Titolo VI. Gestione della continuità operativa ( )

Gli enti dovrebbero predisporre un efficace piano di gestione della continuità operativa e di ripristino al fine di assicurare la propria capacità di operare su base continuativa e limitare le perdite in caso di grave interruzione dell’operatività.

Gli enti possono istituire una specifica funzione di continuità operativa indipendente, ad esempio come parte della funzione di gestione dei rischi (⁴¹ ).

L’operatività di un ente dipende da diversi processi critici (ad es. i sistemi informatici, inclusi i servizi di cloud, i sistemi di comunicazione, il personale di base e gli immobili). Lo scopo della gestione della continuità operativa è quello di ridurre le ricadute operative, finanziarie, giuridiche, reputazionali e altre ripercussioni sostanziali derivanti da incidenti o catastrofi o da blocchi prolungati che colpiscono tali risorse, e dalla conseguente interruzione delle procedure operative ordinarie dell’ente. Altre misure di gestione dei rischi potrebbero essere finalizzate a ridurre la probabilità di tali incidenti o a trasferirne gli effetti finanziari a terzi (ad es. mediante un’assicurazione).

Al fine di stabilire un efficace piano di gestione della continuità operativa, un ente dovrebbe analizzare attentamente i fattori di rischio e la propria esposizione a gravi interruzioni

(⁴⁰ ) Gli enti dovrebbero anche fare riferimento agli orientamenti dell’ABE sulla gestione dei rischi ICT e di sicurezza, disponibili all’indirizzo https://eba.europa.eu/regulation-and-policy/internal-governance/guidelines-on-ict-and-security-risk-management (⁴¹ ) Cfr. anche all’articolo 312 del regolamento (UE) n. 575/2013. dell’operatività e valutare (dal punto di vista quantitativo e qualitativo) le possibili ripercussioni di tali eventi, ricorrendo a un’analisi dei dati e degli scenari interni e/o esterni. Tale analisi dovrebbe riguardare tutte le linee di business e le unità interne, inclusa la funzione di gestione dei rischi, e tenere conto della loro interdipendenza. I risultati dell’analisi dovrebbero contribuire a definire le priorità e gli obiettivi di ripristino dell’ente.

Sulla base dell’analisi di cui sopra, un ente dovrebbe dotarsi di:

• a. piani di emergenza e di continuità operativa al fine di garantire che l’ente reagisca in maniera adeguata alle emergenze e sia in grado di mantenere le attività operative più importanti in caso di interruzione delle proprie procedure operative ordinarie;
• b. piani di ripristino per le risorse critiche per consentire all’ente di ristabilire le procedure operative ordinarie in un intervallo di tempo appropriato. Tutti i rischi residui derivanti da possibili interruzioni dell’operatività dovrebbero essere coerenti con la propensione al rischio dell’ente.

I piani di emergenza, di continuità operativa e di ripristino dovrebbero essere documentati e attentamente attuati. La relativa documentazione dovrebbe essere disponibile all’interno delle linee di business, delle unità interne e della funzione di gestione dei rischi, e dovrebbe essere archiviata in sistemi fisicamente separati e prontamente accessibili in caso di emergenza. Il personale dovrebbe ricevere adeguata formazione al riguardo. I piani dovrebbero essere regolarmente testati e aggiornati. Eventuali problemi o carenze che si verifichino nel corso dei test dovrebbero essere documentati e analizzati, e i piani dovrebbero essere rivisti di conseguenza.