Titolo VI. Gestione della continuità operativa

Le imprese di investimento dovrebbero predisporre un efficace piano di gestione della continuità operativa e di ripristino al fine di assicurare la propria capacità di operare su base continuativa e limitare le perdite in caso di grave interruzione dell’operatività.

Le imprese di investimento possono istituire una specifica funzione indipendente di continuità operativa.

L’operatività di un’impresa di investimento dipende da diversi processi essenziali (ad es. i sistemi informatici, inclusi i servizi di cloud, i sistemi di comunicazione, il personale di base e gli immobili). Lo scopo della gestione della continuità operativa è di ridurre le ricadute operative, finanziarie, giuridiche, reputazionali e altre ripercussioni sostanziali derivanti da incidenti o catastrofi o da blocchi prolungati che colpiscono tali risorse, e dalla conseguente interruzione delle procedure operative ordinarie dell’impresa di investimento. Altre misure di gestione dei rischi potrebbero essere finalizzate a ridurre la probabilità di tali incidenti o a trasferirne gli effetti finanziari a terzi (ad es. mediante un’assicurazione).

Al fine di stabilire un efficace piano di gestione della continuità operativa, un’impresa di investimento dovrebbe analizzare attentamente i fattori di rischio e la propria esposizione a gravi interruzioni dell’operatività e valutare (dal punto di vista quantitativo e qualitativo) le possibili ripercussioni di tali eventi, ricorrendo a un’analisi dei dati e degli scenari interni e/o esterni. Tale analisi dovrebbe riguardare tutte le linee di business e le unità interne, tra cui la funzione di gestione dei rischi o le procedure di gestione dei rischi, e tenere conto della loro interdipendenza. I risultati dell’analisi dovrebbero contribuire a definire le priorità e gli obiettivi di ripristino dell’impresa di investimento.

Sulla base dell’analisi di cui sopra, un’impresa di investimento dovrebbe dotarsi di:

• a. piani di emergenza e di continuità operativa al fine di garantire che l’impresa di investimento reagisca in maniera adeguata alle emergenze e sia in grado di mantenere le attività operative più importanti in caso di interruzione delle proprie procedure operative ordinarie; e
• b. piani di ripristino per le risorse critiche per consentire all’impresa di investimento di ristabilire le procedure operative ordinarie in un intervallo di tempo appropriato. Tutti i rischi residui derivanti da possibili interruzioni dell’operatività dovrebbero essere coerenti con la propensione al rischio dell’impresa di investimento.

I piani di emergenza, di continuità operativa e di ripristino dovrebbero essere documentati e attentamente attuati. La relativa documentazione dovrebbe essere disponibile all’interno delle linee di business, delle unità interne e della funzione di gestione dei rischi per il personale incaricato delle procedure di gestione dei rischi, e dovrebbe essere archiviata in sistemi fisicamente separati e prontamente accessibili in caso di emergenza. Il personale dovrebbe ricevere adeguata formazione al riguardo. I piani dovrebbero essere regolarmente testati e aggiornati. Eventuali problemi o carenze che si verifichino nel corso dei test dovrebbero essere documentati e analizzati, e i piani dovrebbero essere rivisti di conseguenza.