VI osasto – Liiketoiminnan jatkuvuuden hallinta

ART:ien liikkeeseenlaskijoiden tulisi osana asetuksen (EU) 2023/1114 34 artiklan 9 kohdan mukaisesti laadittujen liiketoiminnan jatkuvuutta koskevien toimintaperiaatteidensa ja - suunnitelmiensa täytäntöönpanoa ottaa käyttöön vankka liiketoiminnan jatkuvuuden hallinta sekä reagointi- ja palautumissuunnitelmat, jotta voidaan varmistaa liikkeeseenlaskijoiden kyky toimia jatkuvasti, hallita tapahtumia, jotka voivat häiritä kriittisten toimintojen toteuttamista, ART:ien liikkeeseenlaskijan riskinottohalun ja häiriönsietokyvyn mukaisesti, ja rajoittaa tappioita ja palvelujen tarjonnan häiriöitä vakavissa liiketoimintahäiriöissä, sanotun kuitenkaan rajoittamatta digitaalisesta häiriönsietokyvystä annetun asetuksen mukaisten vaatimusten soveltamista. ART:ien liikkeeseenlaskijat voivat perustaa erityisen riippumattoman liiketoiminnan jatkuvuutta koskevan toiminnon ottaen huomioon I osastossa luetellut suhteellisuusperiaatteet.

ART:ien liikkeeseenlaskijan liiketoiminta on riippuvainen useista kriittisistä resursseista (esim. tietotekniset järjestelmät, mukaan lukien pilvipalvelut, viestintäjärjestelmät, keskeinen henkilöstö ja rakennukset). Liiketoiminnan jatkuvuuden hallinnalla pyritään vähentämään operatiivisia, taloudellisia, oikeudellisia, maineeseen liittyviä ja muita olennaisia seurauksia, joita aiheutuu ART:ien liikkeeseenlaskijan tavanomaisten liiketoimintamenettelyjen häiriytymisestä näiden resurssien tuhoutumisen tai pitkien toimintakatkosten seurauksena. Käytössä voi olla muitakin riskienhallintatoimenpiteitä, joiden tarkoituksena on vähentää tällaisten tapahtumien todennäköisyyttä tai siirtää niiden taloudellisia vaikutuksia kolmansille osapuolille (esim. vakuutuksilla).

Luotettavan liiketoiminnan jatkuvuuden hallintasuunnitelman luomiseksi ART:ien liikkeeseenlaskijan on analysoitava huolellisesti riskitekijät sekä alttiutensa vakaville liiketoiminnan häiriöille ja arvioitava (määrällisesti ja laadullisesti) niiden mahdolliset vaikutukset käyttämällä sisäisiä ja/tai ulkoisia tietoja ja skenaarioanalyysia. Tällä analyysilla tulisi testata ART:ien liikkeeseenlaskijan kykyä toteuttaa kriittisiä toimintoja häiriötilanteessa. Sen on katettava kaikki liiketoiminta-alueet ja sisäiset yksiköt, mukaan lukien riskienhallintatoiminto tai riskienhallintamenettelyt, ja siinä tulisi ottaa huomioon niiden keskinäiset riippuvuussuhteet. Analyysin tuloksia tulisi käyttää apuna ART:ien liikkeeseenlaskijan palautumista koskevien prioriteettien ja tavoitteiden määrittelyssä.

Edellä mainitun analyysin perusteella ART:ien liikkeeseenlaskijan tulisi laatia

• a. varautumissuunnitelma ja liiketoiminnan jatkuvuutta koskeva suunnitelma, joilla varmistetaan, että ART:ien liikkeeseenlaskija kykenee jatkamaan kriittisiä toimintojaan ja ylläpitämään olennaisia tietoja tavanomaisten liiketoimintamenettelyjensä häiriytyessä
• b. kriittisten resurssien ja kriittisten tai tärkeiden toimintojen elvytyssuunnitelmat, jotta ART:ien liikkeeseenlaskija voi palautua häiriöistä ja palata tavanomaisiin liiketoimintamenettelyihin asianmukaisessa ajassa. Mahdollisesta liiketoiminnan häiriytymisestä aiheutuvien jäännösriskien on vastattava ART:ien liikkeeseenlaskijan riskinottohalua
• c. muun toiminnan suhteen tai tapauksissa, joissa kriittisten olennaisten toimintojen jatkuvuutta ei voida varmistaa, ART:ien liikkeeseenlaskijoilla tulisi olla valmiina menettelyt tietojen ja toimintojen oikea-aikaista palauttamista ja toiminnan oikea-aikaista jatkamista varten.

Varautumissuunnitelma, liiketoiminnan jatkuvuutta koskeva suunnitelma ja palautumissuunnitelma on dokumentoitava ja pantava huolellisesti täytäntöön. Dokumentoidun aineiston tulisi olla liiketoiminta-alueiden, sisäisten yksiköiden ja riskienhallintatoiminnon riskienhallintamenettelyistä vastaavien henkilöiden saatavilla, ja aineisto on talletettava fyysisesti erillään oleviin järjestelmiin, joihin pääsee helposti käsiksi hätätilanteen sattuessa. Tähän on annettava asianmukainen koulutus. Suunnitelmia on testattava ja päivitettävä säännöllisesti. Kaikki testeissä ilmenevät ongelmat tai viat on dokumentoitava ja suunnitelmat on tarkistettava vastaavasti.