Гражданский кодекс часть 1

рассмотрев в судебном заседании дело по заявлению общества с ограниченной ответственностью Банк «ИТУРУП» о признании недействительным предписания от 07.06.2016 № Т764-12-60/5205ДСП в части пунктов 1, 2 резолютивной части, вынесенного Отделением по Сахалинской области Дальневосточного главного управления Центрального Банка Российской Федерации,

при участии:

от заявителя - Ю В.Д. по доверенности № 19 от 11.07.2016,

от Центрального Банка Российской Федерации - ФИО1 по доверенности от 18.02.2015, ФИО2 по доверенности от 12.03.2015 № 2-11/2448, ФИО3 по доверенности от 12.03.2015 № 2-11/2437,

У С Т А Н О В И Л :

ООО Банк «ИТУРУП» (далее – заявитель, банк, кредитная организация) обратилось в арбитражный суд к Центральному Банку Российской Федерации в лице Отделения по Сахалинской области Дальневосточного главного управления Центрального Банка Российской Федерации (далее - Банк России, Отделение по Сахалинской области) с заявлением о признании недействительным предписания от 07.06.2016 № Т764-12-60/5205ДСП в части пунктов 1, 2 резолютивной части.

В обоснование заявленного требования указано на необоснованно завышенный размер штрафа, назначенного на основании пункта 1 резолютивной части оспариваемого предписания, по мнению заявителя, без учета характера совершенного правонарушения, размера причиненного вреда, степени вины правонарушения, иных существенных обстоятельств деяния, а также положений Конституции РФ и Приказа Банка России от 31.03.1997 N 02-139 «О введении в действие Инструкции «О применении к кредитным организациям мер воздействия за нарушения пруденциальных норм деятельности», что нарушает принципы справедливости наказания, его индивидуализации и соразмерности. Считает, что существенное значение имеет тот факт, что допущенные нарушения требований Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее - Закон № 115-ФЗ) были незамедлительно устранены, не создали реальную угрозу интересам клиентов и/или кредиторов (вкладчиков) Банка.

В соответствии с пунктом 2 резолютивной части предписания на банк возложена обязанность, устранить нарушения требований нормативных актов Банка России, указанные в пунктах 5 и 6 предписания. Однако заявитель считает, что указанные пункты без достаточных к тому оснований включены в предписание, в действительности нарушений со стороны банка допущено не было и как следствие замечания указанные в предписании у банка отсутствуют. Также полагает, что абзац 3 пункта 5 предписания не содержит указание на конкретные мероприятия по устранению допущенных нарушений, которые банк должен предпринять, в связи с чем, не отвечает критерию исполнимости.

Банк считает, абзац 2 пункта 6 предписания необоснованным, так как в силу пункта 2.7.1. Положения Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств» (далее - Положение № 382-П) оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной обеспечивают использование технических средств защиты информации, предназначенных для выявления вредоносного кода и для предотвращения воздействия вредоносного кода на объекты информационной инфраструктуры, на средствах вычислительной техники, включая банкоматы и платежные терминалы, при наличии технической возможности.

В соответствии с требованиями Положения № 382-П в Банке «ИТУРУП» (ООО) установлено специализированное антивирусное ПО на серверах, рабочих станциях, непосредственно с которых осуществляется направление электронных сообщений в целях перевода денежных средств, а также на рабочих станциях, на которых предоставлен доступ в сеть Интернет.Ссылаясь на пункт 2.7.1 Положения № 382-П, заявитель указал, что технические средства защиты информации должны быть установлены на средствах вычислительной техники при наличии технической возможности, что не исследовано проверкой. Предписание не содержит конкретный перечень ПЭВМ, на которых отсутствует антивирусное программное обеспечение. Рабочей группой проверки не установлено отсутствие во внутренних документах Банка «ИТУРУП» (ООО) информации, предусмотренной требованиями пункта 2.9.3. Положения № 382-П. В законодательно установленном перечне оснований для применения принудительных мер воздействия в отношении кредитной организации, который содержится в статье 74 Федерального закона от 10.07.2002 № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» и пункте 1.14 Инструкции, отсутствует такое основание, как нарушение кредитной организацией своих внутренних документов.

В судебном заседании представитель банка поддержал заявленное требование по основаниям, изложенным в заявлении, дополнении к нему и письменных возражениях на пояснения Банка России. Банк также указал на отсутствие у отделения полномочий на вынесение предписаний.

Банк России по доводам, изложенным в отзыве на заявление и письменных пояснениях, поддержанных его представителями в судебном заседании, с требованием заявителя не согласился, в его удовлетворении просил отказать. Считает предписание от 07.06.2016 № Т764-12-60/5205ДСП основанным на положениях действующего банковского законодательства и подтвержденным материалами проверки, а сумму взысканного штрафа соразмерной допущенным нарушениям. Кроме того указал, что доказательств нарушения оспариваемым предписанием прав и законных интересов банка в сфере предпринимательской и иной экономической деятельности не представлено.

В судебном заседании объявлялись перерывы до 15 часов 30.11.2016, до 15 часов 30 минут01.12.2016 и до 14 часов 02.12.2016.

Протокольным определением суда от 30.11.2016 частично удовлетворено ходатайство заявителя об истребовании у отделения приказа Дальневосточного главного управления Центрального Банка Российской Федерации от 31.08.2015 № ОДТ7-1297, судом истребована выписка из «Регламента взаимодействия структурных подразделений и отделений, отделения - национального банка Дальневосточного ГУ Банка России при подготовке (согласовании) предложений по надзорной деятельности» в части положений, регулирующих полномочия руководителя отделения по Сахалинской области по вынесению предписания, в удовлетворении остальной части ходатайства отказано.

Протокольным определением суда от 02.12.2016 отказано в удовлетворении ходатайства заявителя об истребовании у отделения письменного анализа, проведенного в соответствии с требованиями пункта 1.4 Инструкции № 59 «О применении к кредитным организациям мер воздействия», утвержденной Приказом Центрального банка Российской Федерации от 31.03.1997 № 02-139.

Заслушав участников процесса, изучив представленные доказательства, суд приходит к следующему.

Как следует из материалов дела, в период с 09.03.2016 по 29.04.2016 Инспекцией по Сахалинской области Межрегиональной инспекции по Дальневосточному федеральному округу Главной инспекции Банка России проведена тематическая проверка ООО Банк «ИТУРУП» по отдельным вопросам, в том числе по вопросу «Оценка соблюдения кредитной организацией требований законодательства Российской Федерации и нормативных актов Банка России о противодействии легализации (отмыванию) доходов, полученных преступным путем и финансированию терроризма», результаты которой оформлены актом проверки по отдельному вопросу от 28.04.2016 № АЗКИ25-18-4/6ДСП и актом проверки от 29.04.2016 № А1КИ25-18-4/7ДСП.

По результатам рассмотрения указанных актов проверки Отделением по Сахалинской областив адрес банка вынесено предписание от 07.06.2016 № Т764-12-60/5205ДСП (далее - предписание), согласно которому установлены следующие федерального законодательства Российской Федерации и нормативных актов Банка России:

- Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» в части требования о представлении в уполномоченный орган сведений об операциях, подлежащих обязательному контролю (подп. 4 п. 1 ст. 7) (3 случая; стр. 76-77. табл. 15 Акта проверки от 28.04.2016 № АЗКИ25-18-4/6ДСП) (пункт 1 предписания).

- Положения Банка России от 29.08.2008 № 321-П «О порядке представления кредитными организациями в уполномоченный орган сведений, предусмотренных Федеральным законом «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее - Положение № 321-П) в части порядка формирования записей ОЭС(отчет в виде электронного сообщения, направляемый в уполномоченный орган (п. 2.5) (4 случая; стр. 79, табл. 17 от 28.04.2016 № АЗКИ25-18-4/6ДСП) (пункт 2 предписания).

- Положения Банка России от 26.03.2004 № 254-П «О порядке формирования кредитными организациями резервов на возможные потери по ссудам, по ссудной и приравненной к ней задолженности» (далее - Положение № 254-П):

в нарушение подпункта 3.14.1 Положения № 254-П банком допущена необоснованная классификация и определение расчетного резерва на возможные потери по ссудной задолженности ООО «САС-Сервис» (ОГРН <***>) по состоянию на 01.03.2016 и 01.04.2016. вследствие оплаты платежей по договору лизинга заключенного с третьим лицом, за счет денежных средств предоставленных по кредиту в форме «овердрафт» (стр. 53-70 акта проверки от 29.04.2016 № А1КИ25-18-4/7ДСП). По состоянию на 01.05.2016 отсутствуют основания для реклассификации ссудной задолженности и доначислению резерва, в связи с погашением заемщиком ссудной задолженности по «траншам» предоставленным по кредиту в форме «овердрафт» и использованных им на уплату лизинговых платежей;

в нарушение пункта 2.3 Положения № 254-П во внутренних документах банка не определены меры по получению информации о целевом использовании кредита и планируемых источниках исполнения заемщиком обязательств по ссуде (отмечалось также в предыдущем акте проверке, стр. 39 акта проверки от 29.04.2016 № А1КИ25-18-4/7ДСП) (пункт 5 предписания);

- Положения Банка России от 09.16.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств»:

-в нарушение абзаца 2 пункта 2.7.1 Положения № 382-П на рабочих станциях, включенных в локальную вычислительную сеть банка ЛВС: на ПЭВМ сотрудников по обслуживанию клиентов банка, где происходит обработка электронных документов клиентов на перевод денежных средств, а также ПЭВМ, не имеющих доступа в сеть Интернет, отсутствуют средства защиты информации, предназначенные для выявления вредоносного кода и предотвращения его воздействия на объекты информационной инфраструктуры (антивирусное программное обеспечение). Проверка на наличие вредоносного кода на таких ПЭВМ не производилась (стр. 209 акта проверки от 29.04.2016 № А1КИ25-18-4/7ДСП) ;

в нарушение абзаца 1 пункта 2.9.3 Положения № 382-П не выполнен порядок использования средств криптографической защиты информации (не производилась внеплановая смена ключей шифрования, применяемых при обмене электронными сообщениями при переводе денежных средств в рамках платежной системы Банка России в случае увольнения сотрудника банка, имевшего доступ к ключам шифрования. Резервные носители ЭЦП хранились в металлическом сейфе в не опечатанном виде вместе с другими документами (стр. 213 акта проверки от 29.04.2016 № А1КИ25-18-4/7 ДСП) (пункт 6 предписания).

В резолютивной части предписания также содержится требование: уплатить штраф за допущенные нарушения требований Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» и нормативных актов Банка России в области ПОД/ФТ в размере 200 000 рублей в срок не позднее 30 рабочих дней со дня получения настоящего предписания (пункт 1). Устранить нарушения требований нормативных актов Банка России, указанные в пунктах 5 и 6 предписания (пункт 2).

Не согласившись с пунктами 1, 2 резолютивной части предписания, ООО Банк «ИТУРУП», обратилось в арбитражный суд с настоящим заявлением.

Согласно части 1 статьи 198 Арбитражного процессуального кодекса Российской Федерации (далее – АПК РФ) граждане, организации и иные лица вправе обратиться в арбитражный суд с заявлением о признании недействительными ненормативных правовых актов, незаконными решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц, если полагают, что оспариваемый ненормативный правовой акт, решение и действие (бездействие) не соответствуют закону или иному нормативному правовому акту и нарушают их права и законные интересы в сфере предпринимательской и иной экономической деятельности, незаконно возлагают на них какие-либо обязанности, создают иные препятствия для осуществления предпринимательской и иной экономической деятельности.

В соответствии с частью 4 статьи 200 АПК РФ, статьей 13 Гражданского кодекса Российской Федерации, пунктом 6 Постановления Пленума Верховного Суда Российской Федерации и Пленума Высшего Арбитражного Суда Российской Федерации от 01.07.1996 N 6/8 "О некоторых вопросах, связанных с применением части первой Гражданского кодекса Российской Федерации" в круг обстоятельств, подлежащих установлению при рассмотрении дел об оспаривании ненормативных актов, действий (бездействия) госорганов входят проверка соответствия оспариваемого акта закону или иному нормативному правовому акту, проверка факта нарушения оспариваемым актом действием (бездействием) прав и законных интересов заявителя.

Статьей 65 АПК РФ предусмотрено, что каждое лицо, участвующее в деле, должно доказать обстоятельства, на которые оно ссылается как на основание своих требований и возражений.

В соответствии с частью 1 и 2 статьи 56 Федерального закона от 10.07.2002 N 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» (далее - Закон N 86-ФЗ) Банк России является органом банковского регулирования и банковского надзора. Банк России осуществляет постоянный надзор за соблюдением кредитными организациями и банковскими группами законодательства Российской Федерации, нормативных актов Банка России, установленных ими обязательных нормативов и (или) установленных Банком России индивидуальных предельных значений обязательных нормативов. Банк России осуществляет анализ деятельности банковских холдингов и использует полученную информацию для целей банковского надзора за кредитными организациями и банковскими группами, входящими в банковские холдинги.

Главными целями банковского регулирования и банковского надзора являются поддержание стабильности банковской системы Российской Федерации и защита интересов вкладчиков и кредиторов. Банк России не вмешивается в оперативную деятельность кредитных организаций, за исключением случаев, предусмотренных федеральными законами.

Для осуществления функций банковского регулирования и банковского надзора Банк России проводит проверки кредитных организаций (их филиалов), направляет им обязательные для исполнения предписания об устранении выявленных в их деятельности нарушений федеральных законов, издаваемых в соответствии с ними нормативных актов Банка России и применяет предусмотренные настоящим Федеральным законом меры по отношению к нарушителям (статья 73 Закона N 86-ФЗ).

В соответствии со статьей 19 Федерального закона от 02.12.1990 N 395-1 «О банках и банковской деятельности» в случае нарушения кредитной организацией федеральных законов, нормативных актов Банка России, установленных обязательных нормативов, непредставления информации, представления неполной или недостоверной информации, либо совершения действий, создающих реальную угрозу интересам вкладчиков и кредиторов, Банк России имеет право в порядке надзора применять к такой кредитной организации меры, установленные статьей 74 Закона N 86-ФЗ.

В соответствии с подпунктом 4 пункта 1 статьи 7 Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» (далее - Закон N 115-ФЗ) организации, осуществляющие операции с денежными средствами или иным имуществом, обязаны документально фиксировать и представлять в уполномоченный орган не позднее трех рабочих дней, следующих за днем совершения операции, сведения по подлежащим обязательному контролю операциям с денежными средствами или иным имуществом, совершаемым их клиентами.

Согласно пункту 1.2 статьи 6 Закона N 115-ФЗ операция по получению некоммерческой организацией денежных средств и (или) иного имущества от иностранных государств, международных и иностранных организаций, иностранных граждан и лиц без гражданства, а равно по расходованию денежных средств и (или) иного имущества указанной организацией подлежит обязательному контролю, если сумма, на которую совершается данная операция, равна или превышает 100 000 рублей либо равна сумме в иностранной валюте, эквивалентной 100 000 рублей, или превышает ее.

29.08.2008 Центральным Банком Российской Федерации на основании статьи 7 Закона № 115-ФЗ принято Положение № 321-П, устанавливающее порядок представления кредитными организациями в уполномоченный орган сведений, предусмотренных Федеральным законом «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».

Главой 2 Положения № 321-П установлен порядок формирования и направления кредитной организацией сведений, предусмотренных Федеральным законом, в уполномоченный орган.

Согласно пункту 2.1. Положения № 321-П направление кредитной организацией в уполномоченный орган сведений, предусмотренных Федеральным законом, осуществляется в виде ОЭС через территориальное учреждение Банка России, осуществляющее надзор за деятельностью кредитной организации (далее - территориальное учреждение). Описание структуры файла ОЭС представлено в приложениях 3 и 4 к настоящему Положению (пункт 2.5 Положения № 321-П).

Судом установлено и подтверждается материалами дела, что ООО Банк «ИТУРУП» допущены нарушения приведенных требований законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма (далее –ПОД/ФТ), выразившиеся в том, что банком не направлялись в уполномоченный орган сведения по трем операциям, подлежащим обязательному контролю (код вида операции 9002), по расходованию денежных средств клиентами банка – некоммерческими организациями, если сумма, на которую совершается данная операция равна или превышает 100 000 рублей (таблица 17 акта проверки от 28.04.2016 № АЗКИ25-18-4/6ДСП); также не в полной мере соблюдалась правильность заполнения отдельных полей записей ОЭС в части отражения сведений о номере счета участника операции в обслуживающей его кредитной организации (таблица 17 акта проверки от 28.04.2016 № АЗКИ25-18-4/6ДСП).

Факт допущенных нарушений требований законодательства о ПОД/ФТ заявителем по существу не оспаривается.

Вместе с тем, заявитель не согласен и оспаривает предписание в части размера штрафа 200 000 рублей.

Статьей 74 Закона №86-ФЗ установлено, что в случаях нарушения кредитной организацией федеральных законов, издаваемых в соответствии с ними нормативных актов и предписаний Банка России, непредставления информации, представления неполной или недостоверной информации Банк России имеет право требовать от кредитной организации устранения выявленных нарушений, взыскивать штраф в размере до 0,1 процента минимального размера уставного капитала либо ограничивать проведение кредитной организацией отдельных операций на срок до шести месяцев.

Меры воздействия к кредитным организациям применяются центральным аппаратом и территориальными учреждениями Банка России в порядке, установленном Инструкцией Банка России от 31.03.1997 N 59 «О применении к кредитным организациям мер воздействия» (далее – Инструкция № 59).

Основной задачей, решаемой надзорными органами при применении мер воздействия, является регулирование деятельности кредитных организаций в целях ее приведения в соответствие с нормами и требованиями федеральных законов и Банка России. Выбор мер воздействия, применяемых к кредитным организациям в рамках, установленных федеральными законами и настоящей Инструкцией, должен определяться наиболее эффективным решением указанной задачи (пункт 1.2 Инструкции № 59).

В соответствии с пунктом 1.4 Инструкция № 59 выбор мер воздействия, если это специально не оговорено настоящей Инструкцией, производится надзорными органами самостоятельно исходя из положений Федеральных законов «О банках и банковской деятельности», «О Центральном банке Российской Федерации (Банке России)», «О несостоятельности (банкротстве) кредитных организаций», настоящей Инструкции, других нормативных актов Банка России с учетом: характера допущенных кредитной организацией нарушений; причин, обусловивших возникновение выявленных нарушений; общего финансового состояния кредитной организации, которое определяется на основании данных отчетности (бухгалтерской, финансовой, статистической), материалов проверок, оценки временной администрации по управлению кредитной организацией и аудиторских заключений, выполнения требований, установленных другими нормативными актами Банка России. Финансовое состояние кредитной организации устанавливается с учетом требований Указания Банка России от 31.03.2000 N 766-У «О критериях определения финансового состояния кредитных организаций»; положения кредитной организации на федеральном и региональном рынке банковских услуг.

В данном случае, при выборе меры воздействия к ООО Банк «ИТУРУП», Банк России учитывал следующее: неоднократность установленных фактов невыполнения кредитной организацией требований Законодательства в сфере ПОД/ФТ; характер допущенных нарушений и суммы операций, сведения о которых не были представлены в уполномоченный орган (450 000 тыс. рублей, 1 550 000 рублей, 5 700 000 рублей); длительность сроков неисполнения кредитной организацией обязанности по предоставлению в уполномоченный орган информации об операциях, подлежащих обязательному контролю, установленной подпунктом 4 пункта 1 статьи 7 Закона № 115-ФЗ (293 рабочих дня, 283 рабочих дня и 261 рабочий день); отсутствие в кредитной организации должного контроля за выполнением требований Федеральных законов и нормативных актов Банка России в сфере ПОД/ФТ.

Таким образом, действия кредитной организации, повлекшие несоблюдение требований законодательства в указанной сфере, могут создавать реальную угрозу интересам кредиторов и вкладчиков.

При таких обстоятельств, доводы банка о том, что допущенные нарушения требований Закона № 115-ФЗ были незамедлительно устранены отклоняются судом как несостоятельные.

Кроме того, исходя из пункта 2.2 Устава банка, определяющего размер уставного капитала кредитной организации, избранная мера существенно (более чем в два раза) ниже верхней границы штрафа, предусмотренной статьей 74 Закона № 86-ФЗ.

Учитывая изложенное, примененная к Банку «ИТУРУП» (ООО) за неоднократные нарушения требований Закона № 115-ФЗ и нормативного акта Банка России в сфере ПОД/ФТ (Положение № 321-П) мера надзорного реагирования в виде штрафа в размере 200 000 рублей является адекватной и соизмеримой с видами нарушений, их характером и количеству, в связи с чем, правовые основания для признания пункта 1 резолютивной части предписания от 07.06.2016 № Т764-12-60/5205ДСП недействительным отсутствуют.

Положениями пункта 2 резолютивной части оспариваемого ненормативного правового акта Банку предписано устранить нарушения требований нормативных актов Банка России, указанные в пунктах 5 и 6 предписания.

Согласно пункту 5 предписания, послужившего основанием для предъявления указанных требований, Банком России по результатам проведенной проверки установлено нарушение заявителем Положения № 254-П, определяющего порядок формирования кредитными организациями резервов на возможные потери по ссудам, по ссудной и приравненной к ней задолженности (далее - ссуды), к которым относятся денежные требования и требования, вытекающие из сделок с финансовыми инструментами, перечень которых приведен в приложении 1 к настоящему Положению, а также особенности осуществления Банком России надзора за соблюдением кредитными организациями порядка формирования резервов на возможные потери по ссудам.

Согласно пункту 2.2 Положения № 254-П оценка ссуды и определение размера расчетного резерва и резерва осуществляется кредитными организациями самостоятельно на основе профессионального суждения, за исключением случаев, когда оценка ссуды и (или) определение размера резерва производится на основании оценки Банка России в соответствии со статьей 72 Федерального закона "О Центральном банке Российской Федерации (Банке России)" и с главой 7 настоящего Положения.

В силу пункта 2.3 Положения № 254-П внутренние документы должны соответствовать требованиям настоящего Положения и иных нормативных актов по вопросам кредитной политики кредитных организаций и (или) методов ее реализации, а также содержать полный перечень существенных факторов, используемых кредитной организацией при классификации ссуд в соответствии с настоящим Положением. Состав внутренних документов определяется кредитной организацией самостоятельно с учетом требований настоящего Положения.

Кредитная организация отражает во внутренних документах, в числе прочего, критерии оценки представляемой заемщиком информации (в том числе ее полноты, актуальности, достоверности), а также меры по получению информации о заемщике, в том числе о его финансовом положении, состоянии его производственной и финансово-хозяйственной деятельности, цели, на которую ссуда предоставлена заемщику и использована им, о планируемых источниках исполнения заемщиком обязательств по ссуде и об обеспечении по ссуде.

Проверкой соответствия внутренних документов Банка требованиям нормативных актов Банка России, а также соблюдения требований внутренних документов банка установлено, что в нарушение пункта 2.3 Положения № 254-П во внутренних документах банка не определены меры по получению информации о целевом использовании кредита и планируемых источниках исполнения заемщиком обязательств по ссуде, о чем свидетельствуют установленные в ходе проверки факты отсутствия в банке документов, подтверждающих проверку целевого использования кредита и планируемых источников исполнения замщиком обязательств по ссуде (стр. 39 акта проверки от 29.04.2016 № А1КИ25-18-4/7ДСП).

Доводы банка о наличии во внутренних документах, а именно в пункте 2.9 Внутреннего положения банка № 254-П, мер по получению информации о цели, на которую ссуда предоставлена, суд находит необоснованными, поскольку, перечисленные в ней действия со стороны банка не привели к получению необходимой информации.

Также судом отклоняются доводы о том, что абзац 3 пункта 5 предписания не содержит указание на конкретные мероприятия по устранению банком допущенных нарушений, поскольку в силу приведенных норм Положения № 254-П перечень мер, являющихся достаточными для подтверждения целевого использования заемщиком полученной ссуды, определяется банком самостоятельно.

В соответствии с пунктом 3.14.1 Положения № 254-П, если с учетом порядка, установленного подпунктом 3.14.3 настоящего Положения, иное не определено уполномоченным органом управления (органом) кредитной организации, не выше чем в III категорию качества (сомнительные) классифицируются: ссуды, предоставленные заемщикам (кроме кредитных организаций) и использованные указанными заемщиками прямо или косвенно (через третьих лиц) на предоставление займов третьим лицам и погашение обязательств по возврату денежных средств, привлеченных заемщиками от третьих лиц, за исключением ссуд, предоставленных ломбардам, потребительским кооперативам, фондам поддержки малого предпринимательства, иным финансовым организациям, и использованных заемщиками на предоставление займов субъектам малого предпринимательства и физическим лицам.

Если кредитная организация классифицирует ссуды, указанные в подпунктах 3.14.1, 3.14.1.1 и 3.14.2 настоящего пункта, в более высокую категорию качества, чем III категория качества, то она обязана направить в территориальное учреждение Банка России обоснование такой классификации с учетом требований пунктов 1.7, 3.3 - 3.5, 3.7 - 3.10 настоящего Положения. Классификация ссуд, указанных в подпунктах 3.14.1, 3.14.1.1 и 3.14.2 настоящего пункта в более высокую, чем III категория качества, возможна, если финансовое положение заемщика в течение последнего завершенного и текущего года оценивается не хуже, чем среднее. Непредставление указанного обоснования, наличие недостаточного обоснования является основанием для классификации ссуды не выше, чем в III категорию качества (пункт 3.14.3 Положения № 254-П).

Как установлено материалами проверки, в нарушение подпункта 3.14.1 Положения № 254-П банком допущена необоснованная классификация во II категорию качества и определение расчетного резерва на возможные потери в размере 20% по ссудной задолженности ООО «САС-Сервис» (ОГРН <***>) по состоянию на 01.03.2016 и 01.04.2016, вследствие оплаты платежей по договору лизинга заключенного с третьим лицом, за счет денежных средств предоставленных по кредиту в форме «овердрафт» (стр. 53-70 акта проверки от 29.04.2016 № А1КИ25-18-4/7ДСП). По состоянию на 01.05.2016 отсутствуют основания для реклассификации ссудной задолженности и доначислению резерва, в связи с погашением заемщиком ссудной задолженности по «траншам» предоставленным по кредиту в форме «овердрафт» и использованных им на уплату лизинговых платежей.

Основанием для вынесения требований по устранению нарушений пункта 6 предписания, явились выявленные по результатам проверки требований к обеспечению защиты информации при осуществлении переводов денежных средств, применяемых для защиты информации от воздействия программных кодов, приводящих к нарушению штатного функционирования средств вычислительной техники, факты нарушения Положения Банка России от 09.06.2012 N 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».

Так, в соответствии с пунктом 2.7.1. Положения N 382-П оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают:

использование технических средств защиты информации, предназначенных для выявления вредоносного кода и для предотвращения воздействия вредоносного кода на объекты информационной инфраструктуры (далее - технические средства защиты информации от воздействия вредоносного кода), на средствах вычислительной техники, включая банкоматы и платежные терминалы, при наличии технической возможности;

регулярное обновление версий технических средств защиты информации от воздействия вредоносного кода и баз данных, используемых в работе технических средств защиты информации от воздействия вредоносного кода и содержащих описание вредоносных кодов и способы их обезвреживания;

функционирование технических средств защиты информации от воздействия вредоносного кода в автоматическом режиме, при наличии технической возможности.

Вместе с тем, как установлено в ходе проверки в нарушение абзаца 2 п.2.7.1 Положения № 382-П на рабочих станциях, включенных в локальную вычислительную сеть банка (далее – ЛВС): на ПЭВМ сотрудников по обслуживанию клиентов банка, где происходит обработка электронных документов клиентов на перевод денежных средств, а также ПЭВМ, не имеющих доступа в сеть Интернет, отсутствуют средства защиты информации, предназначенные для выявления вредоносного кода и предотвращения его воздействия на объекты информационной инфраструктуры (антивирусное программное обеспечение). Проверка на наличие вредоносного кода на таких ПЭВМ не производилась (стр. 209 акта проверки от 29.04.2016 № А1КИ25-18-4/7ДСП)».

При этом ссылки заявителя на то, что вся защищаемая информация в банке содержится и обрабатывается на сервере, а на ПЭВМ сотрудников по обслуживанию клиентов банка обработка электронных документов на перевод денежных средств не осуществляется, отклоняются судом в виду следующего.

Банк подтверждает, что ПЭВМ – это рабочие станции, с которых осуществляется доступ к базам данных, расположенным на серверах. В свою очередь, на последних осуществляется обработка документов на перевод денежных средств (защищаемой информации).

Таким образом, сам факт наличия доступа с незащищенных ПЭВМ к базам данных, расположенным на сервере с защищаемой информацией позволяет говорить об уязвимости информационных активов банка от воздействия вредоносного кода, поскольку защищенные на сервере информационные активы могут быть подвержены вирусной атаке со стороны незащищенных ПЭВМ, объединенных сетевым взаимодействием с сервером.

Довод заявителя об отсутствии технической возможности использования технических средств защиты информации от воздействия вредоносного кода не подтвержден материалами дала, в связи с чем, судом не принимается.

Таким образом, указание в предписании на нарушение банком требований нормативного акта Банка России в этой части является законным и обоснованным.

Пунктом 2.9.3. Положения № 382-П, установлено, что в случае применения средств криптографической защиты информации (далее - СКЗИ), оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры определяют во внутренних документах и выполняют порядок применения СКЗИ, включающий:

порядок ввода в действие, включая процедуры встраивания СКЗИ в автоматизированные системы, используемые для осуществления переводов денежных средств;

порядок эксплуатации СКЗИ;

порядок восстановления работоспособности СКЗИ в случаях сбоев и (или) отказов в их работе;

порядок внесения изменений в программное обеспечение СКЗИ и техническую документацию на СКЗИ;

порядок снятия с эксплуатации СКЗИ;

порядок управления ключевой системой;

порядок обращения с носителями криптографических ключей, включая порядок применения организационных мер защиты информации и использования технических средств защиты информации, предназначенных для предотвращения несанкционированного использования криптографических ключей, и порядок действий при смене и компрометации ключей.

Однако в ходе проведенной проверки установлено, что нарушение абзаца 1 пункта 2.9.3 Положения № 382-П оператором по переводу денежных средств, которым является Банк, не выполнен порядок использования средств криптографической защиты информации (СКЗИ), а именно, не производилась внеплановая смена ключей шифрования, применяемых при обмене электронными сообщениями при переводе денежных средств в рамках платежной системы Банка России в случае увольнения сотрудника банка, имевшего доступ к ключам шифрования; резервные носители электронных цифровых подписей (ЭЦП) хранились в металлическом сейфе в неопечатанном виде вместе с другими документами (стр. 213 акта проверки от 29.04.2016 №А1КИ25-18- 4/7 ДСП)».

Отклоняя доводы заявителя о том, то проверяющими не установлено отсутствие во внутренних документах банка предусмотренной требованиями пункта 2.9.3. Положения № 382-П информации, суд исходит из следующего.

Как следует из акта проверки от 29.04.2016 №А1КИ25-18-4/7ДСП внутренний документ банка, в котором изложен порядок применения СКЗИ, - «Частная политика по обеспечению информационной безопасности при использовании СКЗИ» во время проверки исследован и к его содержанию претензии со стороны проверяющих отсутствовали. Проверкой выявлено неисполнение пункта 29 «Частной политики по обеспечению информационной безопасности при использовании СКЗИ», а именно: нарушение порядка использования ключа ЭЦП СКЗИ Сигнатура, предназначенного для обмена электронными сообщениями с Банком России, в части неосуществления внеплановой смены ключа ЭЦП СКЗИ Сигнатура в связи с увольнением сотрудника, что является нарушением требований пунктом 2.9.3 Положения № 382-П, которым установлена обязанность банка по выполнению внутренних документов, регламентирующих использование средств криптографической защиты информации.

Также пунктом 4.3 Приложения 6 к Договору «Об обмене электронными сообщениями при переводе денежных средств в рамках платежной системы Банка России» от 01.11.2013, заключенному между Банком «ИТУРУП» (ООО) и Банком России, предусмотрена внеплановая смена ключа в случае увольнения или прекращения полномочий работника по доступу к закрытому ключу аутентификации (электронной подписи) (КА (ЭП)) и шифрования.

Кроме того, проверкой установлен факт несоблюдения порядка хранения носителей ЭЦП, а также их резервных копий, предусмотренного пунктом 24 «Частной политики по обеспечению информационной безопасности при использовании СКЗИ» в части хранения резервных носителей ЭЦП в металлическом сейфе в неопечатанном виде вместе с другими документами, что также является нарушением п. 2.9.3. Положения № 382-П.

С учетом изложенного, поскольку в ходе проверки в деятельности банка выявлены нарушения требований Положения № 382-П, что подтверждается актом проверки, оспариваемое предписание в этой части также соответствует закону.

Проверив полномочия Отделения по Сахалинской области Дальневосточного главного управления Центрального Банка Российской Федерации на выдачу предписания от 07.06.2016 № Т764-12-60/5205ДСП, суд приходит к следующему.

Согласно статье 86 Закона N 86-ФЗ в систему Банка России входят центральный аппарат, территориальные учреждения, расчетно-кассовые центры, вычислительные центры, полевые учреждения, образовательные и другие организации, в том числе подразделения безопасности и Российское объединение инкассации, которые необходимы для осуществления деятельности Банка России.

Правовой статус территориальных учреждений Банка России, их задачи и функции определены в «Положении о территориальных учреждениях Банка России» от 11.04.2016№ 538-П (далее - Положение № 538).

Исходя из пункта 1.3 Положения № 538 территориальными учреждениями являются главные управления Центрального банка Российской Федерации, отделения Центрального банка Российской Федерации, отделения и отделения - национальные банки главных управлений Центрального банка Российской Федерации, за исключением отделений Главного управления Центрального банка Российской Федерации по Центральному федеральному округу г. Москва, расположенных в городе Москве.

Отделение - обособленное подразделение Банка России, действующее в составе главного управления Центрального банка Российской Федерации и осуществляющее часть функций Банка России на территории субъекта (субъектов) Российской Федерации.

Согласно пункту 2.2. Положения № 538-П Отделение возглавляет управляющий Отделением, который назначается на должность и освобождается от должности приказом Банка России.

Управляющей Отделением осуществляет общее руководство деятельностью Отделения, обеспечивает выполнение задач и функций, возложенных на Отделение; действует от имени Банка России на основании настоящего Положения и доверенности, выдаваемой в порядке, установленном Банком России.

Так, пунктом 2.4.10 Положения № 538-П установлено, что руководитель территориального учреждения в соответствии с законодательством Российской Федерации, нормативными и иными актами Банка России осуществляет работу по надзору и контролю за деятельностью кредитных организаций (их филиалов), банковских групп, некредитных финансовых организаций, эмитентов, иных участников корпоративных отношений, субъектов национальной платежной системы. В целях реализации функций территориального учреждения руководитель подписывает документы, направляемые в адрес указанных, а также иных организаций и лиц.

В силу пунктов 9.1, 9.1.1, 9.2 Положения № 538-П Отделение принимает участие в осуществлении надзора за кредитными организациями в порядке, определенном нормативными и иными актами Банка России и организационно-распорядительными документами Главного управления, изданными в рамках его компетенции, в том числе: контролирует соблюдение кредитными организациями (их филиалами), банковскими группами законодательства Российской Федерации, нормативных актов Банка России, определяет виды и интенсивность надзорных мероприятий в отношении кредитных организаций и банковских групп, применяет к кредитным организациям меры, предусмотренные законодательством Российской Федерации. Осуществляет контроль за ходом исполнения кредитными организациями требований и предписаний Банка России в рамках применения мер и отменяет примененные меры.

В рассматриваемом случае, Отделение по Сахалинской области (Отделение Южно-Сахалинска) является территориальным учреждением Банка России, действующим в составе Дальневосточного главного управления Центрального банка Российской Федерации на территории Сахалинской области.

Приказом Дальневосточного главного управления Центрального банка Российской Федерации от 31.08.2015 № ОДТ7-1297 введен в действие «Регламент взаимодействия структурных подразделений и отделений, отделения-национального банка Дальневосточного ГУ Банка России при подготовке (согласовании) предложений по надзорной деятельности», согласно пункту 1.5. которого, управляющий отделением является лицом, уполномоченным принимать решение о применении мер воздействия к кредитным организациям.

На основании изложенного, принятие решения о применении мер воздействия в отношении поднадзорной кредитной организации Банка «ИТУРУП» (ООО) и вынесение предписания от 07.06.2016 № Т764-12- 60/5205ДСП, осуществлено управляющим Отделением ФИО4 в пределах полномочий, предоставленных ему действующими в указанный период нормативным актом Банка России, а также организационно распорядительным актом Дальневосточного ГУ Банка России, в связи с чем, довод банка об обратном, суд признает необоснованным.

Отклоняя довод заявителя о том, что при вынесении оспариваемого предписания Банком России допущены процессуальные нарушения порядка привлечения к ответственности, установленного нормами Кодекса Российской Федерации об административных правонарушениях (далее – КоАП РФ), судом учтено следующее.

В соответствии со статьей 62 Закона № 86-ФЗ Банк России в целях обеспечения устойчивости кредитных организаций наделен правом устанавливать для кредитных организаций обязательные нормативы.

Банк России в целях регулирования (ограничения) принимаемых банками рисков устанавливает числовые значения и методику расчета обязательных нормативов кредитных организаций, а также порядок осуществления Банком России надзора за их соблюдением в Инструкции Банка России от 03.12.2012 N 139-И "Об обязательных нормативах банков", Инструкции Банка России от 26.04.2006 N 129-И "О банковских операциях и других сделках расчетных небанковских кредитных организаций, обязательных нормативах расчетных небанковских кредитных организаций и особенностях осуществления Банком России надзора за их соблюдением" и других нормативных актах.

Согласно статье 13 Закона N 115-ФЗ нарушение организациями, осуществляющими операции с денежными средствами или иным имуществом и действующими на основании лицензии, требований, предусмотренных статьями 6 и 7 настоящего Федерального закона, за исключением пункта 3 статьи 7 настоящего Федерального закона, может повлечь отзыв (аннулирование) лицензии в порядке, предусмотренном законодательством Российской Федерации.

Лица, виновные в нарушении настоящего Федерального закона, несут административную, гражданскую и уголовную ответственность в соответствии с законодательством Российской Федерации. Если иное не установлено законом, к кредитным организациям, нарушившим настоящий Федеральный закон, применяются меры, предусмотренные Законом № 86-ФЗ.

Таким образом, статьей 74 Закона № 86-ФЗ установлены принудительные меры воздействия, которые являются особыми мерами административной ответственности со специальным порядком их применения, отличным от административных процедур.

Порядок применения Банком России мер имеет особенности и зависит от вида меры, применяемой в конкретном случае. Ключевым моментом порядка применения Банком России мер, предусмотренного банковским законодательством, является его самостоятельный характер по отношению к административным процедурам, предусмотренным КоАП РФ.

Кроме того, в отличие от процедуры, предусмотренной КоАП РФ, нарушение в деятельности кредитной организации выявляется Банком России и фиксируется с помощью акта обнаружения нарушения (акта инспекционной проверки), а не протокола административного правонарушения.

Меры принуждения, предусмотренные статьей 74 Закона № 86-ФЗ, в рассматриваемом случае - штраф в размере 200 000 рублей, полномочиями на применение которых обладает Банк России, не связано с наказанием. В данном случае такая мера осуществляется для предупреждения нарушения прав и законных интересов неопределенного круга лиц или пресечения правонарушений.

Порядок применения мер пресечения не может совпадать с порядком применения мер наказания: предупреждение и пресечение необходимо осуществлять тогда, когда возможно либо предотвратить ущерб, либо его уменьшить в случае совершения правонарушения.

В этой связи порядок выявления и фиксации мер пресечения Банком России на основании банковского законодательства не совпадает с административным порядком КоАП РФ.

Процедура применения Банком России мер по общему правилу состоит из следующих элементов: 1) выявление и фиксация выявленного нарушения; 2) принятие решения уполномоченным должностным лицом Банка России о применении меры; 3) оформление примененной меры и доведение до сведения кредитной организации и иных лиц информации о применении меры; 4) исполнение кредитной организацией и (или) иными лицами меры; 5) контроль за исполнением (соблюдением) со стороны Банка России; 6) отмена примененной меры.

В зависимости от способа выявления нарушения осуществляется фиксация факта нарушения: в первом случае документом, фиксирующим такой факт, является акт инспекционной проверки (докладная записка по итогам инспекционной проверки), во втором - акт об обнаружении нарушения.

Кроме того, документами, фиксирующими факт нарушения в деятельности кредитной организации, могут выступать: справка уполномоченного представителя Банка России, назначенного в кредитную организацию в соответствии со статьей 76 Закона № 86-ФЗ, заключение куратора кредитной организации и иные документы.

Далее указанные документы, фиксирующие факты нарушений, выявленные в деятельности кредитной организации, направляются уполномоченному лицу Банка России для принятия решения о выборе и применении конкретной меры на основании профессионального суждения.

При выборе такой меры в соответствии с Инструкцией N 59 следует учитывать характер допущенных кредитной организацией нарушений; причины, обусловившие возникновение выявленных нарушений; общее финансовое состояние кредитной организации и иные факторы, которые могут оказать влияние на принятие решения о выборе и применении меры.

После выбора и принятия решения о применении меры оформляется предписание Банка России.

Предписание согласно приложению к Инструкции N 59 - это документ, направляемый кредитной организации, в котором надзорный орган со ссылкой на конкретные положения федеральных законов, нормативных актов Банка России констатирует выявленные нарушения (недостатки) в деятельности кредитной организации, указывает срок для их устранения, а также конкретные принудительные меры воздействия, применяемые к кредитной организации.

Предписание является ненормативным актом Банка России, обязательным для выполнения всеми лицами, которым он адресован.

Исполнение предписания контролируется надзорным органом, в том числе посредством анализа отчетности кредитной организации.

При этом невыполнение предписания Банка России является самостоятельным основанием для применения иных более жестких мер Банком России (часть вторая статьи 74 Закона № 86-ФЗ).

В случае выполнения кредитной организацией всех требований предписания Банка России и отсутствия оснований для продления действия меры или введения иных мер Банк России отменяет ранее введенную меру, оформляет такое решение в виде предписания и доводит его до сведения кредитной организации или иных лиц.

На основании изложенного, суд приходит к выводу, что применение к спорным отношениям норм КоАП РФ, регламентирующих порядок и процедуру, сроки привлечения к административной ответственности, необоснованно. В связи с чем, доводы заявителя в указанной части отклоняются, поскольку основаны на неверном толковании норм действующего законодательства.

Оценив, в соответствии со статьями 67, 68, 71 АПК РФ, имеющиеся в материалах дела документы, суд приходит к выводу о том, что предписание от 07.06.2016 № Т764-12-60/5205ДСП соответствует закону и не нарушает прав и законных интересов кредитной организации.

При таких обстоятельствах совокупность двух условий, необходимых для принятия судом решения о признании недействительным оспариваемого предписания, в рассматриваемой ситуации отсутствует.

Остальные доводы заявителя судом отклоняются, как основанные на ошибочном применении норм права, в связи с чем, они правового значения не имеют и на исход дела не влияют.

В соответствии с частью 3 статьи 201 АПК РФ в случае, если арбитражный суд установит, что оспариваемый ненормативный правовой акт, решения и действия (бездействие) органов, осуществляющих публичные полномочия, должностных лиц соответствуют закону или иному нормативному правовому акту и не нарушают права и законные интересы заявителя, суд принимает решение об отказе в удовлетворении заявленного требования.

При таких обстоятельствах суд отказывает банку в удовлетворении заявленного требования.

Руководствуясь статьями 167-170, 176, 201 Арбитражного процессуального кодекса Российской Федерации, суд

РЕШИЛ:

В удовлетворении требования общества с ограниченной ответственностью Банк «ИТУРУП» о признании недействительным предписания от 07.06.2016 № Т764-12-60/5205ДСП в части пунктов 1, 2 резолютивной части, вынесенного Отделением по Сахалинской области Дальневосточного главного управления Центрального Банка Российской Федерации, отказать полностью.

Решение может быть обжаловано в месячный срок со дня его принятия в Пятый арбитражный апелляционный суд через Арбитражный суд Сахалинской области.

Судья В.С. Орифова