Glava VI. – Upravljanje kontinuitetom poslovanja

Ne dovodeći u pitanje primjenjive zahtjeve iz Uredbe DORA, izdavatelji ART - ova trebaju u okviru provedbe svoje politike i planova kontinuiteta poslovanja, koji se uspostavljaju u skladu s člankom 34. stavkom 9. Uredbe (EU) 2023/1114, izraditi plan za dobro upravljanje kontinuitetom poslovanja te plan odgovora i oporavka kako bi se osigurala mogućnost neprekinutog poslovanje i upravljanje incidentima koji bi mogli poremetiti izvođenje ključnih operacija u skladu sa sklonošću izdavatelja ART - ova preuzimanju rizika i tolerancijom za poremećaje te kako bi se ograničili gubitci i poremećaji u pružanju usluga u slučaju ozbiljnih poremećaja poslovanja. Izdavatelji ART - ova mogu uspostaviti posebnu neovisnu funkciju kontinuiteta poslovanja uzimajući u obzir kriterije proporcionalnosti navedene u glavi I.

Izdavatelj ART - ova oslanja se na nekoliko ključnih resursa (npr. sustave informacijske tehnologije, uključujući usluge u oblaku, komunikacijske sustave, ključno osoblje i objekte). Svrha je upravljanja kontinuitetom poslovanja smanjiti operativne, financijske, pravne, reputacijske i druge značajne posljedice nastale zbog katastrofe ili dugotrajne nedostupnosti tih resursa i posljedičnog poremećaja svakodnevnog poslovanja izdavatelja ART - ova. Ostale mjere upravljanja rizicima mogu biti usmjerene na smanjenje mogućnosti pojave takvih incidenata ili prijenos njihova financijskog učinka na treće subjekte (npr. osiguranjem).

Kako bi uspostavio dobar plan upravljanja kontinuitetom poslovanja, izdavatelj ART - ova treba provesti temeljitu analizu čimbenika rizika od ozbiljnih poremećaja poslovanja i svoje izloženosti tim rizicima te procijeniti (kvantitativno i kvalitativno) njihov potencijalni učinak uporabom unutarnje i/ili vanjske analize podataka i scenarija. Tom se analizom treba testirati sposobnost izdavatelja ART - ova da obavljaju ključne operacije usprkos poremećajima i ona treba obuhvatiti sve poslovne linije i unutarnje jedinice, uključujući funkciju upravljanja rizicima ili postupke upravljanja rizicima, pri čemu je potrebno uzeti u obzir njihovu međuovisnost. Rezultati analize trebaju pridonijeti utvrđivanju prioriteta i ciljeva izdavatelja ART - ova u pogledu oporavka.

Na temelju prethodno navedene analize izdavatelj ART - ova treba utvrditi:

• a. plan postupanja u kriznim situacijama i plan kontinuiteta poslovanja kako bi se osiguralo da izdavatelj ART - ova na odgovarajući način reagira na hitne situacije i da može obavljati ključne operacije i očuvati bitne podatke ako dođe do poremećaja svakodnevnog poslovanja; i
• b. planove oporavka za ključne resurse i ključne ili važne funkcije kako bi se izdavatelju ART - ova omogućio oporavak od poremećaja i povratak u redovno poslovanje u odgovarajućem roku. Sav rezidualni rizik od mogućih poremećaja poslovanja treba biti usklađen sa sklonošću izdavatelja ART - ova preuzimanju rizika;
• c. za druge aktivnosti, ili ako je nemoguće osigurati kontinuitet ključnih osnovnih funkcija, izdavatelji ART - ova trebaju uspostaviti postupke za pravodoban oporavak podataka i funkcija te pravodobnu ponovnu uspostavu svojih aktivnosti.

Plan postupanja u kriznim situacijama, plan kontinuiteta poslovanja i planovi oporavka trebaju se dokumentirati i pažljivo provoditi. Dokumentacija treba biti dostupna svim poslovnim linijama, unutarnjim jedinicama i funkciji upravljanja rizicima za osoblje zaduženo za postupke upravljanja rizicima te treba biti pohranjena na sustavima koji su fizički odvojeni i lako dostupni u slučaju kriznih situacija. Treba se pružiti odgovarajuće osposobljavanje. Planove treba redovito testirati i ažurirati. Svi izazovi ili neuspjesi koji se pojave u testiranjima trebaju se dokumentirati i analizirati, a planovi se sukladno tome trebaju preispitati.