Título VI - Gestión de la continuidad del negocio

Las entidades deberían establecer un plan adecuado de gestión de la continuidad del negocio y de recuperación, con el fin de garantizar su capacidad para operar de forma continuada y limitar las pérdidas en caso de perturbaciones graves en el negocio.

Las entidades pueden establecer una función de continuidad del negocio independiente específica, por ejemplo, como parte de la FGR⁴¹ .

⁴¹ Véase también el artículo 312 del Reglamento (UE) n.º 575/2013.

El negocio de una entidad depende de diversos recursos críticos (p. ej., sistemas de TI, incluidos servicios en la nube, sistemas de comunicación, personal esencial y edificios). La gestión de la continuidad del negocio tiene por objeto atenuar las consecuencias operativas, financieras, jurídicas, reputacionales y cualesquiera otras de importancia resultantes de una catástrofe o de una interrupción prolongada de estos recursos, y la consiguiente perturbación en los procedimientos de negocio ordinarios de la entidad. El objetivo de otras medidas de gestión de riesgos podría ser reducir la probabilidad de tales incidentes o transferir su impacto financiero a terceros (p. ej., mediante seguros).

Para establecer un plan de gestión de la continuidad del negocio adecuado, las entidades deberían analizar con detenimiento sus factores de riesgo y su exposición a perturbaciones graves en el negocio y evaluar (cuantitativa y cualitativamente) su posible impacto, sirviéndose de datos internos y/o externos y de análisis de escenarios. Este análisis debería abarcar todas las líneas de negocio y unidades internas, incluida la FGR, y tener en cuenta su interdependencia. Los resultados del análisis deberían contribuir a definir las prioridades y los objetivos de recuperación de la entidad.

En función del análisis anterior, las entidades deberían elaborar:

• a. planes de contingencia y de continuidad del negocio, con el fin de garantizar que la entidad reaccione adecuadamente ante situaciones de emergencia y pueda mantener sus actividades más importantes en caso de perturbación en sus procedimientos de negocio ordinarios, y
• b. planes de recuperación de los recursos críticos que permitan a la entidad restablecer los procedimientos de negocio ordinarios en un plazo de tiempo apropiado. Cualquier riesgo residual derivado de posibles perturbaciones en el negocio debería ser acorde con el apetito de riesgo de la entidad.

Los planes de contingencia, de continuidad del negocio y de recuperación deberían documentarse e implantarse con meticulosidad. La documentación debería estar a disposición de las líneas de negocio, las unidades internas y la FGR, y almacenarse en sistemas físicamente separados y de fácil acceso en caso de contingencia. Debería impartirse la formación apropiada. Los planes deberían someterse a prueba y actualizarse periódicamente. Las dificultades o fallos detectados en las pruebas deberían documentarse y analizarse, y los planes revisarse en consecuencia.