Artikel 20 Operationeel risico

1.   Een SIPS-exploitant zet een solide kader op met toepasselijke systemen, beleidslijnen, procedures en controles voor het vaststellen, monitoren en beheren van operationele risico’s.

2.   Een SIPS-exploitant voert regelmatig, en na aanzienlijke veranderingen, een audit uit op systemen, operationeel beleid, procedures en controles, en toetst en test deze.

3.   Een SIPS-exploitant stelt doelstellingen en beleidslijnen inzake dienstverleningsniveau en operationele betrouwbaarheid vast die zijn ontworpen om deze doelstellingen te verwezenlijken. De SIPS-exploitant herziet de doelstellingen en beleidslijnen tenminste eenmaal per jaar.

4.   Een SIPS-exploitant zorgt ervoor dat een SIPS te allen tijde over schaalbare capaciteit beschikt om voor de verwerking van stijgingen van betalingsvolumes door stressgebeurtenissen en de verwezenlijking van de doelstellingen van de SIPS-exploitant doelstellingen op het gebied van dienstverleningsniveau.

5.   Een SIPS-exploitant stelt alomvattende fysieke en informatie- en communicatietechnologie (ICT)-beveiligingsbeleidslijnen, -processen en systeembeleid, alsook veerkrachtige informatiesystemen vast die alle mogelijk kwetsbaarheden, dreigingen, incidenten en risico’s in een ICT-omgeving adequaat identificeren, beoordelen en beheren. De SIPS-exploitant herziet de criteria tenminste eenmaal per jaar.

6.   Een SIPS-exploitant stelt een bedrijfscontinuïteitsplan op voor de aanpak van gebeurtenissen die een aanzienlijk risico voor verstoring van de bedrijfsvoering van de SIPS vormen. Het plan houdt het gebruik in van een tweede locatie en is ontworpen om zeker te stellen dat kritische informatietechnologiesystemen binnen twee uur na dergelijke gebeurtenissen weer in werking kunnen zijn. Het plan wordt zodanig opgesteld dat het SIPS altijd in staat is om alle betalingen aan het einde van de werkdag waarop de verstoring plaatsvindt af te wikkelen. De SIPS-exploitant test en herziet het plan tenminste eenmaal per jaar.

7.   Een SIPS-exploitant identificeert kritieke deelnemers op basis van met name betalingsvolumes en -waarden en de mogelijke gevolgen daarvan voor andere deelnemers en het SIPS als geheel, in geval van een aanzienlijk operationeel probleem dat door die deelnemer wordt ervaren.

8.   Een SIPS-exploitant identificeert, monitort en beheert de risico’s die kritieke deelnemers, andere FMI’s en aanbieders van diensten en nutsvoorzieningen kunnen vormen voor de exploitatie van het SIPS.

9.   Voor de toepassing van dit artikel omvatten verwijzingen naar “risico” de in de artikelen 21 en 22 genoemde risico’s.