Titre VI – Gestion de la continuité des activités

Les établissements peuvent instaurer une fonction indépendante spécifique de continuité des activités, par exemple dans le cadre de la FGR⁴¹ .

⁴¹ Voir également l’article 312 du règlement (UE) nº 575/2013.

L’activité de l’établissement repose sur plusieurs ressources essentielles (par exemple les systèmes informatiques, y compris les services d’informatique en nuage, les systèmes de communication, le personnel stratégique et les bâtiments). L’objectif de la gestion de la continuité des activités est de limiter les conséquences opérationnelles, financières et juridiques, le préjudice pour la réputation et d’autres conséquences significatives engendrées par un sinistre ou une indisponibilité prolongée de ces ressources et par la perturbation des procédures opérationnelles ordinaires de l’établissement qui en résulte. D’autres mesures de gestion des risques peuvent consister à réduire la probabilité de ces incidents ou à transférer leur impact financier à des tiers (par exemple en souscrivant une assurance).

Afin de mettre en place un plan de gestion saine de la continuité de ses activités, un établissement devrait analyser avec soin les facteurs de risque liés aux perturbations graves de ses activités, ainsi que son exposition à ces perturbations, et évaluer (sur le plan tant quantitatif que qualitatif) leur incidence potentielle au moyen de données internes et/ou externes ou d’une analyse de scénarios. Cette analyse devrait couvrir l’ensemble des lignes d’activités et des unités internes, y compris la FGR, et tenir compte de leur interdépendance. Les résultats de l’analyse devraient contribuer à la définition des priorités et des objectifs de l’établissement en matière de reprise des activités.

Sur la base de l’analyse susmentionnée, l’établissement devrait mettre en place :

• a. des plans d’urgence et de continuité des activités qui garantissent que l’établissement réagit de manière appropriée aux urgences et qu’il est en mesure de maintenir ses activités les plus importantes en cas de perturbation de ses procédures opérationnelles ordinaires ; et
• b. des plans de rétablissement des ressources critiques permettant à l’établissement de rétablir ses procédures opérationnelles ordinaires dans un délai approprié. Tout risque résiduel lié à des perturbations potentielles des activités devrait être conforme à l’appétit pour le risque de l’établissement.

Les plans d’urgence, de continuité des activités et de reprise des activités devraient être documentés et mis en œuvre avec soin. La documentation devrait être mise à la disposition des lignes d’activité, des unités internes et de la FGR et devrait être stockée dans des systèmes physiquement séparés et aisément accessibles en cas d’incident. Une formation appropriée devrait être dispensée. Les plans devraient être régulièrement testés et actualisés. Tout problème ou échec constaté lors des tests devrait être documenté et analysé et les plans devraient être révisés en conséquence.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Les stratégies, les politiques et les procédures devraient être communiquées à tout le personnel concerné, dans l’ensemble de l’établissement. Les membres du personnel de l’établissement devraient comprendre et respecter les politiques et procédures liées à leurs missions et responsabilités.

En conséquence, l’organe de direction devrait informer les membres du personnel concerné des stratégies et politiques de l’établissement de manière claire et cohérente et tenir ces informations à jour, au moins au niveau nécessaire pour leur permettre d’accomplir les tâches qui leur incombent. Cette information peut être transmise par le biais d’orientations écrites, de manuels ou d’autres supports.

Lorsque les autorités compétentes exigent, au titre de l’article 106, paragraphe 2, de la directive 2013/36/UE, des entreprises mères qu’elles publient une fois par an une description de leur structure juridique, ainsi que de la structure de gouvernance et organisationnelle de leur groupe d’établissements, les informations devraient inclure toutes les entités au sein de la structure de groupe au sens de la directive 2013/34/UE⁴² , par pays.

⁴² Directive 2013/34/UE du Parlement européen et du Conseil du 26 juin 2013 relative aux états financiers annuels, aux états financiers consolidés et aux rapports y afférents de certaines formes d’entreprises, modifiant la directive 2006/43/CE du Parlement européen et du Conseil et abrogeant les directives 78/660/CEE et 83/349/CEE du Conseil (JO L 182 du 29.6.2013, p. 19).

Cette publication devrait inclure à tout le moins :

• a. Une vue d’ensemble de l’organisation interne des établissements et de la structure de groupe au sens de la directive 2013/34/UE et des changements apportés à celles-ci, y compris les principales voies hiérarchiques et responsabilités ;
• b. les changements significatifs intervenus depuis la dernière publication et la date du changement significatif ;
• c. les nouvelles structures juridiques, de gouvernance ou organisationnelles ;
• d. des informations sur la structure, l’organisation et les membres de l’organe de direction, y compris le nombre de ses membres et le nombre de ceux qualifiés d’indépendants, précisant le sexe et la durée du mandat de chaque membre de l’organe de direction ;
• e. les principales responsabilités de l’organe de direction ;
• f. une liste des comités de l’organe de direction dans sa fonction de surveillance et leur composition ;
• g. une vue d’ensemble de la politique en matière de conflits d’intérêts applicable à l’établissement et à l’organe de direction ;
• h. une vue d’ensemble du cadre de contrôle interne ; et
• i. une vue d’ensemble du cadre de gestion de la continuité des activités.