Hlava VI – Řízení kontinuity výkonu činnosti

Instituce by měly zavést řádný plán řízení kontinuity výkonu činnosti a obnovy činnosti s cílem zajistit svou schopnost provozovat dále činnost a omezit ztráty v případě vážného přerušení obchodní činnosti.

Instituce by měly zřídit zvláštní nezávislou funkci kontinuity výkonu činnosti, např. v rámci funkce řízení rizik⁴¹ .

⁴¹ Viz rovněž článek 312 nařízení (EU) č. 575/2013.

Podnikání instituce se opírá o několik kritických zdrojů (např. informační systémy, včetně cloudových služeb, komunikační systémy, základní personál a budovy). Účelem řízení kontinuity výkonu činnosti je snížit provozní, finanční a právní důsledky, důsledky pro pověst instituce a ostatní podstatné důsledky vyplývající z katastrofické události nebo déle trvajícího přerušení těchto zdrojů a následného narušení běžných provozních postupů instituce. Ostatní opatření v oblasti řízení rizik mohou být určena ke snížení pravděpodobnosti takových incidentů nebo přenesení jejich finančního dopadu (např. prostřednictvím pojištění) na třetí strany.

Aby zavedla řádný plán řízení kontinuity výkonu činnosti, měla by instituce pečlivě analyzovat svou expozici vůči závažným narušením provozu a rizikové faktory narušení provozu a posoudit (kvantitativně a kvalitativně) jejich možný dopad pomocí analýzy interních a/nebo externích dat a scénářů. Tato analýza by měla zahrnout všechny linie podnikání a interní útvary, včetně funkce řízení rizik, a zohlednit jejich vzájemnou závislost. Výsledky analýzy by měly přispět k definování priorit a cílů instituce pro obnovu.

Na základě výše uvedené analýzy by instituce měla zavést:

• a. pohotovostní plány a plány kontinuity výkonu činnosti pro zajištění toho, aby instituce vhodně reagovala na mimořádné události a byla schopna zachovat své nejdůležitější provozní činnosti, pokud dojde k narušení jejích obvyklých provozních postupů, a
• b. plány obnovy kritických zdrojů, aby se instituce v přiměřeném časovém rámci mohla vrátit k běžným provozním postupům. Jakékoli zbytkové riziko potenciálních narušení provozu by mělo být v souladu s ochotou instituce podstupovat riziko.

Pohotovostní plány, plány kontinuity výkonu činnosti a plány obnovy by měly být dokumentovány a pečlivě prováděny. Dokumentace by měla být k dispozici v liniích podnikání, interních útvarech a ve funkci řízení rizik a měla by být uložena v systémech, které budou fyzicky odděleny a v případě mimořádné události budou okamžitě přístupné. Měla by být zajištěna odpovídající odborná příprava. Plány by měly být pravidelně testovány a aktualizovány. Veškeré problémy nebo selhání, k nimž v testech dojde, by měly být dokumentovány a analyzovány a plány by měly být odpovídajícím způsobem upraveny.