Artikel 20 Operationelles Risiko

(1)   Ein SIPS-Betreiber schafft einen soliden Rahmen, der angemessene Systeme, Grundsätze, Verfahren und Kontrollen zur Erkennung, Überwachung und Steuerung des operationellen Risikos vorsieht.

(2)   Ein SIPS-Betreiber überprüft, untersucht und prüft Systeme, betriebliche Vorgaben, Verfahren und Kontrollen in regelmäßigen Abständen und nach erheblichen Änderungen am System.

(3)   Ein SIPS-Betreiber legt Zielvorgaben und Grundsätze in Bezug auf das Leistungsniveau und die Zuverlässigkeit des Betriebs fest, die geeignet sind, diese Ziele zu erreichen. Er überprüft die Zielvorgaben und Grundsätze mindestens einmal jährlich.

(4)   Ein SIPS-Betreiber stellt sicher, dass ein SIPS jederzeit über eine skalierbare Kapazität zur Bewältigung einer aufgrund von Stressereignissen eintretenden Erhöhung der Zahlungsvolumen verfügt und dass er in der Lage ist, seine Zielvorgaben in Bezug auf das Leistungsniveau zu erfüllen.

(5)   Ein SIPS-Betreiber führt umfassende Richtlinien für die physische Sicherheit und die Sicherheit der Informations- und Kommunikationstechnologie (IKT) sowie umfassende Verfahren und Systemrichtlinien und robuste Informationssysteme zur angemessenen Erkennung, Bewertung und Behebung aller möglichen Schwachstellen, Bedrohungen, Vorfälle und Risiken in einer IKT-Umgebung ein. Er überprüft die Richtlinien mindestens einmal jährlich.

(6)   Ein SIPS-Betreiber legt einen Notfallplan für Ereignisse fest, die mit einer erheblichen Gefahr einer Störung der Geschäfte des SIPS verbunden sind. Der Plan sieht die Nutzung eines sekundären Standorts vor und ist darauf ausgelegt, sicherzustellen, dass die kritischen informationstechnischen Systeme ihren Betrieb innerhalb von zwei Stunden nach diesen Ereignissen wieder aufnehmen können. Der Plan ist so zu gestalten, dass das SIPS jederzeit in der Lage ist, alle bis zum Ende des Geschäftstages, an dem die Störung eintritt, fällig werdenden Zahlungen abzuwickeln. Der SIPS-Betreiber testet den Plan und überprüft ihn mindestens einmal jährlich.

(7)   Ein SIPS-Betreiber ermittelt wichtige Teilnehmer — insbesondere auf der Grundlage des Volumens und Wertes der Zahlungen sowie möglicher Auswirkungen, die sie auf andere Teilnehmer und das SIPS insgesamt haben — wenn bei den genannten wichtigen Teilnehmern ein bedeutendes operationelles Problem auftritt.

(8)   Ein SIPS-Betreiber erkennt, überwacht und steuert die Risiken, die wichtige Teilnehmer, andere FMIs sowie Dienstleister und Versorgungsunternehmen für Geschäfte des SIPS darstellen können.

(9)   Für die Zwecke dieses Artikels schließen Bezugnahmen auf „Risiko“ auch die in den Artikeln 21 und 22 genannten Risiken ein.