Статистика аудита по 382-П

1. Экспертно-правовой центр БИФИТ рассчитывает для банков стоимость аудита по 382-П. Это помогает банкам спланировать бюджет на 2019 год и заложить в него расходы на аудит.

В период с 07.03.2018 по 22.02.2019 года за расчетом обратилось 58 банков, из них 39 используют iBank. Прислали заполненные анкеты и получили расчеты – 44 банка.

2. Средняя стоимость аудита составила 573000 руб.
Средний банк находится в Москве. У такого банка в среднем 4 платежных и 5 информационных систем, есть банкоматы и терминалы, есть мобильный банк для юрлиц, 1 серверное помещение, есть допофисы, 7 типов СКЗИ и 5 типов СЗИ, 28 организационно-распорядительных документов.

Минимальная стоимость аудита составила 232000 руб. для банка из Москвы с 1 ПС и 3 ИС (АБС, ДБО для юрлиц и АРМ КБР), 1 серверным помещением, 7 СКЗИ и 8 СЗИ, 10 ОРД. У банка не было банкоматов и мобильного банка.

Максимальная стоимость аудита составила 1310000 руб. для банка из Москвы с 5 ПС и 6 ИС, 2 серверными помещениями, 8 СКЗИ и 10 СЗИ, 50+ ОРД. У банка было свыше 10 тыс. банкоматов и терминалов, мобильные банки для юрлиц и физлиц.

Стоимость аудита зависит от количества затраченных человеко-часов, а не от размера банка. Чем больше в банке объектов оценки (ПС, ИС, серверов, СКЗИ, СЗИ документов и т.д.), тем больше времени нужно для оценки, тем выше стоимость аудита.

Примечание. Самая минимальная стоимость аудита оказалась у оператора платежной системы, и составила 144 тыс. руб. Расчет для оператора ПС проводился уже после сбора статистики, которая использовалась для данной статьи.

3. 62,5% банков провели последнюю оценку в декабре 2017 года. Это значит, что повторную оценку они должны будут провести не позднее декабря 2019 г.
Результаты предыдущей оценки (EV). Средняя – 0,8, минимальная – 0,2, максимальная – 1

По нашей практике, предварительная оценка в банках находится на уровне 0,3-0,5.
Как правила, серьезные замечания имеются по следующим пунктам 382-П:
— регистрация действий сотрудников банка;
— формирование технических заданий с требованиями по защите информации;
— актуализация клиентской документации для системы «банк–клиент»;
— журналирование действий администраторов банка и клиентов в системе «банк–клиент»;
— выявление фальсифицированных электронных сообщений;
— документирование принятых решений по использованию системы «банк–клиент».
По данным пунктам часто ставиться оценка 0, что снижает общую оценку банка на 0,3. С учетом понижающего коэффициента итоговый показатель Rпс составляет 0,3-0,5 — оценка «неудовлетворительно».

4. Если вы планируете провести аудит по 382-П до декабря 2019 года, но не знаете, во сколько вам это обойдется – присылайте запрос на legal@bifit.com. Мы пришлем вам анкету на 1 странице. Заполните ее и пришлите нам. А мы подготовим расчет стоимости аудита по 382-П в течение 1-2 дней (с учетом количества заявок).
Банки, которые ранее уже обращались в ЭПЦ БИФИТ за расчетом стоимости, могут это сделать повторно.