“Ödəniş xidmətləri və ödəniş sistemləri haqqında” Azərbaycan Respublikası Qanununun 43.3-cü, 55.3-cü, 62.4-cü maddələrinə və “Azərbaycan Respublikasının Mərkəzi Bankı haqqında” Azərbaycan Respublikası Qanununun 22.1.17-ci maddəsinə əsasən Azərbaycan Respublikası Mərkəzi Bankının İdarə Heyəti
1. “Ödəniş sistemi operatorunun fəaliyyətinin təşkili və həyata keçirilməsi Qaydası” təsdiq edilsin (əlavə olunur).
2. Azərbaycan Respublikası Mərkəzi Bankının İdarə Heyətinin “Prosessinq fəaliyyətinə icazənin verilməsi və nəzarət Qaydaları”nın təsdiq edilməsi barədə 2014-cü il 28 oktyabr tarixli 24/2 nömrəli Qərarının 1-ci hissəsi ləğv edilsin.
3. Hüquq departamentinə tapşırılsın ki, bu Qərarın 3 gün müddətində Azərbaycan Respublikasının Hüquqi Aktların Dövlət Reyestrinə daxil edilməsi üçün Azərbaycan Respublikasının Ədliyyə Nazirliyinə təqdim edilməsini təmin etsin.
1.1. Bu Qayda “Ödəniş xidmətləri və ödəniş sistemləri haqqında” Azərbaycan Respublikası Qanununun (bundan sonra – Qanun) 43.3-cü, 55.3-cü, 62.4-cü maddələrinə uyğun olaraq hazırlanmış və lisenziya əsasında fəaliyyət göstərən ödəniş sistemi operatorunun (bundan sonra – operator) minimum nizamnamə kapitalının miqdarını, operatorun biznes-planına, daxili nəzarət sisteminə, risklərin idarə edilməsi sisteminə, o cümlədən fırıldaqçılıq hallarından, həssas ödəniş məlumatlarının və fərdi məlumatların qeyri-qanuni istifadəsindən müdafiə üçün təhlükəsizlik tədbirlərinə dair tələbləri, habelə operator tərəfindən fəaliyyəti barədə verilən hesabatların forması, məzmunu və təqdim edilmə qaydasını müəyyən edir.
1.2. Operatorun nizamnamə kapitalının minimum miqdarı bir milyon manat olmalıdır. Ödəniş təşkilatı və ya elektron pul təşkilatı operator fəaliyyətini göstərmək üçün əlavə olaraq operator üçün nəzərdə tutulmuş nizamnamə kapitalına malik olmalıdır.
1.3. Operatorun informasiya təhlükəsizliyinin təmin edilməsinə, habelə fövqəladə hallarda fəaliyyətinin davamlılığı və bərpa planına dair minimum tələblər, həmçinin operator tərəfindən əməliyyat və ya təhlükəsizlik insidentləri barədə Azərbaycan Respublikasının Mərkəzi Bankına (bundan sonra – Mərkəzi Bank) məlumat verilməsi halları və qaydası informasiya təhlükəsizliyinə dair Mərkəzi Bankın normativ xarakterli aktı ilə müəyyənləşdirilir. Operator fövqəladə hal baş verdiyi andan etibarən 2 (iki) saat ərzində ödəniş sisteminin funksional fəaliyyətinin bərpa olunmasını təmin etməlidir.
2.1. Bu Qaydada istifadə olunan anlayışlar aşağıdakı mənaları ifadə edir:
2.1.1. əməliyyat riski – operatorun əməkdaşları tərəfindən yol verilmiş nöqsan və səhvlər, informasiya sistemi və texnologiyalarında baş vermiş problem və çatışmazlıqlar, habelə təşkilatdan kənar hadisələrlə əlaqədar yaranan risk;
2.1.2. komplayens riski – operatorun qanunvericiliyin, o cümlədən maliyyə bazarlarını tənzimləyən hüquqi aktların tələblərinə riayət etməməsi nəticəsində üzləşə biləcəyi təsir tədbirləri və sanksiyalar, maliyyə itkiləri və ya nüfuzunun itirilməsi riski;
2.1.3. biznes riski – operatorun gəlirlərinin azalması və (və ya) xərclərinin artması nəticəsində maliyyə vəziyyətinin pisləşməsi riski;
2.1.4. kredit riski – ödəniş sistemi iştirakçısının operator və ödəniş sisteminin digər iştirakçıları qarşısında maliyyə öhdəliklərini vaxtında və (və ya) tam icra edə bilməməsi riski;
2.1.5. likvidlik riski – ödəniş sistemi iştirakçısının öz öhdəliklərini ödəmək üçün yetərli miqdarda likvid vəsaitlərə malik olmaması riski;
2.1.6. ödəniş sisteminin birbaşa iştirakçısı (birbaşa iştirakçı) – ödəniş sisteminin xidmətlərindən istifadə etmək üçün operator ilə ödəniş sistemində iştirak üzrə müqavilə bağlayan, ödəniş sisteminin digər iştirakçıları ilə hesablaşmaların aparılması məqsədilə hesablaşma agentində müxbir və ya cari hesab açan və ödəniş sisteminin xidmətlərinə birbaşa çıxış hüququ olan şəxs;
2.1.7. ödəniş sisteminin dolayı iştirakçısı (dolayı iştirakçı) – ödəniş sistemində iştirak üzrə müvafiq ödəniş sisteminin birbaşa iştirakçısı ilə müqavilə bağlayan və ödəniş sisteminin digər iştirakçıları ilə hesablaşmaların aparılması məqsədilə birbaşa iştirakçıda müxbir və ya cari hesab açan və ödəniş sisteminin xidmətlərinə birbaşa çıxışı olmayan şəxs;
2.1.8. stress-test – bir və ya bir neçə şokun ödəniş sisteminin fəaliyyətinə potensial təsirinin qiymətləndirilməsi aləti.
2.2. Bu Qaydada istifadə edilən digər anlayışlar Qanunda müəyyən edilmiş mənaları ifadə edir.
3.1. Operator fəaliyyətinin ilk 3 (üç) ili üçün hazırlanmış biznes-planda azı aşağıdakı məlumatları əks etdirməlidir:
3.1.1. Qanunun 43.6-cı maddəsinin tələbi nəzərə alınmaqla, operatorun həyata keçirəcəyi fəaliyyətə dair məlumat;
3.1.2. sabit fəaliyyət göstərməsini təmin edəcək müvafiq sistemlərə, resurslara və prosedurlara malik olduğunu müəyyənləşdirməyə imkan verən və aşağıdakıları əks etdirən ilk 3 (üç) il üzrə maliyyə proqnozları:
3.1.2.1. proqnozlaşdırılan mənfəət və zərər hesabatı, balans hesabatı, pul vəsaitlərinin hərəkəti haqqında hesabat;
3.1.2.2. ehtimal olunan əməliyyat həcmi və sayı, iştirakçı sayı, xidmət növləri üzrə tətbiq olunacaq xidmət haqları;
3.1.3. hər bir struktur bölmənin səlahiyyətləri (hüquq və vəzifələri), həmin bölmələrdə çalışacaq işçilərin sayı göstərilməklə təşkilati strukturu barədə məlumat;
3.1.4. operator fəaliyyəti ilə əlaqədar xidmət aldığı kənar təchizatçıların adı və hüquqi ünvanı, habelə hər bir kənar təchizatçıdan alınan xidmətlərə dair ətraflı məlumat;
3.1.5. ödəniş sisteminin biznes modeli haqqında ətraflı açıqlama (birbaşa və dolayı iştirak fərqləndirilməklə ödəniş əməliyyatları üzrə məlumat axını diaqramı və açıqlaması, əməliyyat zəncirində iştirak edən tərəflər və onların funksiyaları, habelə klirinq və hesablaşmaların aparılması qaydası).
4.1. Operator ödəniş sisteminin etibarlı və təhlükəsiz idarə olunmasını təmin etmək üçün müvafiq təşkilati struktura və fəaliyyətinin bütün sahələrini əhatə edən daxili nəzarət sisteminə malik olmalıdır.
4.2. Operatorun struktur bölmələrinin funksiyalarını, səlahiyyətlərini, tabelilik və hesabat vermə qaydalarını müəyyən edən və səlahiyyətli idarəetmə orqanı tərəfindən təsdiq edilən reqlament sənədləri (əsasnamə, qayda, prosedur və s.) olmalıdır.
4.3. Operator daxili nəzarət sistemi çərçivəsində ödəniş sisteminin fəaliyyətini davamlı monitorinq etməli və müəyyən edilmiş hədəflərə nail olunmasını qiymətləndirməlidir.
4.4. Operatorun daxili nəzarət sistemi azı aşağıdakıları təmin etməlidir:
4.4.1. operatorun fəaliyyətinin, o cümlədən ödəniş sisteminin qaydalarının qanunvericiliyə, həmçinin daxili reqlament sənədlərinə uyğun olmasını;
4.4.2. ödəniş sisteminin fəaliyyətinin təşkilinə dair qərarların qəbul edilməsində səlahiyyət bölgüsünün dəqiq müəyyən edilməsini;
4.4.3. idarəetmə orqanlarının fəaliyyəti üçün tələb olunan məlumatların tam, düzgün və vaxtında hazırlanması və çatdırılmasını;
4.4.4. struktur bölmələr arasında maraqlar münaqişəsinin olmaması, habelə maraqlar münaqişəsinin baş verə biləcəyi halların və sahələrin vaxtında müəyyən edilməsi və qarşısının alınması üzrə müvafiq prosedurların olmasını;
4.4.5. əməliyyat xərclərinin və investisiya qoyuluşlarının əsaslı olmasını;
4.4.6. qanunvericiliyin tələblərinə uyğun olaraq məlumat və hesabatların vaxtında, tam və düzgün tərtib və təqdim edilməsini;
4.4.7. operatorun informasiya sistemlərinin qanunvericiliyə və daxili reqlament sənədlərinə uyğun etibarlı, davamlı və təhlükəsiz idarə olunmasını;
4.4.8. informasiyanın konfidensiallığının və tamlığının təmin olunmasını;
4.4.9. daxili auditin həyata keçirilməsini;
4.4.10. informasiya və kommunikasiya texnologiyaları və təhlükəsizlik risklərinin idarə edilməsi ilə bağlı daxili və kənar auditlərin həyata keçirilməsini;
4.4.11. operatorun fəaliyyətində və daxili nəzarət sistemində kənar və ya daxili audit nəticəsində aşkar edilmiş pozuntu və çatışmazlıqlar haqqında operatorun idarəetmə orqanlarının vaxtında məlumatlandırılmasını, onların aradan qaldırılması üzrə həyata keçirilən tədbirlərin nəzarətdə saxlanılmasını.
4.5. Operator daxili auditlə bağlı aşağıdakı tələblərə əməl etməlidir:
4.5.1. operatorun səlahiyyətli idarəetmə orqanı daxili audit planlarını təsdiq etməli, audit fəaliyyətinin həyata keçirilməsi üçün lazımi şərait yaratmalı və daxili audit xidmətinin aşkar etdiyi pozuntu və çatışmazlıqların aradan qaldırılması üçün müvafiq tədbirlər görməlidir;
4.5.2. operatorun daxili audit xidməti gündəlik əməliyyat və nəzarət funksiyalarından ayrı olmalıdır;
4.5.3. operatorun daxili audit xidməti azı ildə bir dəfə operatorun idarəetmə orqanlarına həyata keçirilmiş yoxlamalar, aşkar edilmiş pozuntu və çatışmazlıqlar, verilən tövsiyələr və onların icra vəziyyəti barədə hesabat verməlidir.
4.6. Operatorun bütün fəaliyyət sahələri (kənar xidmət təchizatçısının xidmətlərindən istifadə edilməklə həyata keçirilən fəaliyyətlər də daxil olmaqla) daxili auditin əhatə dairəsinə daxildir.
4.7. Daxili auditin təşkili və fəaliyyətinin həyata keçirilməsi zamanı “Daxili audit haqqında” Azərbaycan Respublikası Qanununun tələblərinə əməl edilməlidir.
5.1. Operator özünün, habelə iştirakçılarının məruz qala biləcəyi risklərin müəyyən edilməsini, qiymətləndirilməsini, monitorinqini və nəzarətini təmin edən risklərin effektiv idarə edilməsi sisteminə malik olmalıdır.
5.2. Risklərin idarə edilməsi sistemi azı aşağıdakı qayda və prosedurları əhatə etməlidir:
5.2.1. operatorun bütün mövcud və potensial risklərinin, o cümlədən əməliyyat, komplayens, biznes, kredit, likvidlik və digər risklərin müəyyənləşdirilməsi, qiymətləndirilməsi, monitorinqi və nəzarəti qaydası, həmçinin risklərin idarə olunması məqsədilə istifadə olunan alətləri;
5.2.2. kənar təchizatçının xidmətlərindən istifadə edildikdə bununla bağlı yarana biləcək risklərin idarə edilməsi proseduru;
5.2.3. ödəniş sisteminin fəaliyyətinin təmin edilməsi üçün digər təşkilatların xidmətlərindən (internet, elektrik təchizatı və s.) istifadə etdikdə bununla bağlı yarana biləcək risklərin idarə edilməsi proseduru;
5.2.4. operatorun struktur bölmələri arasında risklər üzrə səlahiyyət bölgüsünün, habelə qarşılıqlı fəaliyyətin və məlumat mübadiləsinin həyata keçirilməsi proseduru;
5.2.5. risklərlə bağlı stress-testlərin aparılması qaydası və ssenariləri;
5.2.6. risklərin idarə edilməsi üzrə hesabatlılıq sistemi.
5.3. Risklərin idarə edilməsi üzrə daxili qayda və prosedurlar ildə azı 1 (bir) dəfə nəzərdən keçirilməlidir. Risklərin idarə edilməsi sistemi operatorun qarşılaşdığı risklərin qarşısını ala bilmədikdə və ya operatorun risk profilində əks olunmayan risklə əlaqədar insident və ya operatorun fəaliyyətində dayanmalar baş verdikdə, həmçinin informasiya sistemləri və texnologiyalarında əsaslı dəyişikliklər aparıldıqda 3 (üç) aydan gec olmayaraq risklərin idarə edilməsi sisteminə zəruri dəyişikliklər edilməli, bu dəyişikliklər sənədləşdirilməlidir.
5.4. Operator komplayens risklərinin idarə olunması məqsədilə ödəniş sisteminə dair qaydaların, o cümlədən ödəniş sistemi operatorunun reqlament sənədlərinin və müqavilə münasibətlərinin qanunvericiliyin tələblərinə uyğunluğunu təmin etməlidir.
5.5. Operator ödəniş sisteminə dair qaydaların risklərin idarə olunması ilə bağlı müddəalarında kredit və likvidlik risklərinin tənzimlənməsi, o cümlədən bu risklərin digər iştirakçılara təsirini minimallaşdırmaq üçün tətbiq olunacaq mexanizmləri əks etdirməlidir.
5.6. Operatorun ödəniş sisteminə dair qaydalarında dolayı iştirak nəzərdə tutulduqda dolayı iştirakçılar barədə birbaşa iştirakçı tərəfindən operatora məlumat verilməsinə, həmçinin birbaşa və dolayı iştirakçılar arasında münasibətlərin tənzimlənməsinə dair prosedurlar müəyyən edilməlidir.
5.7. Əməliyyat risklərinin idarə olunması üçün ödəniş sisteminin emal gücü əməliyyat həcmində baş verə biləcək artımların qarşılanmasını təmin etməlidir.
5.8. Ödəniş sisteminin qarşılaşa biləcəyi risk növlərindən asılı olaraq hər 6 (altı) aydan bir stress-testlərin keçirilməsi təmin edilməlidir. Operator stress-testlərin keçirilməsi üçün adekvat resurslara (insan və informasiya texnologiyaları) malik olmalıdır. Operatorun müvafiq resursu olmadıqda stress-testlərin keçirilməsi bu sahədə ixtisaslaşmış kənar təşkilata həvalə edilə bilər.
5.9. Stress-testlər keçirilərkən “ən pis”, “ən yaxşı” və “ehtimal olunan” ssenarilər tərtib olunmalı və ehtimallar daxil olmaqla hər bir ssenari üçün ayrıca meyarlar və şoklar müəyyən ediməlidir. Ssenarilər tərtib edilərkən potensial risklər və maksimal itkilər nəzərə alınmalıdır.
5.10. Stress-testlərin nəticələri üzrə müəyyən olunmuş risklərin qarşısının alınması məqsədilə tədbirlər planı hazırlanmalı və icrası təmin edilməlidir.
5.11. Operator tərəfindən kənar təchizatçılardan xidmətlərin alınması zamanı həssas ödəniş məlumatlarının məxfiliyi təmin edilməli, kənar təchizatçıların informasiya sistemləri ilə inteqrasiya nəzərdə tutulduğu halda həmçinin məlumat mübadiləsi təhlükəsizlik tələblərinə uyğun təşkil edilməlidir.
6.1. Operatorun fırıldaqçılıq hallarına qarşı təhlükəsizlik siyasəti mövcud olmalı və azı aşağıdakıları özündə ehtiva etməlidir:
6.1.1. fırıldaqçılıq hallarının müəyyən edilməsi və qarşısının alınması üzrə tədbirlərin, o cümlədən istifadə edilən alətlər və tətbiq edilən prosedurların olmasını;
6.1.2. fırıldaqçılıq hallarının monitorinqi, qarşısının alınması və bu hallarla bağlı şikayətlərə baxılması üzrə məsul əməkdaşların və ya struktur bölmənin təyin olunmasını;
6.1.3. ödəniş sistemi iştirakçılarından, habelə iştirakçılarla bağlanmış müqavilələrdə nəzərdə tutulduğu halda ödəniş xidməti iştifadəçilərindən fırıldaqçılıq hallarına dair müraciətlərin qəbulu və emalı prosedurunun mövcudluğunu;
6.1.4. fırıldaqçılıq halları baş verdikdə aidiyyəti struktur bölmələrin məlumatlandırılması qaydasının müəyyən edilməsini.
6.2. Həssas ödəniş məlumatlarının və fərdi məlumatların qeyri-qanuni istifadəsindən müdafiə üçün operatorun daxili qaydalarında azı aşağıdakılar əks etdirilməlidir:
6.2.1. həssas ödəniş məlumatlarının saxlandığı yer(lər)in reyestri;
6.2.2. göstərilən xidmətlər üzrə həssas ödəniş məlumatlarının axınının təsviri;
6.2.3. müvafiq infrastruktur komponentlərinə və sistemlərinə, o cümlədən məlumat bazasına giriş hüququ olan şəxslər barədə məlumat;
6.2.4. həssas ödəniş məlumatlarının saxlanılması qaydası;
6.2.5. həssas ödəniş məlumatlarından istifadə edilməsi halları;
6.2.6. informasiya sistemləri və texnologiyaları, şifrələmə və (və ya) tokenizasiya daxil olmaqla həssas ödəniş məlumatlarının təhlükəsizliyi üçün tətbiq edilən texniki təhlükəsizlik tədbirləri, habelə monitorinq alətləri;
6.2.7. həssas ödəniş məlumatlarına giriş hüququ olan subyektlərin müəyyən edilməsi qaydası;
6.2.8. həssas ödəniş məlumatlarına səlahiyyətsiz müdaxilələrin və onlarla bağlı boşluqların müəyyən edilməsi və qarşısının alınması prosedurları.
7.1. Operator fəaliyyəti ilə bağlı bu Qaydanın 1 nömrəli Əlavəsində göstərilən formada hesabatı rüblük əsasda növbəti rübün ilk 5 (beş) iş günündən gec olmayaraq Mərkəzi Banka təqdim edir.
7.2. Operator hər ilin yanvar ayının son iş gününədək ötən təqvim ili ərzində baş vermiş dəyişikliklər göstərilməklə istifadə olunan əsas avadanlıq və proqram təminatlarının siyahısını, onlar arasında əlaqə üzrə topoloji diaqramı (kənar təşkilatlardan alınan xidmətlər və inteqrasiyalar qeyd edilməklə) Mərkəzi Banka təqdim edir.
7.3. Bu Qaydanın 1.3-cü bəndində nəzərdə tutulan tələblərə dair hesabatlar Mərkəzi Bankın informasiya təhlükəsizliyinə dair normativ xarakterli aktı ilə müəyyənləşdirilən qaydada və müddətdə təqdim edilir.
7.4. Ödəniş sisteminə yeni iştirakçılar daxil olduqda və ya mövcud iştirakçı ödəniş sistemindən çıxdıqda (çıxarıldıqda), habelə iştirakçının statusu (birbaşa və ya dolayı iştirakçı) dəyişdikdə operator 5 (beş) iş günü müddətində bu Qaydanın 2 nömrəli Əlavəsində göstərilən formada hesabatı Mərkəzi Banka təqdim edir.
7.5. Operator fəaliyyəti istiqamətində yarana biləcək sualların operativ cavablandırılmasına və operatorun fəaliyyəti ilə bağlı məlumatların (hesabatların) Mərkəzi Banka təqdim edilməsinə məsul olan şəxsi təyin etməli və həmin şəxs haqqında yazılı məlumatı (soyadı, adı, atasının adı, vəzifəsi və əlaqə rekvizitləri) Mərkəzi Banka təqdim etməlidir. Məsul şəxs dəyişdikdə operator yeni məsul şəxs barədə qeyd olunan yazılı məlumatı 3 (üç) iş günü ərzində Mərkəzi Banka təqdim etməlidir.
7.6. Operatorun fəaliyyətində baş vermiş plansız dayanmalar (sistemdə işin və ya iştirakçılarla məlumat mübadiləsinin 15 (on beş) dəqiqə və ya daha artıq müddətə dayanması) barədə əlaqələndirici şəxs tərəfindən yazılı məlumat hadisənin baş verməsindən sonra 15 (on beş) dəqiqədən gec olmayaraq, planlı dayanma halı barədə məlumat isə azı 3 (üç) iş günü əvvəl Mərkəzi Banka təqdim edilməlidir.
7.7. Bu Qayda ilə müəyyən edilmiş hesabatlar operatorun icra orqanının rəhbərinin və ya onun tərəfindən səlahiyyətləndirilmiş vəzifəli şəxsin (şəxslərin) gücləndirilmiş elektron imzası ilə təsdiq edilir və Mərkəzi Bankın elektron informasiya sistemi vasitəsilə təqdim edilir.
Ödəniş hesablarındakı vəsaitlər
Qiymətli kağızlara investisiyalar
Əsas vəsaitlər (amortizasiya çıxılmaqla)
Qeyri-maddi aktivlər (amortizasiya çıxılmaqla)
Kredit təşkilatlarından cəlb edilmiş vəsaitlər
Digər maliyyə institutlarından cəlb edilmiş vəsaitlər
Bölüşdürülməmiş xalis mənfəət
Operator fəaliyyəti ilə bağlı gəlirlər