Del VI – Forretningskontinuitet

Investeringsselskaberne bør udarbejde en forsvarlig kontinuitets- og genopretningsplan, som sikrer, at de kan videreføre driften og begrænse deres tab i tilfælde af alvorlige driftsforstyrrelser.

Investeringsselskaberne kan oprette en specifik uafhængig forretningskontinuitetsfunktion.

Et investeringsselskabs drift hviler på flere kritiske ressourcer, f.eks. IT-systemer, herunder cloudtjenester, kommunikationssystemer, nøglemedarbejdere og bygninger. Formålet med håndtering af forretningskontinuitet er at begrænse de operationelle, finansielle, juridiske, omdømmemæssige og andre væsentlige konsekvenser af en ulykke eller en længerevarende afbrydelse af disse ressourcer og deraf følgende afbrydelse af investeringsselskabets almindelige forretningsprocedurer. Andre risikostyringsforanstaltninger kunne have til formål at reducere sandsynligheden for sådanne hændelser eller at overføre de finansielle konsekvenser heraf til tredjeparter, f.eks. via forsikring.

For at oprette en forsvarlig plan for forretningskontinuitetsstyring bør et investeringsselskab nøje analysere risikofaktorer for og sin eksponering for alvorlige driftsforstyrrelser og (kvantitativt og kvalitativt) vurdere deres potentielle virkning ved hjælp af interne og/eller eksterne data og scenarieanalyse. Denne analyse bør omfatte alle forretningsområder og interne enheder, herunder risikostyringsfunktionen eller risikostyringsprocedurer, og tage hensyn til deres indbyrdes afhængighed. Resultaterne af analysen bør bidrage til at definere investeringsselskabets prioriteter og målsætninger for genoprettelsen.

Investeringsselskabet bør på grundlag af ovennævnte analyse udarbejde følgende:

• a. beredskabs- og forretningskontinuitetsplaner, som sikrer, at investeringsselskabet reagerer hensigtsmæssigt på nødsituationer og kan opretholde sine vigtigste driftsfunktioner, hvis der sker en afbrydelse af dets normale driftsprocedurer, og
• b. genopretningsplaner for kritiske ressourcer, der skal sætte investeringsselskabet i stand til at vende tilbage til almindelige driftsprocedurer inden for en passende tidsfrist. Enhver restrisiko som følge af potentielle forretningsforstyrrelser bør ligge inden for investeringsselskabets risikoappetit.

Beredskabs-, forretningskontinuitets- og genopretningsplaner bør dokumenteres og implementeres omhyggeligt. Dokumentationen bør være tilgængelig i forretningsområderne, de interne enheder og risikostyringsfunktionen for medarbejdere med ansvar for risikostyringsprocedurer og bør gemmes på systemer, der er fysisk adskilt og let tilgængelige i tilfælde af en nødsituation. Der bør tilbydes relevant uddannelse. Planerne bør afprøves og ajourføres regelmæssigt. Ethvert problem eller enhver fejl, der opstår under afprøvningerne, bør dokumenteres og analyseres, og planerne bør revideres i overensstemmelse hermed.