Artículo 20 Riesgo operacional

1.   El operador del SIPS establecerá un marco sólido con sistemas, políticas, procedimientos y controles adecuados para identificar, vigilar y gestionar el riesgo operacional.

2.   El operador del SIPS revisará, auditará y comprobará tales sistemas, políticas, procedimientos y controles periódicamente y cada vez que se introduzcan cambios significativos.

3.   El operador del SIPS establecerá los objetivos y políticas de nivel del servicio y de fiabilidad operativa diseñados para alcanzar el fin citado. Esos objetivos y políticas se revisarán al menos una vez al año.

4.   El operador del SIPS se asegurará de que el SIPS cuente en todo momento con capacidad ampliable para hacer frente al incremento de los volúmenes de pago que se produzcan debido a situaciones de tensión, y de que puede alcanzar los objetivos de nivel del servicio.

5.   El operador del SIPS establecerá políticas, procesos y medidas exhaustivas en materia de seguridad física y de las tecnologías de la información y la comunicación (TIC), así como sistemas de información resilientes, que identifiquen, evalúen y gestionen adecuadamente todas las vulnerabilidades, amenazas, incidentes y riesgos potenciales en un entorno de TIC, y revisará las políticas al menos una vez al año.

6.   El operador del SIPS creará un plan de continuidad de negocio en el que se tengan en cuenta situaciones que supongan un riesgo significativo de perturbación de las operaciones del SIPS. El plan incluirá el uso de un centro secundario y estará diseñado para garantizar que todos los sistemas críticos de tecnología de la información puedan volver a operar dentro de las dos horas siguientes al momento de producirse esas situaciones. El plan estará concebido de forma que el SIPS siempre pueda liquidar todos los pagos vencidos al final del día hábil en el que se produzca la perturbación. El operador del SIPS probará el plan y lo revisará al menos una vez al año.

7.   El operador del SIPS identificará a los participantes críticos basándose, en particular, en los valores y volúmenes de pagos, así como en su posible efecto sobre otros participantes y sobre el SIPS en su conjunto, en caso de que tales participantes experimenten un problema operativo importante.

8.   El operador del SIPS identificará, vigilará y gestionará los riesgos que los participantes críticos, otras infraestructuras del mercado financiero y los proveedores de servicios y suministros puedan plantear para las operaciones del SIPS.

9.   A efectos del presente artículo, las referencias al «riesgo» o a los «riesgos» incluirán los riesgos especificados en los artículos 21 y 22.