Artikel 20 Operationel risiko

1.   En operatør af et systemisk vigtigt betalingssystem skal fastsætte robuste rammer, der indeholder passende systemer, politikker, procedurer og kontroller til at identificere, overvåge og styre operationelle risici.

2.   En operatør af et systemisk vigtigt betalingssystem skal regelmæssigt og efter betydelige ændringer gennemgå, revidere og teste systemerne samt de driftsmæssige politikker, procedurer og kontrolforanstaltninger.

3.   En operatør af et systemisk vigtigt betalingssystem skal fastsætte målsætninger for tjenesteniveauer og operationel pålidelighed samt politikker udformet til at nå disse målsætninger. Operatøren skal revidere målsætningerne og politikkerne mindst én gang om året.

4.   En operatør af et systemisk vigtigt betalingssystem skal sikre, at et systemisk vigtigt betalingssystem til enhver tid har en skalerbar kapacitet til at håndtere et øget betalingsvolumen som følge af stresssituationer, og at denne kan opnå sine målsætninger for tjenesteniveauet.

5.   En operatør af et systemisk vigtigt betalingssystem skal fastlægge omfattende politikker for fysisk sikkerhed og informations- og kommunikationsteknologisk (IKT) sikkerhed, processer og systempolitikker samt modstandsdygtige informationssystemer, der i tilstrækkelig grad identificerer, vurderer og håndterer alle potentielle sårbarheder, trusler, hændelser og risici i et ICT-miljø. Operatøren skal revidere politikkerne mindst én gang om året.

6.   En operatør af et systemisk vigtigt betalingssystem skal fastlægge en forretningskontinuitetsplan til imødegåelse af situationer, der udgør en væsentlig risiko for forstyrrelser i det systemisk vigtige betalingssystems operationer. Denne plan skal omfatte anvendelsen af et sekundært afviklingssted og skal udformes for at sikre, at kritiske informationsteknologisystemer kan genoptage operationer senest to timer efter de pågældende situationer er indtruffet. Planen skal udformes således, at det systemisk vigtige betalingssystem altid er i stand til at afvikle alle betalinger, der forfalder ved udgangen af den forretningsdag, hvor forstyrrelsen er indtrådt. Operatøren af det systemisk vigtige betalingssystem skal teste planen og revidere den mindst én gang om året.

7.   En operatør af et systemisk vigtigt betalingssystem skal identificere kritiske deltagere, baseret navnlig på betalingsvolumen og -værdi og disses potentielle virkning på andre deltagere og på det systemisk vigtige betalingssystem som helhed, i tilfælde af at deltagerne oplever et væsentligt operationelt problem.

8.   En operatør af et systemisk vigtigt betalingssystem skal identificere, overvåge og styre de risici, som kritiske deltagere, andre finansielle markedsinfrastrukturer, samt tjeneste- og serviceudbydere kan udgøre for det systemisk vigtige betalingssystems operationer.

9.   I denne artikel omfatter henvisninger til »risici« de risici, der er anført i artikel 21 og 22.