Glava VI. – Upravljanje kontinuitetom poslovanja

Institucije mogu uspostaviti posebnu, neovisnu funkciju kontinuiteta poslovanja, npr. u okviru funkcije upravljanja rizicima⁴¹ .

⁴¹ Vidje ti i članak 312. Uredbe (EU) br. 575/2013.

Poslovanje ins titucije oslanja se na nekoliko ključnih resursa (npr. sustave informacijske tehnologije, uključujući usluge u oblaku, komunikacijske sustave, ključne radnike i objekte). Svrha je upravljanja kontinuitetom poslovanja smanjiti operativne, financijske, pravne, reputacijske i druge značajne posljedice nastale uslijed katastrofe ili dugotrajne nedostupnosti tih resursa i posljedičnog poremećaja svakodnevnog poslovanja institucije. Ostale mjere upravljanja rizicima mogu biti usmjerene na smanjenje mogućnosti poj ave takvih incidenata ili prijenosa njihova financijskog učinka na treće strane (npr. osiguranjem).

Kako bi utvrdila dobar plan upravljanja kontinuitetom poslovanja, institucija treba provesti temeljitu analizu čimbenika rizika od ozbiljnih poremećaja poslovanja i svoje izloženosti tim rizicima te procijeniti (kvantitativno i kvalitativno) njihov potencijalni učinak uporabom unutarnje i/ili vanjske analize podataka i scenarija. Tom analizom trebaju se obuhvatiti sve poslovne linije i unutarnje jedinice, ukl jučujući funkciju upravljanja rizicima, te se treba uzeti u obzir njihova međuovisnost. Rezultati analize trebaju pridonijeti utvrđivanju prioriteta i ciljeva institucije u pogledu oporavka.

Na temelju prethodno navedene analize institucija treba utvrditi:

• a. planove postupanja u kriznim situacijama i plan kontinuiteta poslovanja kako bi se osiguralo da institucija na odgovarajući način reagira na hitne situacije i da može osigurati funkcioniranje svojih najvažnijih poslovnih aktivnosti ako dođe do poremećaja svakodnevnog poslovanja; i
• b. planove oporavka za ključne resurse kako bi se instituciji omogućio oporavak svakodnevnog poslovanja u odgovarajućem roku. Sav rezidualni rizik od mogućih poremećaja poslovanja treba biti usklađen sa sklonošću institucije preuzim anju rizika.

Plan postupanja u kriznim situacijama, plan kontinuiteta poslovanja i planovi oporavka trebaju se dokumentirati i pažljivo provoditi. Dokumentacija treba biti dostupna svim poslovnim linijama, unutarnjim jedinicama i funkciji upravljanja rizicima te treba biti pohranjena na sustavima koji su fizički odvojeni i lako dostupni u slučaju kriznih situacija. Treba se pružiti odgovarajuće osposobljavanje. Potrebno je redovito provoditi testiranja i ažuriranja planova. Svi izazovi ili neuspjesi koji se pojave u testiranjima trebaju se dokumentirati i analizirati, a planovi se sukladno tome trebaju preispitati.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Sve relevantne radnike u cijeloj instituciji treba obavijestiti o strategijama, politikama i postupcima. Radnici institucije trebaju razumjeti politike i postupke koji se odnose na njihove dužnosti i odgovornosti te ih se trebaju pridržavati.

Upravljačko tijelo stoga treba jasno i dosljedno obavješćivati relevantne radnike o strategijama i politikama institucije te o njihovim izmjenama, barem u mjeri u kojoj je to potrebno za izvršavanje njihovih dužnosti. U tu se svrhu može koristiti pisanim smjernicama, priručnicima ili drugim sredstvima.

Ako nadležna tijela na temelju članka 106. stavka 2. Direktive 2013/36 /EU od matičnih društava zahtijevaju da jednom godišnje objave opis svoje pravne strukture te upravljačke i organizacijske strukture grupe institucija, informacijama se trebaju obuhvatiti svi subjekti unutar strukture grupe, kako je definirana u Direktivi 2013/34/EU⁴² , po zemljama.

⁴² Direktiva 2013/34/EU Europskog parlamenta i Vijeća od 26. lipnja 2013. o godišnjim financijskim izvještajima, konsolidiranim financijskim izvještajima i povezanim izvješćima za određene vrste poduzeća, o izmjen i Direktive 2006/43/EZ Europskog parlamenta i Vijeća i o stavljanju izvan snage direktiva Vijeća 78/660/EEZ i 83/349/EEZ (SL L 182, 29.6.2013., str. 19).

Ta objava treba sadržavati barem:

• a. pregled unutarnje organizacije institucija i strukture grupe, kako je definirana u Direktivi 2013/34/EU i njezinim izmjenama, uključujući glavne linije izvješćivanja i odgovornosti;
• b. sve značajne izmjene od prethodne objave i datum značajne izmjene;
• c. nove pravne, upravljačke ili organizacijske strukture;
• d. informacije o strukturi, organizaciji i članovima upravljačkog tijela, uključujući broj njegovih članova i broj neovisnih članova te podatke o spol u i trajanju mandata svakog člana upravljačkog tijela;
• e. ključne odgovornosti upravljačkog tijela;
• f. popis odbora upravljačkog tijela u nadzornoj funkciji i njihov sastav;
• g. pregled politike upravljanja sukobima interesa koja se primjenjuje na instituciju i upra vljačko tijelo;
• h. pregled okvira unutarnje kontrole; i
• i. pregled okvira upravljanja kontinuitetom poslovanja.