговцем	Загальна сума авторизацій із використанням платіжної картки вище встановленого ліміту за визначений період часу за окремим торговцем	
9.	Загальна сума авторизацій із використанням платіжної картки перевищує встановлений ліміт за визначений час за окремою країною	Загальна сума авторизацій із використанням платіжної картки вище встановленого ліміту за визначений час у країні з високим ризиком шахрайства		
10.	Сума одиничної авторизації із використанням платіжної картки, що перевищує встановлений ліміт 	Сума одиничної авторизації вище встановленого ліміту 		
11.	Сума одиничної авторизації із використанням платіжної картки перевищує встановлений ліміт за окремим торговцем	Сума одиничної авторизації із використанням платіжної картки вище встановленого ліміту за окремим торговцем		
12.	Сума одиничної авторизації із використанням платіжної картки перевищує встановлений ліміт за визначеною країною	Сума одиничної авторизації із використанням платіжної картки вище встановленого ліміту за визначеною країною		
13.	Авторизація однієї платіжної картки в двох і більше країнах у заданий період часу  	Використання однієї платіжної картки у торговця у заданий період часу в двох і більше країнах	
14.	Авторизації із використанням платіжної картки на великі суми з попередніми невдалими спробами авторизацій з сумою, що зменшується	Використання платіжної картки в послідовних спробах авторизації з поступовим зменшенням суми	
15.	Відсоток авторизацій з ручним введенням номеру платіжної картки до всіх авторизацій за визначений період часу	Співвідношення кількості авторизації з ручним введенням до загальної кількості авторизацій за визначений час	
16.	Відсоток використання коштів на рахунку	Оцінюється ступінь використання коштів та їх наявність за визначений період	
17.	Загальна кількість транзакцій з ручним уведенням номеру за день за одним торговцем	Середньоденна кількість транзакцій з ручним введенням за одним торговцем	
18.	Відсоток транзакцій нижче за межу авторизацій за одним торговцем	Середньоденна кількість транзакцій нижче за межу авторизацій за день за одним торговцем	
19.	Загальна сума та кількість транзакцій за одним БІНом банка-емітента за день за одним торговцем 	Значення показника	
20.	Загальна сума операцій кредитування (повернення), проведених за день за одним торговцем	Середньоденна сума операцій кредитування, проведених за одним торговцем	
21.	Загальна кількість операцій кредитування (повернення), проведених за день за одним торговцем	Середньоденна кількість операцій кредитування, проведених за одним торговцем	
22.	За рахунком торговця не проводяться операції протягом встановленого періоду часу	Значення показника	
23.	За рахунком торговця проведена операція після відсутності операцій за встановлений  період часу	Значення показника	
24.	За рахунком торговця проведена операція після розірвання договору з торговцем	Значення показника