Titre VI – Gestion de la continuité des activités

Les entreprises d’investissement devraient mettre en place un plan de gestion saine de la continuité de leurs activités et de reprise des activités, afin de garantir leur capacité à fonctionner sans interruption et à limiter les pertes en cas de perturbation grave de leurs activités.

Les entreprises d’investissement peuvent mettre en place une fonction indépendante spécifique de continuité des activités.

L’activité de l’entreprise d’investissement repose sur plusieurs ressources essentielles (par exemple les systèmes informatiques, y compris les services d’informatique en nuage, les systèmes de communication, le personnel stratégique et les bâtiments). L’objectif de la gestion de la continuité des activités est de limiter les conséquences opérationnelles, financières et juridiques, le préjudice pour la réputation et d’autres conséquences significatives engendrées par un sinistre ou une indisponibilité prolongée de ces ressources et par la perturbation des procédures opérationnelles ordinaires de l’entreprise d’investissement qui en résulte. D’autres mesures de gestion des risques peuvent consister à réduire la probabilité de ces incidents ou à transférer leur impact financier à des tiers (par exemple en souscrivant une assurance).

Afin de mettre en place un plan de gestion saine de la continuité de ses activités, une entreprise d’investissement devrait analyser avec soin les facteurs de risque liés aux perturbations graves de ses activités, ainsi que son exposition à ces perturbations, et évaluer (sur le plan tant quantitatif que qualitatif) leur incidence potentielle au moyen de données internes et/ou externes ou d’une analyse de scénarios. Cette analyse devrait couvrir l’ensemble des lignes d’activités et des unités internes, y compris la FGR ou les procédures de gestion des risques, et tenir compte de leur interdépendance. Les résultats de l’analyse devraient contribuer à la définition des priorités et des objectifs de l’entreprise d’investissement en matière de reprise des activités.

Sur la base de l’analyse susmentionnée, l’entreprise d’investissement devrait mettre en place:

• a. des plans d’intervention et de continuité des activités qui garantissent que l’entreprise d’investissement réagit de manière appropriée aux urgences et qu’elle est en mesure de maintenir ses activités les plus importantes en cas de perturbation de ses procédures opérationnelles ordinaires; et
• b. des plans de rétablissement des ressources critiques permettant à l’entreprise d’investissement de rétablir ses procédures opérationnelles ordinaires dans un délai approprié. Tout risque résiduel lié à des perturbations potentielles des activités devrait être conforme à l’appétit pour le risque de l’entreprise d’investissement.

Les plans d’urgence, de continuité des activités et de reprise des activités devraient être documentés et mis en œuvre avec soin. La documentation devrait être mise à la disposition des lignes d’activité, des unités internes et de la FGR pour le personnel chargé des procédures de gestion des risques, et devrait être stockée dans des systèmes physiquement séparés et aisément accessibles en cas d’incident. Une formation appropriée devrait être dispensée. Les plans devraient être régulièrement testés et actualisés. Tout problème ou échec constaté lors des tests devrait être documenté et analysé et les plans devraient être révisés en conséquence.