Утверждены правила внутреннего контроля для МФО

Целью правил является определение требований к формированию в МФО систем управления рисками и внутреннего контроля путем обеспечения:

• надлежащей практики корпоративного управления и надлежащего уровня деловой этики и риск-культуры;
• соблюдения МФО и его работниками требований гражданского, налогового, банковского законодательства РК, законодательства о государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций, о микрофинансовой деятельности, о платежах и платежных системах, о рынке ценных бумаг, о бухгалтерском учете и финансовой отчетности, о кредитных бюро и формировании кредитных историй, о коллекторской деятельности, о противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения, об акционерных обществах, о товариществах с ограниченной и дополнительной ответственностью, нормативных правовых актов уполномоченного органа, внутренних политик, процедур и иных внутренних документов МФО;
• эффективного управления рисками МФО посредством своевременного их выявления, измерения, контроля и мониторинга для обеспечения соответствия собственного капитала МФО уровню принимаемых ею рисков;
• своевременного обнаружения и устранения недостатков в деятельности МФО и ее работников;
• создания в МФО адекватных механизмов для решения непредвиденных или чрезвычайных ситуаций.

МФО организовывает СУР, связанную с осуществляемой ею деятельностью по оказанию финансовых услуг, на основе:

• соответствия СУР виду деятельности МФО, характеру и объемам осуществляемых операций;
• обеспечения непрерывности процесса управления рисками;
• документирования процедур, осуществляемых в рамках СУР;
• обеспечения своевременного доведения информации, относящейся СУР, до органов управления и (или) руководства МФО;
• обеспечения эффективности (достижения заданных результатов с использованием наименьшего объема средств) и оптимальности процессов управления рисками;
• обеспечения независимости лица или подразделения, ответственного за управление рисками.

Ответственным за организацию СУР и за соответствие деятельности МФО внутренним документам в области СУР является совет директоров МФО.

- утверждает, не ограничиваясь ими, следующие внутренние документы МФО:

• организационную структуру МФО, соответствующей стратегии, бюджету, размеру, характеру и масштабам деятельности МФО, способствующей эффективности СУР и внутреннего контроля, а также исключающей конфликт интересов;
• стратегию развития МФО, разработанную как минимум на 3 года и содержащую, но не ограничиваясь, миссии и цели развития деятельности МФО, ключевые виды вложений, их структуру и планируемые изменения, в том числе по внедрению и развитию новых продуктов и услуг с учетом оценки рисков и процессов, связанных с их внедрением и развитием, а также оценки текущих возможностей МФО по внедрению и развитию таких продуктов;
• стратегию риск-аппетита;
• бюджет, соответствующий стратегии МФО и содержащий прогноз финансовых показателей (активов и пассивов, доходов и расходов, информацию о портфеле микрокредитов и привлеченных средствах, в разрезе валют (национальной и иностранных валют в совокупности), который может быть пересмотрен на полугодовой основе и (или) при изменении внешней и внутренней среды;
• политику бюджетного планирования, в том числе предусматривающей процедуры и процессы проведения анализа бюджета на предмет соответствия прогнозных показателей фактическим значениям, выявления причин отклонений с последующей разработкой при необходимости корректирующих мер по исправлению и внесения обоснованных корректировок с дальнейшим их документированием;
• учетную политику;
• кредитную политику;
• политику по работе с проблемными активами;
• политику управления рисками;
• политику управления существенными видами рисков (включая кредитный риск, операционный риск и комплаенс-риск);
• план действий на случай непредвиденных ситуаций;
• залоговую политику;
• политику внутреннего аудита (политику по ревизии), кодекс этики внутреннего аудитора или члена ревизионной комиссии, положение о подразделении внутреннего аудита (инструкцию внутреннего аудитора) или ревизионной комиссии (инструкцию о ревизоре), процедуры осуществления внутреннего аудита (ревизии), годовой план внутреннего аудита (перечень объектов проверки);
• политику (процедуры) привлечения внешнего аудитора;
• внутренний документ, определяющий порядок выплаты вознаграждений руководящим работникам МФО и работникам МФО, с учетом достижения как показателей эффективности, так и ключевых индикаторов риска;

- осуществляет контроль за соблюдением политик и процедур по управлению рисками;

- обеспечивает развитой инфраструктурой информационных технологий в целях сбора и анализа полной, достоверной, своевременной информации для целей управления рисками;

- рассматривает регуляторные и управленческие отчеты по управлению рисками;

- назначает риск-менеджера или руководителя подразделения риск-менеджмента, а также работников или руководителей подразделений второй и третьей линии защиты;

- формирует в МФО три линии защиты:

• первая линия защиты обеспечивается структурными подразделениями (должностными лицами) МФО, ответственными за своевременное выявление, оценку рисков, доведение информации о них подразделениям (должностным лицам) второй линии защиты, а также управление рисками. Первая линия защиты функционирует в рамках принятых политик управления рисками;
• вторая линия защиты обеспечивается независимыми подразделениями (должностными лицами) по управлению рисками, комплаенс-контролю и другими подразделениями (должностными лицами), осуществляющими контрольные функции (включая функции безопасности, финансового контроля, кадрового обеспечения, управления юридическим риском, операционным риском). Подразделение (должностное лицо) по управлению рисками проводит комплексный анализ рисков в деятельности МФО, формирует необходимые отчеты совету директоров, способствует критической оценке и выявлению рисков членами исполнительного органа и подразделениями;
• третья линия защиты, ответственная за оценку качества и эффективности СУР и внутреннего контроля, первой и второй линий защиты и подотчетная совету директоров:

- в МФО, созданной в организационно-правовой форме акционерного общества обеспечивается независимым подразделением внутреннего аудита;

- в МФО, созданной в организационно-правовой форме хозяйственного товарищества обеспечивается независимым подразделением внутреннего аудита (внутренним аудитором) или ревизионной комиссией (ревизором).

Независимость функции второй и третьей линий защиты, обеспечивается, в том числе, принятием следующих мер:

• руководители подразделений (должностные лица) и (или) руководитель ревизионной комиссии (ревизор) назначаются и освобождаются от должности советом директоров;
• руководители подразделений (должностные лица) и (или) руководитель ревизионной комиссии (ревизор) обладают беспрепятственным доступом к совету директоров;
• руководители подразделений (должностные лица) и (или) руководитель ревизионной комиссии (ревизор) имеют доступ к любой информации, необходимой для выполнения ими своих обязанностей;
• руководители подразделений (должностные лица) и (или) руководитель ревизионной комиссии (ревизор) не совмещают должности глав операционного и финансового блока, другие аналогичные функции операционной деятельности МФО (за исключением андеррайтинга, залоговой службы);
• обеспечение независимости размера фонда оплаты труда подразделений (должностных лиц) и (или) ревизионной комиссии (ревизора) от финансового результата структурных подразделений, ревизионной комиссии (органов) МФО. При наличии системы нефиксированного вознаграждения в МФО предусмотрена возможность изменения размера нефиксированного вознаграждения с учетом всех рисков, включая нарушения внутренних процедур МФО;
• разрабатывается процедура по управлению конфликтом интересов, механизмы ее реализации, а также контроль исполнения.

Совет директоров МФО обеспечивает назначение должностного лица, ответственного за управление рисками (риск-менеджер) или создание обособленного структурного подразделения риск-менеджмента, с соблюдением принципа независимости от иных подразделений и работников МФО.

МФО, созданная в организационно-правовой форме акционерного общества обеспечивает создание подразделения риск-менеджмента.

МФО, созданная в организационно-правовой форме хозяйственного товарищества назначает риск - менеджера или создает подразделение риск-менеджмента с учетом масштаба деятельности, видов и сложности осуществляемых операций, а также степени подверженности рискам.

Риск - менеджер или подразделение риск-менеджмента выполняет, но не ограничиваясь ими, следующие функции:

• разрабатывает для дальнейшего утверждения ответственным коллегиальным органом СУР, включающую политики и процедуры управления рисками;
• выявляет существенные текущие и потенциальные риски, присущие деятельности МФО;
• оценивает риски и определяет лимиты рисков;
• разрабатывает для последующего вынесения на утверждение ответственному коллегиальному органу лимиты рисков;
• осуществляет мониторинг соблюдения лимитов риска;
• разрабатывает системы раннего предупреждения и триггеры, направленные на выявление нарушений лимитов риска;
• формирует и предоставляет управленческую отчетность совету директоров МФО.

В рамках организации СУР МФО разрабатывает политику управления рисками и обеспечивает организацию следующих процессов:

• идентификация рисков;
• измерение и оценка рисков;
• управление рисками и контроль за обеспечением управления рисками;
• мониторинг рисков.

МФО принимает меры по идентификации существующих рисков, используя все доступные источники информации.

Потенциальными рисками, подлежащими идентификации и которым может быть подвержена МФО, являются, но не ограничиваются:

• стратегический риск;
• кредитный риск;
• рыночный риск;
• ценовой риск;
• валютный риск;
• процентный риск;
• риск потери ликвидности;
• операционный риск;
• риск потери репутации;
• юридический риск;
• комплаенс-риск;
• риск информационной безопасности;
• риск информационных технологий.

В рамках политики управления рисками МФО разрабатывает и утверждает методологию идентификации существенных рисков, с учетом характера, масштаба и сложности осуществляемой деятельности.

Методология идентификации существенных рисков основывается как на количественных параметрах, так и на качественных параметрах (результаты самооценки, экспертные оценки, выводы внутреннего аудита и иной доступной информации).

Политика управления рисками МФО содержит перечень всех видов и подвидов рисков, а также критерии признания риска существенным.

Для целей классификации потенциальных рисков на предмет подверженности и оценки потенциальных убытков МФО формируют карту рисков с учетом адекватных и обоснованных методов оценки потенциальных рисков и их значений. Методы и их значения, используемые для формирования карты рисков, определяются в политике управления рисками.

Мониторинг рисков реализуется, не ограничиваясь, путем получения от структурных подразделений, работников МФО, на которых возложены обязанности по проведению операций, связанных с принятием рисков, подразделения риск-менеджмента (риск-менеджера) на регулярной основе и анализа информации о рисках, результатах проведения мероприятий по управлению рисками, а также о ходе реализации мероприятий по управлению рисками.

По результатам оценки идентифицированных рисков риск - менеджер или подразделение риск-менеджмента разрабатывает, а совет директоров МФО утверждает мероприятия по управлению рисками.

Процедуры контроля за обеспечением управления рисками включают регулярное направление информации и отчетов совету директоров и исполнительному органу МФО в соответствии с периодичностью, установленной политикой управления рисками, но не реже 1 (одного) раза в квартал.

Результаты рассмотрения информации и отчетов органами управления МФО протоколируются с конкретными предложениями и поручениями по дальнейшим действиям в рамках управления рисками.

• кредитным риском;
• операционным риском;
• комплаенс-риском.

МФО обеспечивает наличие системы управления кредитным риском, которая обеспечивает эффективное выявление, измерение, мониторинг и контроль за кредитным риском МФО.

Система управления кредитным риском включает, как минимум, следующие компоненты:

• кредитную политику;
• стандарты и процедуры принятия кредитных решений;
• кредитное администрирование;
• кредитный мониторинг;
• управление проблемными кредитами;
• систему управленческой информации;
• внутренний контроль.

МФО разрабатывает кредитную политику, которая включает, но не ограничивается следующим:

• цели кредитной деятельности МФО, обеспечивающие поддержание адекватного качества кредитного портфеля с учетом имеющихся ресурсов и капитала;
• направления кредитной деятельности МФО, в том числе виды продуктов и услуг кредитования, которые МФО намеревается представлять, с предельными размерами, стоимостью, возвратностью, сроками кредитования и показателями оценки кредитоспособности заемщиков (контрагентов) с учетом специфических особенностей продукта, услуги, формы и целей кредитования;
• лимиты кредитного риска;
• участников кредитного процесса и сферы их ответственности, а также порядок взаимодействия между ними, включая обмен информацией;
• стандарты и процедуры принятия кредитных решений, в том числе, признаки, порядок и процедуры рассмотрения, одобрения, утверждения и учета микрокредитов, лимиты микрокредитования в целях ограничения риска концентрации кредитного риска, процедуры в отношении залогового обеспечения;
• методы управления кредитным риском, включая инструменты обеспечения возвратности кредитов, а также процедуры контроля за их применением;
• порядок и процедуры кредитного администрирования и мониторинга;
• процедуры анализа кредитоспособности заемщика;
• процедуры управления проблемными кредитами.

МФО осуществляет мониторинг управления кредитным риском в соответствии с порядком и процедурами кредитного мониторинга, которые включают, но не ограничиваются следующим:

• порядок и процедуры выявления, измерения, мониторинга и контроля за кредитным риском;
• методику расчета провизий (резервов), содержащую признаки обесценения по кредитам с учетом требований уполномоченного органа, обеспечивающую обоснованный и адекватный расчет провизий (резервов) по ним, в том числе на основании обоснованных и статистически подтвержденных значений количественных показателей.

При расчете провизий (резервов) в качестве количественных показателей используются, но не ограничиваясь, следующие показатели:

• вероятность дефолта;
• уровень потерь в случае дефолта;
• фактор дисконтирования;
• приведенная стоимость будущих денежных потоков;
• прогноз будущих денежных потоков;
• коэффициент покрытия залоговым обеспечением;
• информация о реализации залогового имущества при наличии подтверждения за период не менее двух лет или коэффициенты ликвидности залогового имущества;
• другие составляющие формул, участвующих в расчете провизий (резервов);
• порядок и процедуры классификации микрокредитов по уровню кредитного риска.

МФО разрабатывает формы управленческой отчетности по кредитным рискам, которые, включают, но не ограничиваясь следующую информацию о (об):

• кредитном портфеле и его качестве, представленную, в том числе, в разрезе продуктов, секторов, резидентства и динамике их изменений;
• объеме выданных кредитов за период в разрезе видов и направлений кредитования;
• просроченной задолженности;
• проблемной задолженности, списанных микрокредитах и размерах возврата;
• оценке поведения продуктов микрокредитования и портфеля микрокредитов, включая их рентабельность;
• демографическом профиле заемщиков в отношении потребительского кредитования, уровень доходов;
• видах, стоимости и уровне покрытия кредитов залоговым обеспечением;
• размере провизий и оценке уровня адекватности провизий;
• ставках вознаграждения, в том числе в разрезе видов кредитования;
• реструктурируемых и проблемных микрокредитах;
• мониторинге и контроле за соблюдением лимитов;
• отклонениях от политики и лимитов;
• результатах аудиторских (ревизионных) проверок - при наличии.

Система управления операционным риском включает, но не ограничивается ими:

• политику управления операционным риском;
• процедуры выявления, измерения, мониторинга и контроля за операционным риском;
• систему управленческой информации;
• внутренний контроль.

МФО разрабатывает политику управления операционным риском, которая включает, но не ограничивается следующими компонентами:

• цели и задачи управления операционным риском;
• основные принципы управления операционным риском;
• классификацию типов событий операционного риска и основные виды операционных рисков;
• лимиты операционного риска МФО;
• определение участников процесса управления операционным риском на основе 3 (трех) линии защиты, их полномочия, ответственность с четким определением структуры подотчетности;
• определение порядка и процедур выявления, измерения, мониторинга и контроля за операционным риском;
• порядок обмена информацией между участниками процесса управления операционным риском по 3 линиям защиты, включая виды, формы и сроки представления информации;
• процедуры одобрения, утверждения, анализа и мониторинга отклонений от политики, процедур, лимитов;
• требования по внесению изменений во внутренние документы и процедуры в случаях обнаружения недостатков в управлении операционным риском и (или) возникновения условий, влияющих на уровень подверженности МФО операционному риску.

МФО выявляет, измеряет, осуществляет мониторинг и контроль за операционным риском посредством следующего (но, не ограничиваясь ими):

• использования результатов аудиторских (ревизионных) проверок - при наличии;
• сбора и анализа внутренних данных о событиях операционного риска (ведение базы данных по событиям операционного риска), представляющего собой процесс, направленный на оценку подверженности операционному риску и эффективности внутреннего контроля на основе информации об операционных убытках;
• анализа внешних событий по операционным рискам, в состав данных которых входят (при наличии) совокупные операционные убытки, сроки, данные о покрытии убытков, а также соответствующая эпизодическая информация о случаях возникновения убытков в других МФО;
• проведения самооценки операционного риска посредством которого МФО выявляет и оценивает операционные риски, присущие процессам МФО и оценивает их влияние на процессы и эффективность действующих процедур контроля за выявленными операционными рисками;
• описания бизнес - процессов, в рамках которого структурными подразделениями (работниками), составляющими первую линию защиты, определяются основные этапы бизнес - процессов, виды деятельности, организационные функции, способствующий выявлению операционных рисков, взаимозависимостей между рисками, недостатков контроля и управления рисками;
• применения ключевых индикаторов операционного риска.

Совет директоров МФО и исполнительный орган МФО несут ответственность за понимание операционных рисков, связанных с привлечением внешних подрядчиков, а также за обеспечение наличия эффективных политик и процедур по управлению рисками при осуществлении аутсорсинга.

Политика и процедуры по управлению риском аутсорсинга, предусматривают, но не ограничивается:

• процедуры определения того, какие функции передаются на аутсорсинг и каким образом;
• процессы проведения комплексной и всесторонней проверки благонадежности финансового состояния компании при выборе потенциальных подрядчиков;
• надлежащее структурирование договора с внешними подрядчиками, включая вопросы структуры собственности и конфиденциальности данных, а также условия расторжения договора;
• программы управления и мониторинга рисков, связанных с договорами аутсорсинга, включая оценку финансового состояния внешнего подрядчика;
• установление эффективной системы внутреннего контроля как в МФО, так и в организации, оказывающей услуги;
• разработку жизнеспособных планов на случай непредвиденных обстоятельств;
• выполнение комплексных договоров и(или) соглашений об оказании услуг с четким распределением ответственности между поставщиком услуг и МФО.

МФО разрабатывает формы управленческой отчетности по операционным рискам, которые, включают, но не ограничиваются следующей информацией о:

• внутренних финансовых и операционных показателях;
• событиях операционного риска, связанных с несоблюдением внутренних правил и требований законодательства Республики Казахстан;
• внешних событиях, в том числе о рынке и о событиях и условиях, имеющих существенное влияние для принятия решений;
• нарушениях лимитов, установленных в МФО;
• последних существенных случаях возникновения операционного риска и убытков в МФО в разбивке по объектам риска (направлениям деятельности), о размере ущерба с указанием причин, типов событий, последствий операционного риска;
• принимаемых корректирующих мерах по существенным случаям возникновения операционного риска и (или) об оценке эффективности принятых мер;
• результатах мониторинга ключевых индикаторов риска, включая, показателей изменения уровня рисков от неправомерных практик и действий МФО и его работников;
• результатах анализа жалоб (заявлений) клиентов (контрагентов) на действия МФО или его работников на предмет наличия и минимизации операционного риска;
• мониторинге риска аутсорсинга.

Совет директоров МФО обеспечивает назначение должностного лица, ответственного за управление комплаенс-риском (комплаенс-контролер) или создание обособленного структурного подразделения по комплаенс-контролю, независимого от какой-либо деятельности структурных подразделений МФО, составляющих первую линию защиты.

МФО, созданная в организационно-правовой форме акционерного общества обеспечивает создание подразделения по комплаенс-контролю.

МФО, созданная в организационно-правовой форме хозяйственного товарищества назначает комплаенс-контролера или создает подразделение по комплаенс-контролю с учетом размера, сложности и характер деятельности МФО.

• политику управления комплаенс-риском;
• процедуры управления комплаенс-риском;
• систему управленческой информации;
• внутренний контроль;

МФО разрабатывает политику управления комплаенс-риском, которая включает, но не ограничивается следующим:

• цели и задачи управления комплаенс-риском;
• принципы управления комплаенс-риском, в том числе принципы создания комплаенс-культуры в МФО (культуры соблюдения МФО и его работниками требований законодательства Республики Казахстан, законодательства иностранных государств, оказывающих влияние на деятельность МФО, и внутренних документов, регулирующих деятельность МФО);
• порядок, способы и процедуры управления комплаенс-риском;
• порядок, способы и процедуры управления рисками преднамеренного или непреднамеренного вовлечения МФО в процессы легализации (отмывания) доходов, полученных преступным путем, финансирования терроризма и финансирования распространения оружия массового уничтожения, или иную преступную деятельность (далее - риск ОД/ФТ);
• участников системы управления комплаенс-риском на основе 3 (трех) линий защиты, их полномочия, ответственность с четким определением структуры подотчетности;
• полномочия и ответственность руководителя подразделения по комплаенс-контролю или комплаенс-контролера;
• порядок взаимодействия и обмена информацией между участниками системы управления комплаенс-риском.

МФО выявляет, измеряет, осуществляет мониторинг и контроль за комплаенс-риском и разрабатывает процедуры управления комплаенс-риском, которые включают, но не ограничиваются следующим:

• разработку внутренних руководств (инструкций) для работников по вопросам управления комплаенс-риском, в том числе риском ОД/ФТ, посредством подготовки внутренних документов;
• мониторинг соблюдения МФО и его работниками политик и процедур управления комплаенс-риском;
• сбор данных о событиях комплаенс-риска;
• анализ жалоб (заявлений) клиентов (контрагентов) на действия МФО или его работников на предмет наличия комплаенс-риска и принятия мер по его устранению (предотвращению);
• разработка и анализ количественных и качественных показателей, характеризующих степень подверженности МФО комплаенс-риску;
• проведение расследований (проверок) самостоятельно или совместно со структурными подразделениями и (или) руководящими работниками МФО фактов нарушения МФО законодательства РК;
• предоставление консультаций по запросам относительно соответствия конкретной операции (сделки) МФО или ее части законодательству РК, регламентирующему вопросы оказания МФО услуг и проведения операций на финансовом рынке, а также законодательству иностранных государств, оказывающему влияние на деятельность МФО.

МФО разрабатывает формы управленческой отчетности по комплаенс- рискам, которые включают, но не ограничиваются следующей информацией о (об):

• выявленных комплаенс-рисках, о нарушениях или несоблюдении МФО и (или) его работниками требований законодательства Республики Казахстан, нормативных правовых актов уполномоченного органа, внутренних документов МФО, регламентирующих порядок оказания МФО услуг и проведения операций на финансовом рынке, а также законодательства иностранных государств, оказывающего влияние на деятельность МФО;
• результатах анализа жалоб (заявлений) клиентов (контрагентов) на действия МФО или его работников на предмет наличия комплаенс-риска;
• оценке количественных и качественных показателей, характеризующих степень подверженности МФО комплаенс-риску;
• результатах расследований (проверок) фактов нарушения работниками МФО законодательства Республики Казахстан, нормативных правовых актов уполномоченного органа, внутренних документов МФО, регламентирующих порядок оказания МФО услуг и проведения операций на финансовом рынке, а также законодательства иностранных государств, оказывающего влияние на деятельность МФО;
• анализе результатов мониторинга рисков клиентов и оценки степени подверженности продуктов (услуг) МФО рискам ОД/ФТ на уровне МФО (в целом) и в разрезе его структурных подразделений;
• рекомендациях относительно предупредительных мероприятий по минимизации рисков ОД/ФТ, включая сроки исполнения предложенных мероприятий;
• рекомендациях по устранению нарушений и недостатков в работе МФО, выявленных в процессе комплаенс-контроля, включая вопросы противодействия ОД/ФТ;
• принятых мерах по устранению допущенных нарушений, выявленных подразделением внутреннего аудита (внутренним аудитором) или ревизионной комиссией (ревизором) и (или) уполномоченным органом по результатам проверок эффективности системы управления комплаенс-рисками МФО, включая вопросы противодействия ОД/ФТ, и их результатах, либо о непринятии таких мер - при наличии;
• результатах аудиторских (ревизионных) проверок - при наличии.

МФО обеспечивает повышение качества СУР путем проведения на ежегодной основе самооценки и составления по ее результатам плана мероприятий, содержащего информацию о корректирующих действиях, подлежащих реализации для устранения несоответствий и (или) слабых сторон, в том числе информацию об ответственных сторонах, ожидаемых сроках выполнения, о необходимых ресурсах.

МФО предоставляет результаты самооценки качества СУР в сроки, установленные в запросе уполномоченного органа.

Постановление вводится в действие с 1 июля 2026 года.