System raportowania wynikający z rozporządzenia DORA (Digital Operational Resilience Act) coraz mocniej wchodzi w codzienną praktykę podmiotów rynku finansowego. Jednym z obecnych obowiązków sprawozdawczych jest formularz SPR-PF-18, którego termin złożenia upływa 18 marca 2026 r. w systemie raportowym KNF.
Obowiązek ten dotyczy m.in. biur usług płatniczych (BUP) oraz innych podmiotów nadzorowanych korzystających z usług ICT wspierających ich działalność.
Drugie roczne sprawozdanie w cyklu DORA
Dla wielu podmiotów będzie to już drugie roczne sprawozdanie tego typu. Pierwszy raport dotyczący powiązań z dostawcami ICT był składany w kwietniu 2025 r. W praktyce oznacza to, że KNF zaczyna dysponować danymi porównawczymi z kolejnych lat, co znacząco zwiększa możliwości analizy ryzyka technologicznego w sektorze.
O ile pierwsza edycja raportu była dla wielu instytucji etapem budowania mapy dostawców, o tyle obecne sprawozdanie ma już charakter aktualizacyjny i kontrolny.
Czego dotyczy SPR-PF-18
Sprawozdanie koncentruje się na powiązaniach z dostawcami usług ICT oraz na strukturze technologicznej wspierającej działalność podmiotu finansowego.
Raport obejmuje w szczególności:
- identyfikację dostawców usług ICT wykorzystywanych przez podmiot
- powiązania między usługami ICT a funkcjami biznesowymi instytucji
- wskazanie usług ICT wspierających funkcje krytyczne lub istotne
- strukturę zależności technologicznych pomiędzy systemami i usługami
- lokalizację i charakter usług świadczonych przez dostawców
- informacje pozwalające na budowę mapy zależności ICT
W praktyce jest to mapa technologicznego zaplecza instytucji finansowej – pokazująca, które systemy, firmy i rozwiązania technologiczne są kluczowe dla funkcjonowania podmiotu.
Dlaczego regulator wymaga tej mapy
Z punktu widzenia nadzoru finansowego kluczowe jest zrozumienie, jak bardzo instytucje finansowe są uzależnione od dostawców technologii. W ostatnich latach wiele funkcji operacyjnych przeniosło się do chmury, systemów SaaS czy outsourcingu IT.
DORA wprowadza więc mechanizm, który pozwala regulatorowi:
- identyfikować koncentrację usług ICT w sektorze
- oceniać ryzyko zależności od konkretnych dostawców
- analizować wpływ potencjalnych awarii technologicznych na stabilność rynku finansowego
Dla dużych instytucji jest to element rozbudowanego zarządzania ryzykiem ICT. W przypadku biur usług płatniczych, które są zazwyczaj mikroprzedsiębiorstwami, raport ma charakter uproszczony, ale jego logika pozostaje taka sama.
Wyzwanie dla małych podmiotów
Dla wielu BUP-ów przygotowanie sprawozdania SPR-PF-18 nie jest trudne merytorycznie, ale wymaga uporządkowania informacji o systemach, usługach i dostawcach ICT.
W praktyce oznacza to konieczność odpowiedzi na kilka podstawowych pytań:
- z jakich systemów korzysta biuro usług płatniczych
- kto jest ich dostawcą
- które z nich wspierają kluczowe procesy działalności
- jakie istnieją zależności technologiczne pomiędzy usługami
Wbrew pozorom wiele małych organizacji dopiero w trakcie przygotowywania raportu odkrywa, że nie posiada spójnej mapy swojego środowiska ICT.
Sprawozdawczość DORA jako stały element działalności
Rok 2026 pokazuje wyraźnie, że raportowanie w ramach DORA przestało być jednorazowym projektem wdrożeniowym. Staje się cyklicznym obowiązkiem regulacyjnym, który będzie powtarzał się każdego roku i będzie coraz bardziej powiązany z innymi raportami dotyczącymi ryzyka ICT.
Dlatego najrozsądniejszym podejściem jest nie traktowanie każdego sprawozdania oddzielnie, lecz zbudowanie spójnej dokumentacji ICT, z której dane można łatwo przenosić do kolejnych raportów.
Wsparcie dla biur usług płatniczych
Jeżeli prowadzisz biuro usług płatniczych i przygotowujesz się do złożenia SPR-PF-18, warto upewnić się, że Twoja dokumentacja DORA, mapa dostawców ICT oraz procedury zarządzania ryzykiem są ze sobą spójne.
W MILAMEDIA wspieramy biura usług płatniczych w przygotowaniu procedur DORA, map dostawców ICT oraz w przygotowaniu sprawozdań do KNF. Jeśli potrzebujesz uporządkować dokumentację lub przygotować się do raportowania, zapraszamy do kontaktu. Dzięki temu kolejne obowiązki sprawozdawcze nie będą już stresującym wyzwaniem, lecz rutynowym elementem zarządzania organizacją.
