22 Λειτουργία εσωτερικής επιθεώρησης

Όλες οι συστάσεις στο πλαίσιο της επιθεώρησης θα πρέπει να υπόκεινται σε επίσημη διαδικασία παρακολούθησης από τα κατάλληλα επίπεδα διοίκησης, προκειμένου να διασφαλίζεται η αποτελεσματική και έγκαιρη υλοποίησή τους και να υποβάλλονται σχετικές αναφορές.

Τα ιδρύματα θα πρέπει να καταρτίζουν σχέδιο χρηστής διαχείρισης της επιχειρησιακής συνέχειας και ανάκαμψης, προκειμένου να διασφαλίζεται η αδιάλειπτη λειτουργία τους και να περιορίζονται οι ζημίες σε περίπτωση σημαντικής διακοπής της επιχειρησιακής λειτουργίας.

Τα ιδρύματα δύνανται να συγκροτούν ειδική ανεξάρτητη λειτουργία επιχειρησιακής συνέχειας, π.χ. στο πλαίσιο της λειτουργίας διαχείρισης κινδύνων⁴¹ .

⁴¹ Βλ. επίσης το άρθρο 312 του κανονισμού (ΕΕ) αριθ. 575/2013.

Η επιχειρηματική δραστηριότητα του ιδρύματος βασίζεται σε διάφορους πόρους κρίσιμης σημασίας (π.χ. συστήματα ΤΠ, συμπεριλαμβανομένων των υπηρεσιών υπολογιστικού νέφους, συστήματα επικοινωνίας, βασικό προσωπικό και κτιριακές υποδομές). Ο σκοπός της διαχείρισης της επιχειρησιακής συνέχειας είναι ο μετριασμός των επιχειρησιακών, χρηματοοικονομικών και νομικών επιπτώσεων, καθώς και των επιπτώσεων όσον αφορά την φήμη του ιδρύματος και άλλων σημαντικών επιπτώσεων που προκύπτουν από μια καταστροφή ή παρατεταμένη διακοπή αυτών των πόρων και από την επακόλουθη διαταραχή των συνήθων επιχειρηματικών διαδικασιών του ιδρύματος. Άλλα μέτρα διαχείρισης κινδύνων ενδέχεται να αποσκοπούν στη μείωση της πιθανότητας τέτοιων συμβάντων ή στη μεταβίβαση της χρηματοοικονομικής τους επίπτωσης σε τρίτα μέρη (π.χ. μέσω ασφάλισης κινδύνων).

Για την κατάρτιση σχεδίου χρηστής διαχείρισης της επιχειρησιακής συνέχειας, το ίδρυμα θα πρέπει να αναλύει με προσοχή τους παράγοντες κινδύνου και την έκθεσή του σε σημαντικές διακοπές της επιχειρησιακής του λειτουργίας και να αξιολογεί (ποσοτικά και ποιοτικά) τη δυνητική τους επίπτωση με τη χρήση εσωτερικών και/ή εξωτερικών δεδομένων και ανάλυσης σεναρίων. Η εν λόγω ανάλυση θα πρέπει να καλύπτει όλους τους επιχειρηματικούς τομείς και τις εσωτερικές μονάδες του ιδρύματος, συμπεριλαμβανομένου της λειτουργίας διαχείρισης κινδύνων, ενώ θα πρέπει επίσης να λαμβάνεται υπόψη η αλληλεξάρτησή τους. Τα αποτελέσματα της ανάλυσης θα πρέπει να συμβάλλουν στον καθορισμό των προτεραιοτήτων και των στόχων ανάκαμψης του ιδρύματος.

Με βάση την ανωτέρω ανάλυση, το ίδρυμα θα πρέπει να εφαρμόζει:

• α. σχέδια έκτακτης ανάγκης και επιχειρησιακής συνέχειας, τα οποία διασφαλίζουν ότι το ίδρυμα αντιδρά δεόντως σε έκτακτες ανάγκες και διατηρεί την ικανότητα να ασκεί τις σημαντικότερες επιχειρηματικές του δραστηριότητες σε περίπτωση διαταραχής των συνήθων επιχειρησιακών του διαδικασιών· και
• β. σχέδια ανάκαμψης κρίσιμων πόρων, τα οποία επιτρέπουν στο ίδρυμα να επιστρέψει στις συνήθεις επιχειρηματικές πρακτικές σε εύλογο χρονικό διάστημα. Τυχόν υπολειπόμενος κίνδυνος από δυνητικές επιχειρησιακές διαταραχές θα πρέπει να συνάδει με την εγκεκριμένη διάθεση ανάληψης κινδύνων του ιδρύματος.

Τα σχέδια έκτακτης ανάγκης, επιχειρησιακής συνέχειας και ανάκαμψης θα πρέπει να τεκμηριώνονται και να εφαρμόζονται με ιδιαίτερη προσοχή. Η σχετική τεκμηρίωση θα πρέπει να είναι διαθέσιμη στους επιχειρηματικούς τομείς, στις εσωτερικές μονάδες και στη λειτουργία διαχείρισης κινδύνων και να αποθηκεύεται σε συστήματα τα οποία βρίσκονται σε χωριστούς χώρους και είναι εύκολα προσβάσιμα σε περίπτωση έκτακτης ανάγκης. Θα πρέπει να διασφαλίζεται η παροχή κατάλληλης κατάρτισης. Τα σχέδια θα πρέπει να υπόκεινται σε δοκιμή και επικαιροποίηση ανά τακτά χρονικά διαστήματα. Τυχόν προκλήσεις ή αστοχίες που διαπιστώνονται κατά τη διενέργεια των δοκιμών προσομοίωσης θα πρέπει να τεκμηριώνονται και να αναλύονται, τα δε σχέδια θα πρέπει να αναθεωρούνται αναλόγως.

Οι στρατηγικές, οι πολιτικές και οι διαδικασίες θα πρέπει να κοινοποιούνται σε όλα τα μέλη του σχετικού προσωπικού του ιδρύματος. Το προσωπικό του ιδρύματος θα πρέπει να κατανοεί και να συμμορφώνεται με τις πολιτικές και τις διαδικασίες του ιδρύματος που αφορούν τα καθήκοντα και τις αρμοδιότητές του.

Ως εκ τούτου, το διοικητικό όργανο θα πρέπει να ενημερώνει και να παρέχει στα μέλη του σχετικού προσωπικού επίκαιρη πληροφόρηση όσον αφορά τις στρατηγικές και τις πολιτικές του ιδρύματος με σαφήνεια και συνέπεια, τουλάχιστον στο επίπεδο ιεραρχίας που απαιτείται για την εκτέλεση των συγκεκριμένων καθηκόντων τους. Η εν λόγω ενημέρωση μπορεί να παρέχεται μέσω γραπτών κατευθυντήριων γραμμών, εγχειριδίων ή άλλων μέσων.

Σε περίπτωση που οι μητρικές επιχειρήσεις υποχρεούνται από τις αρμόδιες αρχές, δυνάμει του άρθρου 106 παράγραφος 2 της οδηγίας 2013/36/ΕΕ, να δημοσιοποιούν σε ετήσια βάση μια περιγραφή της νομικής δομής και διακυβέρνησης και της οργανωτικής δομής του ομίλου ιδρυμάτων, η εν λόγω πληροφόρηση θα πρέπει να περιλαμβάνει όλες τις οντότητες εντός της διάρθρωσης του ομίλου, όπως ορίζεται στην οδηγία 2013/34/ΕΕ⁴² , ανά χώρα.

⁴² Οδηγία 2013/34/EE του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 26ης Ιουνίου 2013, σχετικά με τις ετήσιες οικονομικές καταστάσεις, τις ενοποιημένες οικονομικές καταστάσεις και συναφείς εκθέσεις επιχειρήσεων ορισμένων μορφών, την τροποποίηση της οδηγίας 2006/43/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και την κατάργηση των οδηγιών 78/660/EOK και 83/349/ΕΟΚ του Συμβουλίου (ΕΕ L 182 της 29.6.2013, σ. 19).

Η εν λόγω δημοσίευση θα πρέπει να περιλαμβάνει τουλάχιστον:

• α. επισκόπηση της εσωτερικής οργάνωσης των ιδρυμάτων και της διάρθρωσης του ομίλου, όπως ορίζεται στην οδηγία 2013/34/ΕΕ, και των αλλαγών που επέρχονται σε αυτές, συμπεριλαμβανομένων των κυριότερων διαύλων αναφοράς και αρμοδιοτήτων·
• β. τυχόν σημαντικές αλλαγές που έχουν επέλθει από την τελευταία δημοσίευση και την ημερομηνία κάθε σημαντικής αλλαγής·
• γ. νέες νομικές δομές, δομές διακυβέρνησης ή οργανωτικές δομές·
• δ. πληροφορίες σχετικά με τη δομή, την οργάνωση και τα μέλη του διοικητικού οργάνου, συμπεριλαμβανομένου του αριθμού των μελών του και του αριθμού των μελών που χαρακτηρίζονται ως ανεξάρτητα, με προσδιορισμό του φύλου και της διάρκειας της εντολής κάθε μέλους του διοικητικού οργάνου·
• ε. τις κυριότερες ευθύνες του διοικητικού οργάνου·

στ. κατάλογο των επιτροπών του διοικητικού οργάνου υπό την εποπτική του αρμοδιότητα, καθώς και τη σύνθεσή τους·

• ζ. επισκόπηση της πολιτικής σύγκρουσης συμφερόντων που εφαρμόζεται στο ίδρυμα και στο διοικητικό όργανο·
• η. επισκόπηση του πλαισίου εσωτερικού ελέγχου και
• θ. επισκόπηση του πλαισίου διαχείρισης της επιχειρησιακής συνέχειας.