Título VI - Gestión de la continuidad del negocio

Las entidades pueden establecer una función de continuidad del negocio independiente específica, por ejemplo, como parte de la FGR⁴¹ .

⁴¹ Véase también el artículo 312 del Reglamento (UE) n.º 575/2013.

El negocio de una entidad depende de diversos recursos críticos (p. ej., sistemas de TI, incluidos servicios en la nube, sistemas de comunicación, personal esencial y edificios). La gestión de la continuidad del negocio tiene por objeto atenuar las consecuencias operativas, financieras, jurídicas, reputacionales y cualesquiera otras de importancia resultantes de una catástrofe o de una interrupción prolongada de estos recursos, y la consiguiente perturbación en los procedimientos de negocio ordinarios de la entidad. El objetivo de otras medidas de gestión de riesgos podría ser reducir la probabilidad de tales incidentes o transferir su impacto financiero a terceros (p. ej., mediante seguros).

Para establecer un plan de gestión de la continuidad del negocio adecuado, las entidades deberían analizar con detenimiento sus factores de riesgo y su exposición a perturbaciones graves en el negocio y evaluar (cuantitativa y cualitativamente) su posible impacto, sirviéndose de datos internos y/o externos y de análisis de escenarios. Este análisis debería abarcar todas las líneas de negocio y unidades internas, incluida la FGR, y tener en cuenta su interdependencia. Los resultados del análisis deberían contribuir a definir las prioridades y los objetivos de recuperación de la entidad.

En función del análisis anterior, las entidades deberían elaborar:

• a. planes de contingencia y de continuidad del negocio, con el fin de garantizar que la entidad reaccione adecuadamente ante situaciones de emergencia y pueda mantener sus actividades más importantes en caso de perturbación en sus procedimientos de negocio ordinarios, y
• b. planes de recuperación de los recursos críticos que permitan a la entidad restablecer los procedimientos de negocio ordinarios en un plazo de tiempo apropiado. Cualquier riesgo residual derivado de posibles perturbaciones en el negocio debería ser acorde con el apetito de riesgo de la entidad.

Los planes de contingencia, de continuidad del negocio y de recuperación deberían documentarse e implantarse con meticulosidad. La documentación debería estar a disposición de las líneas de negocio, las unidades internas y la FGR, y almacenarse en sistemas físicamente separados y de fácil acceso en caso de contingencia. Debería impartirse la formación apropiada. Los planes deberían someterse a prueba y actualizarse periódicamente. Las dificultades o fallos detectados en las pruebas deberían documentarse y analizarse, y los planes revisarse en consecuencia.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Las estrategias, políticas y procedimientos deberían comunicarse a todo el personal pertinente de la entidad. El personal debería conocer y cumplir las políticas y los procedimientos correspondientes a sus obligaciones y responsabilidades.

En consecuencia, el órgano de dirección debería informar a todo el personal pertinente y mantenerle al tanto de las estrategias y políticas de la entidad de manera clara y coherente, al menos en la medida necesaria para desempeñar sus obligaciones específicas. Esta información puede facilitarse mediante guías escritas, manuales u otros medios.

Cuando las autoridades competentes exijan a las empresas matrices, de conformidad con el artículo 106, apartado 2, de la Directiva 2013/36/UE, publicar anualmente una descripción de su estructura jurídica y de gobierno y de la estructura organizativa del grupo de entidades, la información debería incluir a todas las entidades de la estructura de grupo tal como se define en la Directiva 2013/34/UE⁴² , por país.

⁴² Directiva 2013/34/UE del Parlamento Europeo y del Consejo, de 26 de junio de 2013, sobre los estados financieros anuales, los estados financieros consolidados y otros informes afines de ciertos tipos de empresas, por la que se modifica la Directiva 2006/43/CE del Parlamento Europeo y del Consejo y se derogan las Directivas 78/660/CEE y 83/349/CEE del Consejo (DO L 182 de 29.6.2013, p. 19).

La información publicada debería incluir al menos:

• a. una descripción general de la organización interna de las entidades y de la estructura del grupo tal como se definen en la Directiva 2013/34/UE y en sus modificaciones, incluidos los principales canales de comunicación y responsabilidades;
• b. cualquier cambio relevante desde la publicación anterior, y la fecha de dicho cambio;
• c. nuevas estructuras jurídicas, de gobierno u organizativas;
• d. información sobre la estructura, la organización y los miembros del órgano de dirección, incluido el número de miembros y el número de los calificados como independientes, y especificando el género y la duración del mandato de cada miembro del órgano de dirección;
• e. las principales responsabilidades del órgano de dirección;
• f. una lista de los comités del órgano de dirección en su función de supervisión y su composición;
• g. una descripción general de la política de conflictos de interés aplicable a la entidad y al órgano de dirección;
• h. una descripción general del marco de control interno, y
• i. una descripción general del marco de gestión de la continuidad del negocio.