Член 20 Операционен риск

1.   Операторът на СВПС създава солидна рамка с подходящи системи, политики, процедури и механизми за контрол за идентифициране, наблюдение и управление на операционния риск.

2.   Периодично и след значителни промени операторът на СВПС е длъжен да направи преглед, одит и тестове на системите, оперативните политики, процедурите и механизми за контрол.

3.   Операторът на СВПС определя цели за ниво на обслужване и за оперативна надеждност и определя политики, предназначени за постигането на тези цели. Той прави преглед на целите и политиките най-малкото веднъж годишно.

4.   Операторът на СВПС гарантира, че във всеки един момент СВПС разполага с широкомащабен капацитет, за да се справя с повишения в обемите на плащанията, които настъпват в резултат на стресови събития, и че може да постигне целите си за ниво на обслужване.

5.   Операторът на СВПС създава всеобхватни политики, процеси и системни политики, свързани с физическата сигурност и сигурността на информационните и комуникационните технологии (ИКТ), както и устойчиви информационни системи, които идентифицират, оценяват и управляват по подходящ начин всички потенциални уязвимости, заплахи, инциденти и рискове в ИКТ среда. Той прави преглед на политиките най-малкото веднъж годишно.

6.   Операторът на СВПС изготвя план за непрекъснатост на дейността, в който се обръща внимание на събитията, пораждащи значителен риск от нарушаване на операциите на СВПС. Планът включва използването на второ местоположение и е предназначен да гарантира, че критичните информационни системи могат да възобновят дейността си в рамките на два часа от тези събития. Планът трябва да бъде изготвен така, че СВПС винаги да може да извърши сетълмент на всички дължими плащания до края на работния ден, в който е възникнало нарушението. Операторът на СВПС тества и прави преглед на плана най-малкото веднъж годишно.

7.   Операторът на СВПС определя критичните участници на базата по-специално на обемите и стойностите на плащанията и на потенциалното им въздействие върху другите участници и върху СВПС като цяло, в случай на съществен оперативен проблем, засягащ тези участници.

8.   Операторът на СВПС идентифицира, наблюдава и управлява рисковете, които критичните участници, другите ИФП и доставчиците на комунални и други услуги биха могли да породят за операциите на СВПС.

9.   За целите на настоящия член понятието за риск включва рисковете, посочени в членове 21 и 22.