Titel VI – Beheer van de bedrijfscontinuïteit

Beleggingsondernemingen stellen een gedegen bedrijfscontinuïteitsbeheer- en herstelplan op dat ervoor zorgt dat zij op permanente basis kunnen opereren en dat verliezen door ernstige verstoringen van de bedrijfsactiviteiten worden beperkt.

Beleggingsondernemingen kunnen een specifieke onafhankelijke bedrijfscontinuïteitsfunctie instellen.

De bedrijfsvoering van een beleggingsonderneming is afhankelijk van verscheidene kritieke hulpmiddelen (bijv. IT-systemen met inbegrip van clouddiensten, communicatiesystemen, cruciale personeelsleden en gebouwen). Het doel van bedrijfscontinuïteitsbeheer is het beperken van operationele, financiële, juridische en reputatiegevolgen en andere ingrijpende gevolgen van een ramp of langdurige onderbreking in het functioneren van deze hulpmiddelen en, als gevolg daarvan, de verstoring van de normale bedrijfsprocessen van de beleggingsonderneming. Andere vormen van risicobeheermaatregelen kunnen bedoeld zijn om de kans op dergelijke incidenten te verkleinen of de financiële gevolgen ervan over te dragen op derden (bijv. door het afsluiten van verzekeringen).

Om een gedegen bedrijfscontinuïteitsbeheerplan te kunnen vaststellen, analyseert de beleggingsonderneming zorgvuldig de risicofactoren ten aanzien van, en haar blootstelling aan, ernstige bedrijfsonderbrekingen, en maakt zij een beoordeling van de potentiële (kwantitatieve en kwalitatieve) effecten hiervan. Daarbij worden interne en/of externe onderzoeken van gegevens en scenario’s benut. In deze analyse komen alle bedrijfsonderdelen en interne eenheden aan bod, met inbegrip van de risicobeheerfunctie en risicobeheerprocedures, en wordt rekening gehouden met hun onderlinge afhankelijkheid en verwevenheid. De resultaten van de analyse dragen bij aan de bepaling van de herstelprioriteiten en -doelstellingen van de beleggingsonderneming.

Op basis van bovengenoemde analyse stelt een beleggingsonderneming de volgende plannen op:

• a. noodplannen en bedrijfscontinuïteitsplannen die ervoor zorgen dat de beleggingsonderneming passend op noodsituaties reageert en in staat is haar belangrijkste bedrijfsactiviteiten doorgang te laten vinden indien zich een onderbreking van de normale bedrijfsprocedures voordoet; en
• b. herstelplannen voor kritieke hulpbronnen die de beleggingsonderneming in staat stellen de normale bedrijfsprocedures binnen een gepaste termijn te hervatten. Eventuele restrisico’s voortkomend uit potentiële verstoringen in de bedrijfsvoering dienen te stroken met de risicobereidheid van de beleggingsonderneming.

Noodplannen, bedrijfscontinuïteitsplannen en herstelplannen worden gedocumenteerd en nauwgezet ten uitvoer gelegd. De documentatie is beschikbaar in de bedrijfsonderdelen en interne eenheden en bij de risicobeheerfunctie. Voorts wordt de documentatie opgeslagen in fysiek van elkaar gescheiden systemen en is deze in noodgevallen gemakkelijk toegankelijk. Er wordt gezorgd voor passende opleiding. Plannen worden regelmatig getest en bijgewerkt. Tekortkomingen of fouten in de testen dienen te worden gedocumenteerd en geanalyseerd, waarna de plannen dienen te worden herzien.