Título VI – Gestión de la continuidad de la actividad

Sin perjuicio de los requisitos aplicables en virtud del Reglamento DORA, los emisores de fichas referenciadas a activos deberían establecer, como parte de la aplicación de su política y planes de continuidad de la actividad establecidos de conformidad con el artículo 34, apartado 9, del Reglamento (UE) 2023/1114, una gestión adecuada de la continuidad de la actividad y planes de respuesta y recuperación para garantizar su capacidad para operar de forma continuada, gestionar incidentes que podrían perturbar la realización de operaciones esenciales en consonancia con el apetito de riesgo y la tolerancia frente a las perturbaciones del emisor de fichas referenciadas a activos, y limitar las pérdidas y perturbaciones en la prestación de servicios en caso de perturbaciones graves de la actividad. Los emisores de fichas referenciadas a activos podrán establecer una función específica independiente de continuidad de la actividad teniendo en cuenta los criterios de proporcionalidad enumerados en el título I.

Los emisores de fichas referenciadas a activos dependen de diversos recursos críticos (p. ej., sistemas de TI, incluidos servicios en la nube, sistemas de comunicación, personal esencial y edificios). La gestión de la continuidad de la actividad tiene por objeto atenuar las consecuencias operativas, financieras, jurídicas, reputacionales y cualesquiera otras de importancia resultantes de una catástrofe o de una interrupción prolongada de estos recursos, y la consiguiente perturbación en los procedimientos de negocio ordinarios de los emisores de fichas referenciadas a activos. El objetivo de otras medidas de gestión de riesgos podría ser reducir la probabilidad de tales incidentes o transferir su impacto financiero a terceros (p. ej., mediante seguros).

Para establecer un plan de gestión de la continuidad de la actividad adecuado, los emisores de fichas referenciadas a activos deberían analizar con detenimiento sus factores de riesgo y su exposición a perturbaciones graves en el negocio y evaluar (cuantitativa y cualitativamente) su posible impacto, sirviéndose de datos internos y/o externos y de análisis de escenarios. Este análisis debería poner a prueba la capacidad del emisor de fichas referenciadas a activos para realizar operaciones esenciales en caso de interrupción y debería abarcar todas las líneas de negocio y unidades internas, incluida la FGR o los procedimientos de gestión de riesgos, y tener en cuenta su interdependencia. Los resultados del análisis deberían contribuir a definir las prioridades y los objetivos de recuperación del emisor de fichas referenciadas a activos.

En función del análisis anterior, los emisores de fichas referenciadas a activos deberían elaborar:

• a. planes de contingencia y de continuidad de la actividad, con el fin de garantizar que el emisor de fichas referenciadas a activos reaccione adecuadamente ante situaciones de emergencia y pueda realizar operaciones esenciales y preservar los datos esenciales en caso de que se produzca una perturbación en sus procedimientos de negocio ordinarios, y
• b. planes de recuperación de recursos críticos y funciones esenciales o importantes para recuperarse de una perturbación y permitir que el emisor de fichas referenciadas a activos restablezca los procedimientos de negocio ordinarios en un plazo adecuado. Cualquier riesgo residual derivado de posibles perturbaciones en el negocio debería ser acorde con el apetito de riesgo del emisor de fichas referenciadas a activos.
• c. para otras actividades, o cuando sea imposible garantizar la continuidad de las funciones esenciales o importantes de carácter crítico, los emisores de fichas referenciadas a activos deberían disponer de procedimientos para la recuperación oportuna de datos y funciones, y la reanudación oportuna de sus actividades.

Los planes de contingencia, de continuidad de la actividad y de recuperación deberían documentarse y aplicarse con meticulosidad. La documentación debería estar a disposición del personal responsable de los procedimientos de gestión de riesgos en las líneas de negocio, las unidades internas y la FGR, y almacenarse en sistemas físicamente separados y de fácil acceso en caso de contingencia. Debería impartirse la formación apropiada. Los planes deberían someterse a prueba y actualizarse periódicamente. Las dificultades o fallos detectados en las pruebas deberían documentarse y analizarse, y los planes revisarse en consecuencia.