რეგულაციური აუდიტი | eKYC | ელექტრონული იდენტიფიკაცია
კლიენტის ელექტრონული იდენტიფიკაციისა და ვერიფიკაციის პროცესის დამოუკიდებელი აუდიტი
საქართველოს ეროვნული ბანკის №104/04 ბრძანებით განსაზღვრულ მოთხოვნებთან შესაბამისობის დამოუკიდებელი შეფასება — ელექტრონული იდენტიფიკაციისა და ვერიფიკაციის ტექნოლოგიური პროცესების, ინფორმაციული უსაფრთხოების, საოპერაციო და კიბერრისკების, აუთსორსინგული მომსახურებისა და შიდა კონტროლების შემოწმებით.
რატომ არის აუცილებელი დამოუკიდებელი აუდიტი?
ელექტრონული პრევენციული ღონისძიებების პროცესის დანერგვამდე ან ცვლილებისას ანგარიშვალდებულმა პირმა უნდა მოითხოვოს ეროვნული ბანკის წერილობითი თანხმობა და წარადგინოს დანართი №2-ის ფორმა დამოუკიდებელ აუდიტორულ დასკვნასთან ერთად. მე-3 მუხლის მე-8 პუნქტი ცალკე ითხოვს ინფორმაციული უსაფრთხოების პროცესის ყოველწლიურ დამოუკიდებელ აუდიტსა და შეღწევადობის ტესტირებას; მათი ფარგლები ცალ-ცალკე თანხმდება.
- იდენტობის თაღლითობა, სხვისი სახელით მოქმედება და სუსტი სიცოცხლისუნარიანობის შემოწმება
- ყალბი დოკუმენტები ან ვერიფიკაციის უზუსტობა
- მომწოდებლის უკონტროლო წვდომა და მომხმარებლის მონაცემთა შენახვა
- კიბერინციდენტები, ოპერაციული შეფერხება და არასაკმარისი აუდიტორული მტკიცებულება
ვისთვის არის განკუთვნილი მომსახურება?
წესი შეიძლება ეხებოდეს საქართველოს ეროვნული ბანკის ზედამხედველობის ქვეშ მყოფ ანგარიშვალდებულ პირებს, რომლებიც კლიენტის პრევენციულ ღონისძიებებს ელექტრონულად ახორციელებენ. გამოყენებადობა დამოკიდებულია ორგანიზაციის სტატუსსა და საქმიანობაზე; მხოლოდ FinTech-კომპანიად ყოფნა წესის მოქმედებას არ ნიშნავს.
- კომერციული ბანკები და მიკრობანკები
- მიკროსაფინანსო ორგანიზაციები
- საგადახდო მომსახურების პროვაიდერები
- ვირტუალური აქტივის მომსახურების პროვაიდერები, შესაბამის შემთხვევაში
- სხვა ანგარიშვალდებული პირები ეროვნული ბანკის ზედამხედველობის ფარგლებში
რას მოიცავს ელექტრონული იდენტიფიკაციის აუდიტი?
№104/04 ბრძანების გამოყენებად მოთხოვნებს ვუკავშირებთ შეთანხმებულ პროცესს, ტექნოლოგიას, მტკიცებულებებსა და აუთსორსინგულ დამოკიდებულებებს. ტექნიკურ ტესტებს ვარჩევთ რისკისა და ფარგლების მიხედვით; აუდიტი ბიომეტრიული პროგრამის სერტიფიცირებას არ წარმოადგენს.
- 01
რეგულაციური შესაბამისობა და მმართველობა
მუხლები 1–3; გამოყენებადობა, პროცედურები, პასუხისმგებლობა, დამტკიცება, ცვლილებები და შესაბამისობის დოკუმენტაცია.
- 02
კლიენტის იდენტიფიკაცია და ვერიფიკაცია
მუხლები 2 და 4; იდენტობა, სიცოცხლისუნარიანობა, ბიომეტრია, დოკუმენტი, OCR/NFC, ინტეგრაციები, წარუმატებელი მცდელობები და სიზუსტის მტკიცებულება.
- 03
დისტანციური ონბორდინგის უსაფრთხოება
დაცული არხები, სესიის უწყვეტობა, პროცესის მთლიანობა, სხვისი სახელით მოქმედების პრევენცია და შეწყვეტილი სესიები.
- 04
საოპერაციო რისკი
დანართი №3; თაღლითობა, შეფერხება, ადამიანური შეცდომა, აუთსორსინგი, ალბათობა, გავლენა, კონტროლები და ნარჩენი რისკი გამოყენებადი მოდელით.
- 05
კიბერრისკი
დანართი №2; კონფიდენციალურობა, მთლიანობა, ხელმისაწვდომობა, საფრთხეები, უსაფრთხოების კონტროლები და რისკზე რეაგირება.
- 06
აუთსორსინგი და მესამე მხარეები
მუხლი 3 და დანართი №2; მომწოდებლის შემოწმება, ხელშეკრულება, დამოუკიდებელი მტკიცებულება, წვდომა, შენახვა, წაშლა და უწყვეტობა. ორგანიზაციის ვალდებულებები და მომწოდებლის მტკიცებულებები გამიჯნულია.
- 07
ინფორმაციული უსაფრთხოება
შეთანხმებული ფარგლებით წვდომის, დაშიფვრის, ჟურნალების, შენახვის, მონიტორინგის, მოწყვლადობების, ინციდენტების, აღდგენისა და ცვლილებების კონტროლები.
- 08
პერსონალური მონაცემები და შენახვა
მუხლი 3 და დანართი №2; მინიმიზაცია, შენახვა, მომწოდებელთან შენახვის შეზღუდვა, წაშლა, კონფიდენციალურობა და გადაცემა.
- 09
პროცესის ტესტირება და ხარისხი
მუხლი 4; შერჩეული სიცოცხლისუნარიანობისა და დოკუმენტის შემოწმება, ხელით განხილვა, ოთხი თვალის პრინციპი, სწავლება და სესიის მტკიცებულება.
- 10
უწყვეტობა და პროცესის შეწყვეტა
მუხლები 3, 4 და 6; ხელმისაწვდომობა, შეფერხება, ესკალაცია, შეჩერება, შეტყობინება და აღდგენა.
აუდიტის ტიპები
მტკიცებულებები და შედეგები დამოკიდებულია შერჩეულ დავალებაზე. შეღწევადობის ტესტირება ცალკე საქმიანობაა და მხოლოდ ცალკე შეთანხმებული ფარგლებით შედის.
- 01
დანერგვამდე აუდიტი
დამოუკიდებელი შეფასება პროცესის ამოქმედებამდე ან მარეგულირებლისთვის წარდგენამდე.
- 02
ცვლილებასთან დაკავშირებული შეფასება
ტექნოლოგიის, მომწოდებლის, პროცესის ან კონტროლების არსებითი ცვლილებების განხილვა, შესაბამის შემთხვევაში.
- 03
ინფორმაციული უსაფრთხოების ყოველწლიური აუდიტი
უსაფრთხოების პროცესების დამოუკიდებელი შეფასება მე-3 მუხლის მე-8 პუნქტის ფარგლებში.
როგორ ვატარებთ აუდიტს?
- 01
დაგეგმვა და ფარგლები
მოთხოვნების, სისტემების, მომწოდებლებისა და პროცესის საზღვრების განსაზღვრა.
- 02
შესაბამისობის რუკა
გამოყენებადი მოთხოვნების დაკავშირება პოლიტიკებთან, პროცესებთან და კონტროლებთან.
- 03
მტკიცებულებების განხილვა
დოკუმენტების, რისკის შეფასებების, კონფიგურაციებისა და ტექნიკური ჩანაწერების შემოწმება.
- 04
ტექნიკური და საოპერაციო ტესტირება
შერჩეული კონტროლებისა და ვერიფიკაციის პროცესების გამოცდა.
- 05
ხარვეზებისა და რისკების შეფასება
შეუსაბამობის, სისუსტეებისა და ნარჩენი რისკების დოკუმენტირება.
- 06
ანგარიში და რეკომენდაციები
დამოუკიდებელი დასკვნისა და პრიორიტეტული ქმედებების მომზადება.
რას მიიღებს ორგანიზაცია?
საბოლოო შედეგები თანხმდება კონკრეტული დავალებისთვის და განსხვავდება შესაბამისობის, ინფორმაციული უსაფრთხოებისა და შემდგომი შეფასებების მიხედვით.
- 01
დამოუკიდებელი რეგულაციური აუდიტის ანგარიში
შეფასება გამოყენებადი მოთხოვნების მიხედვით.
- 02
მუხლობრივი შესაბამისობის მატრიცა
კონტროლები და დამადასტურებელი მტკიცებულებები.
- 03
ინფორმაციული უსაფრთხოების მიგნებების რეესტრი
ტექნიკური და ორგანიზაციული ნაკლოვანებები.
- 04
საოპერაციო და კიბერრისკის შედეგები
შეთანხმებული ფარგლებით შეფასება ან მიმოხილვა.
- 05
მესამე მხარეების შეფასება
აუთსორსინგული მომწოდებლები და სახელშეკრულებო დამოკიდებულებები.
- 06
მაკორექტირებელი გეგმა
პრიორიტეტული რეკომენდაციები და სავარაუდო პასუხისმგებლები.
- 07
ხელმძღვანელობის რეზიუმე
არსებითი მიგნებები და მმართველობითი გადაწყვეტილებები.
- 08
არასავალდებულო შემდგომი შეფასება
გამოსწორების პროგრესის დამოუკიდებელი შემოწმება.
რატომ IO Consulting?
ჩვენი მიდგომა აერთიანებს ფინანსური სექტორის რეგულაციურ ანალიზს, ტექნიკურ კონტროლებსა და საოპერაციო რისკს. ვაფიქსირებთ მტკიცებულებებს, ვმიჯნავთ აუდიტის მიგნებებს რეკომენდაციებისგან და პრიორიტეტებს ხელმძღვანელობას მკაფიოდ ვაწვდით. ეს არ წარმოადგენს ეროვნული ბანკის ოფიციალურ დამტკიცებას ან აკრედიტაციას.
- დამოუკიდებელი და მტკიცებულებებზე დაფუძნებული პროცედურები
- რეგულაციური და ტექნიკური ხედვა
- რისკზე დაფუძნებული მაკორექტირებელი ქმედებები
- ანგარიშგება ხელმძღვანელობისთვის
რა ღირებულებას ქმნის აუდიტი?
შეფასება ხელს უწყობს უკეთეს გადაწყვეტილებებსა და საზედამხედველო განხილვისთვის მზადებას; ის ვერ უზრუნველყოფს ეროვნული ბანკის დამტკიცებას ან ყველა რეგულაციური რისკის აღმოფხვრას.
- დანერგვამდე შესაბამისობის ხარვეზების აღმოჩენა
- იდენტობისა და თაღლითობის კონტროლების გაუმჯობესება
- აუთსორსინგული ტექნოლოგიისა და კიბერრისკის შეფასება
- მტკიცებულებებისა და ოპერაციული მდგრადობის გაძლიერება
- გამოსწორების ინვესტიციების პრიორიტეტიზაცია
რეგულაციური წყარო
საქართველოს ეროვნული ბანკის პრეზიდენტის 2025 წლის 29 აპრილის №104/04 ბრძანება — „ანგარიშვალდებული პირის მიერ პრევენციული ღონისძიებების ელექტრონულად განხორციელების წესის დამტკიცების თაობაზე“. დავალების დაწყებამდე მოთხოვნები უნდა გადამოწმდეს გამოყენებად კონსოლიდირებულ რედაქციასთან.
ოფიციალური დოკუმენტი — საკანონმდებლო მაცნეხშირად დასმული კითხვები
რა არის კლიენტის ელექტრონული იდენტიფიკაცია და ვერიფიკაცია?
ეს არის დისტანციური პროცესი, რომელიც კლიენტის იდენტობას ელექტრონული პროცედურებითა და შესაბამისი კონტროლებით ადგენს და ამოწმებს. გამოყენებადი წესი განსაზღვრავს, როგორ შეიძლება ანგარიშვალდებულმა პირმა შესაბამისი პრევენციული ღონისძიებები ელექტრონულად განახორციელოს.
ვის ეხება №104/04 ბრძანება?
გამოყენებადობა დამოკიდებულია ორგანიზაციის ანგარიშვალდებული პირის სტატუსზე, ეროვნული ბანკის ზედამხედველობასა და რეგულირებული ელექტრონული პროცესის გამოყენებაზე. საჭიროა სტატუსისა და საქმიანობის შეფასება.
როდის არის საჭირო დამოუკიდებელი აუდიტი?
მე-3 მუხლის პირველი პუნქტი დამოუკიდებელ დასკვნას დანართი №2-ის ფორმასთან ერთად ითხოვს, როდესაც ანგარიშვალდებული პირი პროცესის დანერგვამდე ან ცვლილებისას ეროვნული ბანკის წერილობით თანხმობას მოითხოვს. მტკიცებულებები მოქმედი წესისა და ორგანიზაციის გარემოებების მიხედვით განისაზღვრება.
ცალკეა თუ არა ყოველწლიური ინფორმაციული უსაფრთხოების აუდიტი?
დიახ. მე-3 მუხლის მე-8 პუნქტი ეხება ინფორმაციული უსაფრთხოების პროცესის ყოველწლიურ დამოუკიდებელ აუდიტს. მისი ფარგლები დანერგვამდე შესაბამისობის შეფასებისგან ცალკე თანხმდება.
მოიცავს თუ არა აუდიტი ავტომატურად შეღწევადობის ტესტირებას?
არა. შეღწევადობის ტესტირება განსხვავდება შესაბამისობისა და ინფორმაციული უსაფრთხოების აუდიტისგან. იგი მხოლოდ აშკარად შეთანხმებული ფარგლებით შედის ან ცალკე ტარდება.
რომელი ტექნიკური კონტროლები მოწმდება?
ფარგლების მიხედვით ვამოწმებთ იდენტობას, სიცოცხლისუნარიანობას, დოკუმენტს, წვდომას, დაშიფვრას, ჟურნალებს, მონიტორინგს, ინციდენტებზე რეაგირებას, უწყვეტობასა და მტკიცებულებებს.
რა მტკიცებულებები განიხილება მომწოდებლისგან?
შესაბამის შემთხვევაში განიხილება ხელშეკრულებები, მომწოდებლის შემოწმება, უსაფრთხოების დასტური, ტესტირების ანგარიშები, წვდომის ჟურნალები, შენახვისა და წაშლის კონტროლები და უწყვეტობის მტკიცებულება.
როგორ მოწმდება მომწოდებელთან მომხმარებლის მონაცემები?
ვაფასებთ გამოყენებად შენახვისა და შენარჩუნების შეზღუდვებს, წვდომას, წაშლასა და მონაცემთა ნაკადების მტკიცებულებებს. ზუსტი ვალდებულება დამოკიდებულია შეთანხმებასა და მოქმედ წესზე.
როგორ ფასდება საოპერაციო და კიბერრისკი?
განვიხილავთ დანართი №3-ის გამოყენებად საოპერაციო მოდელსა და დანართი №2-ის კიბერრისკის მტკიცებულებებს, შემდეგ ვაფასებთ სცენარებს, ალბათობას, გავლენას, კონტროლებსა და ნარჩენ რისკს შეთანხმებული ფარგლებით.
რა შედის საბოლოო ანგარიშში?
შეთანხმებული ანგარიში ასახავს გამოყენებად კრიტერიუმებს, შემოწმებულ მტკიცებულებებს, მიგნებებს, რისკის შეფასებებსა და პრიორიტეტულ მაკორექტირებელ ქმედებებს. სხვა შედეგები დამოკიდებულია დავალებაზე.
შესაძლებელია თუ არა აუდიტი ამოქმედებამდე?
დიახ. დანერგვამდე შეფასება ამოწმებს შემოთავაზებულ პროცესს, კონტროლებსა და მტკიცებულებებს ამოქმედებამდე ან მარეგულირებლისთვის წარდგენამდე.
რა ხდება ხარვეზების აღმოჩენისას?
მიგნებას ვაფიქსირებთ და რისკზე დაფუძნებულ გამოსწორებას ვთავაზობთ. ქმედებასა და საჭირო მარეგულირებელ ურთიერთობაზე პასუხისმგებელია ორგანიზაცია; აუდიტი დამტკიცებას არ უზრუნველყოფს.
შეაფასეთ თქვენი ელექტრონული იდენტიფიკაციის პროცესის რეგულაციური შესაბამისობა
IO Consulting გთავაზობთ საქართველოს ეროვნული ბანკის №104/04 ბრძანებით განსაზღვრული მოთხოვნების დამოუკიდებელ აუდიტს — ტექნოლოგიური პროცესების, ინფორმაციული უსაფრთხოების, საოპერაციო და კიბერრისკებისა და აუთსორსინგული კონტროლების შეფასებით.
მოითხოვეთ აუდიტი