Del VI — Driftskontinuitet

Der bør være en formel opfølgning på alle revisionsanbefalinger på det relevante ledelsesniveau, så det sikres, at der findes en effektiv og rettidig løsning, der rapporteres om.

Institutterne bør udarbejde en forsvarlig kontinuitets- og katastrofeplan, som sikrer, at de kan videreføre driften og begrænse deres tab i tilfælde af alvorlige driftsforstyrrelser.

Institutterne kan oprette en særlig uafhængig beredskabsfunktion, f.eks. som en del af risikostyringsfunktionen⁴¹ .

⁴¹ Jf. også artikel 312 i forordning (EU) nr. 575/2013.

Et instituts drift hviler på flere kritiske ressourcer (f.eks. IT-systemer, herunder cloudtjenester, kommunikationssystemer, nøglemedarbejdere og bygninger). Formålet med håndtering af driftskontinuitet er at begrænse de operationelle, finansielle, juridiske, omdømmemæssige og andre væsentlige konsekvenser af en ulykke eller en længerevarende afbrydelse af disse ressourcer og deraf følgende afbrydelse af instituttets almindelige driftsprocedurer. Andre risikostyringsforanstaltninger kunne have til formål at reducere sandsynligheden for sådanne hændelser eller at overføre de finansielle konsekvenser heraf til tredjeparter (f.eks. via forsikring).

For at oprette en forsvarlig beredskabsplan bør et institut nøje analysere risikofaktorer for og sin eksponering for alvorlige driftsforstyrrelser og vurdere (kvantitativt og kvalitativt) deres potentielle virkning ved hjælp af interne og/eller eksterne data og scenarieanalyse. Denne analyse bør omfatte alle forretningsområder og interne enheder, herunder risikostyringsfunktionen, og tage hensyn til deres indbyrdes afhængighed. Resultaterne af analysen bør bidrage til at definere instituttets prioriteter og målsætninger for genoprettelsen.

Instituttet bør på grundlag af ovennævnte analyse udarbejde følgende:

• a. beredskabs- og kontinuitetsplaner, som sikrer, at instituttet reagerer hensigtsmæssigt på nødsituationer og kan opretholde sine vigtigste driftsfunktioner, hvis der sker en afbrydelse af dets normale driftsprocedurer, og
• b. katastrofeplaner for kritiske ressourcer, der skal sætte instituttet i stand til at vende tilbage til almindelige driftsprocedurer inden for en passende tidsfrist. Enhver restrisiko som følge af potentielle driftsforstyrrelser bør være forenelig med instituttets risikoappetit.