Titel VI – Beheer van de bedrijfscontinuïteit

Instellingen dienen een gedegen bedrijfscontinuïteitsbeheer- en herstelplan op te stellen dat ervoor zorgt dat zij op permanente basis kunnen opereren en dat verliezen door ernstige verstoringen van de bedrijfsactiviteiten worden beperkt.

Instellingen kunnen een specifieke onafhankelijke bedrijfscontinuïteitsfunctie instellen, bijv. als onderdeel van de risicobeheerfunctie⁴¹ .

⁴¹ Zie ook artikel 312 van Verordening (EU) nr. 575/2013.

De bedrijfsvoering van een instelling is afhankelijk van verscheidene kritieke hulpmiddelen (bijv. IT-systemen met inbegrip van clouddiensten, communicatiesystemen, cruciale personeelsleden en gebouwen). Het doel van bedrijfscontinuïteitsbeheer is het beperken van operationele, financiële, juridische en reputatiegevolgen en andere ingrijpende gevolgen van een ramp of langdurige onderbreking in het functioneren van deze hulpmiddelen en, als gevolg daarvan, de verstoring van de normale bedrijfsprocessen van de instelling. Andere vormen van risicobeheermaatregelen kunnen bedoeld zijn om de kans op dergelijke incidenten te verkleinen of de financiële gevolgen ervan over te dragen op derden (bijv. door het afsluiten van verzekeringen).

Om een gedegen bedrijfscontinuïteitsbeheerplan te kunnen vaststellen, dient de instelling zorgvuldig de risicofactoren ten aanzien van, en haar blootstelling aan, ernstige bedrijfsonderbrekingen te analyseren en een beoordeling te maken van de hieruit volgende potentiële effecten (in zowel kwantitatief als kwalitatief opzicht). Daarbij dienen interne en/of externe onderzoeken van gegevens en scenario’s te worden benut. In deze analyse dienen alle bedrijfs- en interne eenheden aan bod te komen, met inbegrip van de risicobeheerfunctie, en moet rekening worden gehouden met hun onderlinge afhankelijkheid en verwevenheid. De resultaten van de analyse dienen bij te dragen aan de bepaling van de herstelprioriteiten en -doelstellingen van de instelling.

Op basis van bovengenoemde analyse dient een instelling de volgende plannen op te stellen:

• a. noodplannen en bedrijfscontinuïteitsplannen die ervoor zorgen dat de instelling passend op noodsituaties reageert en in staat is haar belangrijkste bedrijfsactiviteiten doorgang te laten vinden indien zich een onderbreking van de normale bedrijfsprocedures voordoet; en
• b. herstelplannen voor kritieke hulpbronnen die de instelling in staat stellen de normale bedrijfsprocedures binnen een gepaste termijn te hervatten. Eventuele restrisico’s voortkomend uit potentiële verstoringen in de bedrijfsvoering dienen te stroken met de risicobereidheid van de instelling.

Noodplannen, bedrijfscontinuïteitsplannen en herstelplannen dienen te worden gedocumenteerd en nauwgezet ten uitvoer te worden gelegd. De documentatie dient beschikbaar te zijn in de bedrijfsonderdelen en interne eenheden en bij de risicobeheerfunctie. Voorts dient de documentatie te worden opgeslagen in fysiek van elkaar gescheiden systemen en in noodgevallen gemakkelijk toegankelijk te zijn. Er dient te worden gezorgd voor gepaste opleiding. Plannen dienen regelmatig te worden getest en bijgewerkt. Tekortkomingen of fouten in de testen dienen te worden gedocumenteerd en geanalyseerd, waarna de plannen dienen te worden herzien.