VI osasto – Liiketoiminnan jatkuvuuden hallinta

Laitokset voivat perustaa liiketoiminnan jatkuvuudelle itsenäisen toiminnon esimerkiksi osaksi riskienhallintatoimintoa⁴¹ .

⁴¹ Ks. myös asetuksen (EU) N:o 575/2013 312 artikla.

Laitoksen liiketoiminta on riippuvainen useista resursseista, jotka ovat alttiita häiriöille (esim. tietotekniset järjestelmät, mukaan lukien pilvipalvelut, viestintäjärjestelmät, keskeinen henkilöstö ja rakennukset). Toiminnan jatkuvuuden hallinnalla pyritään vähentämään operatiivisia, taloudellisia, oikeudellisia, maineeseen liittyviä ja muita olennaisia seurauksia, joita aiheutuu laitoksen tavanomaisten liiketoimintamenettelyjen häiriytymisestä näiden resurssien tuhoutumisen tai pitkien toimintakatkosten seurauksena. Käytössä voi olla muitakin riskienhallintatoimenpiteitä, joiden tarkoituksena on vähentää tällaisten tapahtumien todennäköisyyttä tai siirtää niiden taloudellisia vaikutuksia kolmansille osapuolille (esim. vakuutuksilla).

Luotettavan toiminnan jatkuvuuden hallintasuunnitelman luomiseksi laitoksen on analysoitava huolellisesti riskitekijät sekä alttiutensa vakaville liiketoiminnan häiriöille ja arvioitava (määrällisesti ja laadullisesti) niiden mahdolliset vaikutukset käyttämällä sisäisiä ja/tai ulkoisia tietoja ja skenaarioanalyysia. Analyysiin on sisällytettävä riskienhallintatoiminnon ohella kaikki laitoksen liiketoiminta-alueet ja sisäiset yksiköt, ja siinä on otettava huomioon niiden keskinäiset riippuvuussuhteet. Analyysin tuloksia on käytettävä apuna laitoksen palautumista koskevien prioriteettien ja tavoitteiden määrittelyssä.

Edellä mainitun analyysin perusteella laitoksen on laadittava

• a. varautumissuunnitelma ja liiketoiminnan jatkuvuutta koskeva suunnitelma, joilla varmistetaan, että laitos kykenee toimimaan asianmukaisesti kriisitilanteissa ja ylläpitämään tärkeimpiä liiketoimintojaan tavanomaisten liiketoimintamenettelyjensä häiriytyessä
• b. kriittisten resurssien palautumissuunnitelma, jolla turvataan laitoksen palaaminen tavanomaisiin liiketoimintamenettelyihinsä kohtuullisessa ajassa. Mahdollisesta liiketoiminnan häiriytymisestä aiheutuvien jäännösriskien on vastattava laitoksen riskinottohalua.

Varautumissuunnitelma, liiketoiminnan jatkuvuutta koskeva suunnitelma ja palautumissuunnitelma on dokumentoitava ja pantava huolellisesti täytäntöön. Dokumentoidun aineiston on oltava liiketoiminta-alueiden ja sisäisten yksiköiden ja riskienhallintatoiminnon saatavilla, ja aineisto on talletettava fyysisesti erillään oleviin järjestelmiin, joihin pääsee helposti käsiksi hätätilanteen sattuessa. Tähän on annettava asianmukainen koulutus. Suunnitelmia on testattava ja päivitettävä säännöllisesti. Kaikki testeissä ilmenevät ongelmat tai viat on dokumentoitava ja suunnitelmat on tarkistettava vastaavasti.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Strategioista, käytännöistä ja menettelyistä on tiedotettava asianomaiselle henkilöstölle koko laitoksessa. Laitoksen henkilöstön on ymmärrettävä omiin tehtäviinsä ja velvollisuuksiinsa liittyvät käytännöt ja menettelyt ja noudatettava niitä.

Ylimmän hallintoelimen on tiedotettava henkilöstölle selkeästi ja johdonmukaisesti laitoksen strategioista ja käytännöistä vähintään siinä määrin kuin se on tarpeen heidän tehtäviensä hoitamiseksi sekä pidettävä henkilöstö ajan tasalla. Tämä voidaan tehdä kirjallisten ohjeiden, käsikirjojen tai muiden keinojen avulla.

Mikäli toimivaltaiset viranomaiset edellyttävät, että emoyritykset julkistavat direktiivin 2013/36/EU 106 artiklan 2 kohdan mukaisesti vuosittain kuvauksen laitosryhmän oikeudellisesta rakenteesta, hallintorakenteesta ja organisaatiosta, tietojen tulee sisältää maittain kaikki konsernirakenteeseen sisältyvät yksiköt direktiivin 2013/34/EU⁴² mukaisesti.

⁴² Euroopan parlamentin ja neuvoston direktiivi 2013/34/EU, annettu 26 päivänä kesäkuuta 2013, tietyntyyppisten yritysten vuositilinpäätöksistä, konsernitilinpäätöksistä ja niihin liittyvistä kertomuksista, Euroopan parlamentin ja neuvoston direktiivin 2006/43/EY muuttamisesta ja neuvoston direktiivien 78/660/ETY ja 83/349/ETY kumoamisesta (EUVL L 182, 29.6.2013, s. 19).

Julkaisun tulisi sisältää vähintään

• a. yleisesitys laitosten sisäisestä organisaatiosta ja konsernirakenteesta direktiivissä 2013/34/EU määritellyllä tavalla sekä siinä tapahtuneet muutokset, mukaan lukien tärkeimmät raportointilinjat ja tehtävät
• b. kaikki edellisen julkaisun jälkeen tapahtuneet olennaiset muutokset ja olennaisen muutoksen päivämäärä
• c. uudet oikeudelliset, hallinnolliset tai organisaatiorakenteet
• d. rakennetta, organisaatiota ja ylimmän hallintoelimen jäseniä koskevat tiedot, mukaan lukien ylimmän hallintoelimen jäsenten määrä ja riippumattomiksi luokiteltujen jäsenten määrä sekä erittely kunkin ylimmän hallintoelimen jäsenen sukupuolesta ja toimeksiannon kestosta
• e. ylimmän hallintoelimen keskeiset velvollisuudet
• f. luettelo valvontatehtäväänsä hoitavan ylimmän hallintoelimen valiokunnista ja niiden kokoonpanosta
• g. yleisesitys laitokseen ja ylimpään hallintoelimeen sovellettavista eturistiriitakäytännöistä
• h. yleisesitys sisäisestä valvontajärjestelmästä
• i. yleisesitys liiketoiminnan jatkuvuuden hallintaa koskevasta kehyksestä.