Постанова НБУ № 72: як платіжним компаніям і їхнім постачальникам підготуватися до 31 березня 2027 року

Хто ваші кінцеві власники? На яких субпідрядниках тримається сервіс? Що станеться з платежами клієнта, якщо ви зникнете? Відповіді на ці запитання платіжна установа чи установа електронних грошей має мати про вас до 31 березня 2027 року, а про субпідрядників і наслідки збою це стосується насамперед тих, чий сервіс вона визнає критичним. Так випливає з постанови НБУ № 72 від 30 червня 2026 року, яка вводить у Положення № 123 правила управління ризиком третіх сторін для небанківського платіжного ринку. На відміну від банків, яким постанова № 70 розклала строки до 2028 року, тут єдиний рубіж.

Кого стосується постанова НБУ № 72: платіжні установи, установи е-грошей і їхні IT-підрядники

Постанова адресована платіжним установам (крім малих), установам електронних грошей, операторам поштового зв’язку з правом надавати фінансові платіжні послуги, а також філіям іноземних платіжних установ і філіям іноземних установ електронних грошей (п. 3 постанови). Малі платіжні установи з цього переліку виключені, банків вона теж не торкається: для них діє окрема постанова № 70, яку ми розбирали в матеріалі про вимоги НБУ до IT-постачальників банків.

Постанова змінює два акти: Положення № 123 про вимоги до системи управління надавача фінансових платіжних послуг і Положення № 217 про порядок авторизації їхньої діяльності.

Центральне нове поняття — TPSP-постачальник (від англ. third-party service provider, «сторонній постачальник послуг»). Це юридична чи фізична особа, яка як суб’єкт господарювання надає послуги безпосередньо платіжній компанії (підп. 43 п. 2 розд. I Положення № 123). Договір із нею укладається письмово й може охоплювати аутсорсинг, підтримку діяльності або послуги технологічного оператора платіжних послуг (підп. 5-1). Не входять сюди операції з надання самих платіжних послуг між компанією та її користувачами, працівниками й контрагентами, а також договори постачальника з його власними субпідрядниками. Звідси випливає, що мерчант, який приймає платежі через установу, постачальником не є, хоча прямо про мерчантів норма не говорить.

У визначенні немає слів «розробка», «SaaS» чи «процесинг», тож питання вирішує формула «послуги безпосередньо платіжній компанії за письмовим договором». На нашу думку, процесинг, антифрод, хостинг і підтримка під цю формулу потрапляють: вони обслуговують саму установу, а не її клієнтів. Окремо в нормі названо лише хмарних провайдерів: для них ризик оцінюють з урахуванням положення про хмарні обчислення (п. 185-2).

Деякі послуги компанія може не враховувати при оцінці ризику: ті, що вимагає закон (наприклад, зовнішній аудитор), глобальну карткову інфраструктуру, клірингові й розрахункові послуги, міжнародні міжбанківські системи передавання інформації та платежів, а також ті, що не впливають на профіль ризику й операційну діяльність, як-от прибирання чи харчування (п. 189-1). Керувати ризиками за ними вона все одно мусить. Для постачальників під наглядом держави, наприклад зв’язку й передачі даних, оцінка йде через порівняння вимог їхнього регулятора з вимогами Положення № 123 (п. 189-2). До процесингового чи антифрод-сервісу жоден із цих винятків, схоже, не застосовується.

Що змінила постанова НБУ № 72 у Положенні № 123: ризик третіх сторін і глава 31-1

Зміни зачіпають Положення № 123 (визначення, внутрішню систему управління ризиками, нову главу про ризик третіх сторін) і додають один пункт до Положення № 217.

Що додано	Що це означає для платіжної компанії	Пункт
Нові визначення (їх одинадцять)	Зокрема, критична послуга, критичний договір і критичний TPSP, ризик концентрації, ланцюг постачання, толерантність до збоїв	п. 2 розд. I
Глава 31-1 «Ризик третіх сторін»	Оцінка постачальника до договору й протягом його дії, відмова від укладення договору з певними постачальниками, моніторинг, припинення відносин	пп. 189-1 — 189-20
Внутрішня звітність про ризики	П’ять блоків: профіль ризику третіх сторін, стрес-тест, суттєві зміни, порушення лімітів, інциденти й збої в постачальників та зростання концентрації	п. 172-1
Безперервність діяльності	План безперервності враховує збій постачальника	пп. 212 — 217-1
Хмарні послуги	Ризик для хмари оцінюється з урахуванням положення про хмарні обчислення (постанова НБУ від 25.08.2025 № 99)	п. 185-2
Положення № 217	Внутрішні документи про аутсорсинг мають враховувати вимоги № 123 щодо ризику третіх сторін	п. 114-1

Відповідальність від використання постачальника не зникає: за неналежне управління ризиками третіх сторін платіжна компанія відповідає сама, а договір не звільняє її від відповідальності за недотримання законодавства та власних зобов’язань. Договір також не повинен ускладнювати чи унеможливлювати оцінку її системи ризиків працівниками НБУ (п. 189-3). Грошових санкцій і розмірів штрафів у постанові немає.

Критичний постачальник за постановою № 72: хто ним стане і чому це вирішує сама платіжна компанія

Найбільше практичних наслідків має різниця між звичайним і критичним постачальником. Критичною є послуга, відмова або збій якої може мати суттєвий вплив на безперервність платіжних послуг, критичні функції чи дотримання законодавства (підп. 13-1). Критичною може бути й послуга, яку надають кілька постачальників зі спільним кінцевим бенефіціаром або одним керівником-фізособою.

Для платіжної установи процесинг чи антифрод — це майже ядро послуги: якщо один із них зупиниться, зупиняться й платежі. Та ні переліку критичних послуг, ні порогів у постанові немає, тож статус визначатиме кожен клієнт сам. Антифрод, без якого одна установа не проведе жодного платежу, для іншої, що має власний скоринг, буде допоміжним сервісом, і постачальник дізнається про свій статус лише від клієнта.

Для критичного постачальника правила жорсткіші. Перед договором платіжна компанія збирає інформацію, перевіряє ділову репутацію постачальника, його кінцевих бенефіціарів і керівників, аналізує ризики й обґрунтовує, що договір доцільний фінансово та операційно (п. 189-6). Виняток: якщо постачальник сам є банком чи іншим надавачем фінансових платіжних послуг, його не перевіряють на відповідність законодавчим обмеженням і на ділову репутацію та не оцінюють прозорість структури власності. Мінімальний аналіз ризиків охоплює вісім питань (п. 189-12):

• розподіл відповідальності за безпеку, включно з інформаційною безпекою та кіберзахистом;
• прозорість структури власності, зокрема чи неможливо визначити всіх кінцевих бенефіціарів через номінальне володіння, трасти, офшорні зони чи неповне розкриття;
• концентрацію послуг;
• країну чи регіон, де надається послуга;
• конфлікт інтересів, включно з ключовими субпідрядниками;
• регуляторні перевірки, заходи впливу й розслідування щодо постачальника;
• наявність альтернатив;
• будь-які інші обставини, які компанія вважає суттєвими.

Після підписання договору перевірка триває: компанія «на постійній основі» стежить, чи постачальник відповідає вимогам Положення, а за критичним ще й чи немає ознак небездоганної ділової репутації в нього, його бенефіціарів і керівників (п. 189-16). Ці ознаки норма бере з Положення № 199 про авторизацію надавачів фінансових послуг (пп. 354, 363). Це, зокрема, істотна участь або керівна посада в установі, щодо якої протягом року ухвалили рішення про банкрутство чи відкликання ліцензії. А в самому Положенні № 199 (п. 366) сказано, що репутація юридичної особи небездоганна й тоді, коли такі ознаки є в її керівника або власника істотної участі.

Із ким платіжна компанія не укладатиме договір: держава-агресор, санкції, терористичні списки

Окремий пункт (189-14) забороняє встановлювати відносини з постачальником у трьох випадках. Платіжна компанія відмовляється від укладення договору, якщо виявить, що:

• постачальник чи його кінцеві бенефіціарні власники мають громадянство або податкове резидентство держави-агресора чи постійно проживають на її території;
• до них застосовані санкції України, іноземних держав (крім тих, що здійснюють збройну агресію проти України), міждержавних об’єднань чи міжнародних організацій: протягом дії санкцій і ще три роки після їх скасування або закінчення строку, на який їх запровадили;
• вони потрапили до переліку осіб, пов’язаних із терористичною діяльністю або під міжнародними санкціями: на час перебування в переліку і ще десять років після виключення.

Для постачальника це означає, що відповідь про кінцевих бенефіціарів по суті вирішує, чи буде договір: на цьому етапі розмова не про ціну й SLA, а про те, чи можна взагалі працювати.

Для вже чинних договорів діють інші норми. Якщо моніторинг показав, що постачальник не відповідає вимогам законодавства, які компанія має враховувати (п. 189-4), вона ухвалює рішення про припинення договору «у найкоротший строк» (п. 189-17). Постанова не перелічує, які саме «вимоги, обмеження та заборони» тут мають на увазі, тож п. 189-4 варто читати разом із профільним законодавством про санкції. Окремо для критичного постачальника: якщо моніторинг виявив невідповідність вимогам чи ознаки небездоганної ділової репутації, компанія вирішує, продовжити відносини чи розробити план поетапного скорочення послуг і припинення договору (п. 189-18). Поки проблему не усунуто або договір не розірвано, ризик за ним вважається високим, а наслідки повного припинення послуг компанія мусить оцінити (п. 189-19; це стосується й фактів за п. 189-14).

Які умови договору з постачальником вимагає постанова № 72 і чим це відрізняється від банків

Щодо змісту договору норма згадує лише дві речі: договір не має заважати оцінці з боку НБУ (п. 189-3), а розподіл відповідальності за інформаційну безпеку й кіберзахист оцінюється «згідно з умовами договору» (п. 189-12). Для порівняння, у постанові № 70 для договору з банком є окремі переліки мінімальних умов, а для критичного постачальника ще й додаткові.

У постанові № 72, Положенні № 123 і розділі X Положення № 217 немає права аудиту, обов’язку повідомляти про інциденти й вимог до виходу з договору, як немає й окремого реєстру постачальників. Є лише перелік альтернативних постачальників, який компанія періодично оновлює в межах управління безперервністю (підп. 4 п. 212-1). Платіжна установа може вимагати цього від вас сама, але в цих документах такого обов’язку немає.

Ще дві норми прямо торкаються постачальника. Критичному постачальнику компанія надсилає запит документів та інформації для оцінки ділової репутації його бенефіціарів і керівників (п. 189-10). А надійність його процесів безперервності вона перевіряє окремо (п. 212-2); у якій формі, норма не визначає.

Субпідрядники постачальника і план безперервності: що питатиме платіжна установа

Постачальник відповідає перед платіжною компанією, але ризик може сидіти глибше. У постанові субпідрядників у ланцюгу постачання названо «n-ними сторонами» (підп. 42). Прямих обов’язків перед НБУ в них немає, проте ключові субпідрядники враховуються при оцінці конфлікту інтересів (п. 189-12), а залежність кількох постачальників від одного й того самого субпідрядника норма відносить до ризику концентрації (підп. 33-1). Тож установа, найімовірніше, захоче знати, на яких субпідрядниках і хмарних сервісах тримається послуга, хоча форми такого запиту норма не встановлює.

Інший запобіжник — безперервність. Якщо постачальник відпаде, компанія має продовжити надавати послуги. Тому її план безперервності періодично тестують за сценаріями «інший постачальник», «кілька постачальників одночасно» і «власними силами на власній інфраструктурі» або замінюють запровадженням додаткового контролю, а перелік альтернативних постачальників актуалізують (п. 212-1). План безперервності компанія розробляє й тестує із залученням критичних постачальників або незалежних сторін; якщо залучити постачальників неможливо, вона симулює їхню участь (п. 217-1). Коли ж доходить до припинення відносин із критичним постачальником, компанія вживає заходів, щоб платіжні послуги не зупинилися (п. 189-20).

Аутсорсинг у платіжній установі: вимоги Положення № 217 до підрядника

Постанова № 72 лише додає до Положення № 217 п. 114-1, але розділ X про аутсорсинг діяв і до неї, і для підрядника, якому платіжна компанія передає операційні функції, він важливий не менше за главу 31-1. Розділ не поширюється на банки, а також на посередників, комерційних агентів, операторів платіжних систем і тих, чиї функції обов’язкові за законом (пп. 109, 110). Для решти норма така:

• Репутація підрядника. Підрядник, його керівники й власники істотної участі повинні мати бездоганну ділову репутацію та належну кваліфікацію (п. 112).
• Що не можна віддати. На аутсорсинг заборонено передавати функції, пов’язані з організаційною структурою, конфліктом інтересів, стратегією й політикою компанії та внутрішнім контролем за системою управління, зокрема управлінням ризиками аутсорсингу (п. 113).
• Ланцюжок підрядників. Третій особі, залученій для операційних функцій, заборонено залучати до них інших осіб (п. 116). Звідси випливає, що в аутсорсингу операційних функцій субпідрядників бути не повинно, і це відрізняє його від загальної моделі постачальників із субпідрядниками.
• Повідомлення НБУ. Важливими операційними функціями вважаються бухгалтерський облік і забезпечення інформаційної безпеки (крім функції технологічного оператора), а також функції, які компанія визначила такими сама (пп. 106, 107). Про залучення третьої особи до важливої функції компанія повідомляє НБУ не менше ніж за 30 робочих днів, про істотні зміни умов залучення чи його припинення — протягом п’яти робочих днів (пп. 121, 123). Про початок і припинення використання послуг технологічного оператора — протягом 10 робочих днів (п. 122).
• Вимога НБУ припинити. Регулятор вимагає припинити виконання третьою особою важливих функцій, зокрема якщо вона не відповідає вимогам до репутації, якщо це призводить до порушення умов авторизації чи загрожує безперервності або безпеці послуг (п. 125).

Обов’язкових умов договору аутсорсингу розділ X не називає: компанія лише описує у внутрішніх документах порядок укладення й розірвання договору (п. 114). Прямих вимог до самого підрядника тут дві: ділова репутація (п. 112) і заборона передавати роботу далі (п. 116).

Строки постанови НБУ № 72: єдина дата 31 березня 2027 року

На відміну від банків, для яких постанова № 70 розклала вимоги на кілька етапів до 2028 року, платіжні компанії мають один строк: привести діяльність у відповідність до Положень № 123 і № 217 з урахуванням змін до 31 березня 2027 року (п. 3 постанови). Постанова набрала чинності з дня, наступного за днем офіційного опублікування (п. 5). За даними zakon.rada.gov.ua, її опубліковано 30 червня 2026 року, тож чинною вона стала 1 липня. Перехідних положень і поетапних строків у тексті немає.

Прямих дедлайнів для постачальника постанова не встановлює, але платіжним компаніям потрібен час на оцінку критичності, перевірку власників, збір даних про субпідрядників і тестування планів безперервності. Тож запити до постачальників, найімовірніше, з’являться раніше, ніж спливе березень 2027 року.

Що зробити платіжній компанії і що її постачальникові до 31 березня 2027 року

Для платіжної компанії:

1. Складіть перелік постачальників і договорів. Окремого реєстру норма не вимагає, але без переліку не оцінити ні критичність, ні концентрацію.
2. Зафіксуйте критерії критичності письмово. Переліку й порогів у постанові немає, тож критерії доведеться написати самим, з урахуванням правила про спільного бенефіціара чи керівника.
3. Перевірте всіх постачальників, а не лише критичних. Зв’язки з державою-агресором, санкції й терористичні переліки (п. 189-14) стосуються будь-якого постачальника.
4. Додайте до плану безперервності збій критичного постачальника. Підготуйте й актуалізуйте перелік альтернатив.
5. Налаштуйте внутрішню звітність. П. 172-1 вимагає п’яти блоків щодо ризику третіх сторін, зокрема стрес-тесту й інцидентів у постачальників.
6. Перегляньте, що вже віддано на аутсорсинг. Для бухгалтерського обліку, інформаційної безпеки та інших важливих функцій потрібні повідомлення до НБУ. Переконайтеся також, що підрядники не залучають субпідрядників.
7. Призначте відповідальних. Виконавчий орган розробляє та впроваджує процеси й процедури, визначає функції, обов’язки, повноваження та відповідальність працівників щодо управління ризиком третіх сторін (підп. 11 п. 45 розд. III Положення № 123).

Для IT-постачальника платіжної компанії:

1. Дізнайтеся у клієнта, чи визнано вашу послугу критичною. І за якими ознаками, якщо так.
2. Зберіть дані про кінцевих бенефіціарів. Потрібні громадянство, податкове резидентство й місце проживання (п. 189-14). Якщо послугу визнано критичною, підготуйте ще матеріали про ділову репутацію бенефіціарів і керівників.
3. Випишіть, на чиїх серверах і сервісах працює ваш продукт. Саме про цих субпідрядників установа може спитати.
4. Опишіть, звідки надається послуга. Країна й регіон, з яких вона надається, входять для критичного постачальника до обов’язкового аналізу ризиків (п. 189-12); дата-центр варто назвати з власної ініціативи.
5. Підготуйте опис безперервності й порядку передачі даних. Клієнт тестуватиме план безперервності, зокрема сценарій заміни вас іншим постачальником, а для критичних ще й перевірятиме надійність ваших процесів безперервності (пп. 212-1, 212-2).
6. З’ясуйте, чи виконуєте ви важливу функцію. Якщо ви як аутсорсер ведете облік або забезпечуєте інформаційну безпеку клієнта, він повинен повідомити НБУ за 30 робочих днів, а вам не можна передавати цю роботу далі.
7. Перегляньте розподіл відповідальності за кіберзахист у договорі. Саме його оцінюватимуть «згідно з умовами договору» (п. 189-12).

Якщо стиснути все до одного, платіжна установа питатиме, хто за вами стоїть, на кому тримається ваш сервіс і як клієнт переживе вашу відмову.

Якщо ваш сервіс уже працює з банками, ці вимоги збігаються з постановою № 70 лише частково: подібні перевірки бенефіціарів і заборони щодо держави-агресора та санкцій, але різні строки й різна деталізація договору. Критерії вибору платіжного партнера корисно також звірити з нашим гайдом про вибір платіжного провайдера та процесингу для бізнесу.

Розбір не є індивідуальною юридичною консультацією. Ми працювали з повним текстом постанови № 72, нормами Положень № 123 і № 217, які вона змінює, текстом постанови № 70 і пунктами Положення № 199 про ознаки небездоганної ділової репутації; положення про хмарні обчислення (№ 99) та роз’яснення НБУ щодо № 72 ми не перевіряли. Критичність послуг кожна платіжна компанія визначає самостійно, тож про конкретні вимоги питайте безпосередньо установу-клієнта.

Часті запитання про постанову НБУ № 72