VI osasto – Liiketoiminnan jatkuvuuden hallinta

Laitosten on laadittava luotettava toiminnan jatkuvuuden hallintaa ja palautumista koskeva suunnitelma, jolla varmistetaan sen toiminnan jatkuvuus ja rajoitetaan tappioita liiketoiminnan vakavien häiriöiden varalta.

Laitokset voivat perustaa liiketoiminnan jatkuvuudelle itsenäisen toiminnon esimerkiksi osaksi riskienhallintatoimintoa⁴¹ .

⁴¹ Ks. myös asetuksen (EU) N:o 575/2013 312 artikla.

Laitoksen liiketoiminta on riippuvainen useista resursseista, jotka ovat alttiita häiriöille (esim. tietotekniset järjestelmät, mukaan lukien pilvipalvelut, viestintäjärjestelmät, keskeinen henkilöstö ja rakennukset). Toiminnan jatkuvuuden hallinnalla pyritään vähentämään operatiivisia, taloudellisia, oikeudellisia, maineeseen liittyviä ja muita olennaisia seurauksia, joita aiheutuu laitoksen tavanomaisten liiketoimintamenettelyjen häiriytymisestä näiden resurssien tuhoutumisen tai pitkien toimintakatkosten seurauksena. Käytössä voi olla muitakin riskienhallintatoimenpiteitä, joiden tarkoituksena on vähentää tällaisten tapahtumien todennäköisyyttä tai siirtää niiden taloudellisia vaikutuksia kolmansille osapuolille (esim. vakuutuksilla).

Luotettavan toiminnan jatkuvuuden hallintasuunnitelman luomiseksi laitoksen on analysoitava huolellisesti riskitekijät sekä alttiutensa vakaville liiketoiminnan häiriöille ja arvioitava (määrällisesti ja laadullisesti) niiden mahdolliset vaikutukset käyttämällä sisäisiä ja/tai ulkoisia tietoja ja skenaarioanalyysia. Analyysiin on sisällytettävä riskienhallintatoiminnon ohella kaikki laitoksen liiketoiminta-alueet ja sisäiset yksiköt, ja siinä on otettava huomioon niiden keskinäiset riippuvuussuhteet. Analyysin tuloksia on käytettävä apuna laitoksen palautumista koskevien prioriteettien ja tavoitteiden määrittelyssä.

Edellä mainitun analyysin perusteella laitoksen on laadittava

• a. varautumissuunnitelma ja liiketoiminnan jatkuvuutta koskeva suunnitelma, joilla varmistetaan, että laitos kykenee toimimaan asianmukaisesti kriisitilanteissa ja ylläpitämään tärkeimpiä liiketoimintojaan tavanomaisten liiketoimintamenettelyjensä häiriytyessä
• b. kriittisten resurssien palautumissuunnitelma, jolla turvataan laitoksen palaaminen tavanomaisiin liiketoimintamenettelyihinsä kohtuullisessa ajassa. Mahdollisesta liiketoiminnan häiriytymisestä aiheutuvien jäännösriskien on vastattava laitoksen riskinottohalua.

Varautumissuunnitelma, liiketoiminnan jatkuvuutta koskeva suunnitelma ja palautumissuunnitelma on dokumentoitava ja pantava huolellisesti täytäntöön. Dokumentoidun aineiston on oltava liiketoiminta-alueiden ja sisäisten yksiköiden ja riskienhallintatoiminnon saatavilla, ja aineisto on talletettava fyysisesti erillään oleviin järjestelmiin, joihin pääsee helposti käsiksi hätätilanteen sattuessa. Tähän on annettava asianmukainen koulutus. Suunnitelmia on testattava ja päivitettävä säännöllisesti. Kaikki testeissä ilmenevät ongelmat tai viat on dokumentoitava ja suunnitelmat on tarkistettava vastaavasti.