Article 20 Risque opérationnel

1.   Un opérateur de SPIS met en place un cadre solide, doté de systèmes, de politiques, de procédures et de contrôles appropriés pour identifier, surveiller et gérer les risques opérationnels.

2.   Un opérateur de SPIS réexamine, vérifie et teste les systèmes ainsi que les politiques, procédures et contrôles opérationnels de manière régulière et après des changements importants.

3.   Un opérateur de SPIS définit des objectifs et des politiques en termes de niveau de service et de fiabilité opérationnelle conçus pour atteindre ces objectifs. Il réexamine ces objectifs et politiques au moins une fois par an.

4.   Un opérateur de SPIS veille à ce qu’un SPIS dispose à tout moment de capacités d’évolution pour gérer les accroissements des volumes de paiement qui surviennent en période de tension et pour atteindre ses objectifs de niveau de service.

5.   Un opérateur de SPIS met en place des politiques détaillées en termes de sécurité physique et de sécurité des technologies de l’information et de la communication (TIC), des processus détaillés et des politiques détaillées relatives aux systèmes, ainsi que des systèmes d’information résistants, qui identifient, évaluent et gèrent de façon adéquate l’ensemble des vulnérabilités, incidents, menaces et risques potentiels dans l’environnement des TIC. Il réexamine ces politiques au moins une fois par an.

6.   Un opérateur de SPIS élabore un plan de continuité d’activité qui remédie aux événements constituant un risque important pour le bon fonctionnement du SPIS. Ce plan prévoit le recours à un site secondaire et est conçu pour permettre aux systèmes de technologie de l’information critiques de reprendre leur fonctionnement dans les deux heures qui suivent une perturbation. Le plan est conçu de manière que le SPIS soit toujours en mesure d’effectuer l’intégralité des règlements dus avant la fin du jour ouvré au cours duquel se produit la perturbation. L’opérateur de SPIS teste et réexamine le plan au moins une fois par an.

7.   Un opérateur de SPIS identifie les participants critiques en fonction, notamment, du volume et des montants de leurs paiements, ainsi que de leur impact potentiel sur d’autres participants et sur le système dans son ensemble en cas de problème opérationnel significatif rencontré par ces participants.

8.   Un opérateur de SPIS identifie, surveille et gère les risques auxquels les participants critiques, d’autres IMF et des prestataires de services et de services publics pourraient exposer les opérations du SPIS.

9.   Aux fins du présent article, les références au «risque» incluent les risques précisés aux articles 21 et 22.