Titel VI – Beheer van de bedrijfscontinuïteit

Instellingen kunnen een specifieke onafhankelijke bedrijfscontinuïteitsfunctie instellen, bijv. als onderdeel van de risicobeheerfunctie⁴¹ .

⁴¹ Zie ook artikel 312 van Verordening (EU) nr. 575/2013.

De bedrijfsvoering van een instelling is afhankelijk van verscheidene kritieke hulpmiddelen (bijv. IT-systemen met inbegrip van clouddiensten, communicatiesystemen, cruciale personeelsleden en gebouwen). Het doel van bedrijfscontinuïteitsbeheer is het beperken van operationele, financiële, juridische en reputatiegevolgen en andere ingrijpende gevolgen van een ramp of langdurige onderbreking in het functioneren van deze hulpmiddelen en, als gevolg daarvan, de verstoring van de normale bedrijfsprocessen van de instelling. Andere vormen van risicobeheermaatregelen kunnen bedoeld zijn om de kans op dergelijke incidenten te verkleinen of de financiële gevolgen ervan over te dragen op derden (bijv. door het afsluiten van verzekeringen).

Om een gedegen bedrijfscontinuïteitsbeheerplan te kunnen vaststellen, dient de instelling zorgvuldig de risicofactoren ten aanzien van, en haar blootstelling aan, ernstige bedrijfsonderbrekingen te analyseren en een beoordeling te maken van de hieruit volgende potentiële effecten (in zowel kwantitatief als kwalitatief opzicht). Daarbij dienen interne en/of externe onderzoeken van gegevens en scenario’s te worden benut. In deze analyse dienen alle bedrijfs- en interne eenheden aan bod te komen, met inbegrip van de risicobeheerfunctie, en moet rekening worden gehouden met hun onderlinge afhankelijkheid en verwevenheid. De resultaten van de analyse dienen bij te dragen aan de bepaling van de herstelprioriteiten en -doelstellingen van de instelling.

Op basis van bovengenoemde analyse dient een instelling de volgende plannen op te stellen:

• a. noodplannen en bedrijfscontinuïteitsplannen die ervoor zorgen dat de instelling passend op noodsituaties reageert en in staat is haar belangrijkste bedrijfsactiviteiten doorgang te laten vinden indien zich een onderbreking van de normale bedrijfsprocedures voordoet; en
• b. herstelplannen voor kritieke hulpbronnen die de instelling in staat stellen de normale bedrijfsprocedures binnen een gepaste termijn te hervatten. Eventuele restrisico’s voortkomend uit potentiële verstoringen in de bedrijfsvoering dienen te stroken met de risicobereidheid van de instelling.

Noodplannen, bedrijfscontinuïteitsplannen en herstelplannen dienen te worden gedocumenteerd en nauwgezet ten uitvoer te worden gelegd. De documentatie dient beschikbaar te zijn in de bedrijfsonderdelen en interne eenheden en bij de risicobeheerfunctie. Voorts dient de documentatie te worden opgeslagen in fysiek van elkaar gescheiden systemen en in noodgevallen gemakkelijk toegankelijk te zijn. Er dient te worden gezorgd voor gepaste opleiding. Plannen dienen regelmatig te worden getest en bijgewerkt. Tekortkomingen of fouten in de testen dienen te worden gedocumenteerd en geanalyseerd, waarna de plannen dienen te worden herzien.

An internal audit plan should be drawn up at least once a year on the basis of the annual internal audit control objectives. The internal audit plan should be approved by the management body.

All audit recommendations should be subject to a formal follow-up procedure by the appropriate levels of management to ensure and report on their effective and timely resolution.

Strategieën, beleid en procedures dienen aan al het relevante personeel in een instelling te worden meegedeeld. Het personeel van een instelling dient het beleid en de procedures die relevant zijn voor hun taken en verantwoordelijkheden, te begrijpen en na te leven.

Bijgevolg dient het leidinggevend orgaan de relevante werknemers op duidelijke en samenhangende wijze in te lichten en van recente informatie te voorzien over de strategieën en beleidsmaatregelen, in ieder geval voor zover dit nodig is om het personeel in staat te stellen zijn taken uit te voeren. De informatie kan worden aangereikt door middel van schriftelijke richtsnoeren, handboeken of andere middelen.

Waar moederondernemingen er door bevoegde autoriteiten uit hoofde van artikel 106, lid 2, van Richtlijn 2013/36/EU toe worden verplicht jaarlijks een beschrijving te publiceren van hun juridische structuur en van de governance- en organisatiestructuur van de groep instellingen, dient deze informatie per land alle entiteiten binnen de groepsstructuur te omvatten, zoals vastgelegd in Richtlijn 2013/34/EU⁴² .

⁴² Richtlijn 2013/34/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende de jaarlijkse financiële overzichten, geconsolideerde financiële overzichten en aanverwante verslagen van bepaalde ondernemingsvormen, tot wijziging van Richtlijn 2006/43/EG van het Europees Parlement en de Raad en tot intrekking van de Richtlijnen 78/660/EEG en 83/349/EEG van de Raad (PB L 182 van 29.6.2013, blz. 19).

Deze publicatie dient in ieder geval het volgende te bevatten:

• a. een overzicht van de interne organisatie van de instellingen en de groepsstructuur zoals gedefinieerd in Richtlijn 2013/34/EU en wijzigingen daarop, met inbegrip van de belangrijkste rapportagelijnen en verantwoordelijkheden;
• b. eventuele belangrijke veranderingen sinds de vorige publicatie en de datum van de belangrijke verandering;
• c. nieuwe juridische, governance- of organisatiestructuren;
• d. informatie over de structuur, organisatie en leden van het leidinggevend orgaan, waaronder het aantal leden en het aantal leden dat is gekwalificeerd als onafhankelijk, met vermelding van het geslacht en de duur van het mandaat van elk lid van het leidinggevend orgaan;
• e. de belangrijkste verantwoordelijkheden van het leidinggevend orgaan;
• f. een lijst van de comités van het leidinggevend orgaan in zijn toezichtfunctie en hun samenstelling;
• g. een overzicht van het beleid inzake belangenconflicten dat van toepassing is op de instelling en op het leidinggevend orgaan;
• h. een overzicht van het kader voor interne controle; en
• i. een overzicht van het kader voor bedrijfscontinuïteitsbeheer.