Tytuł VI – Zarządzanie ciągłością działania

W celu zapewnienia zdolności do prowadzenia bieżącej działalności i ograniczenia strat w przypadku poważnego zakłócenia działalności instytucje powinny ustanowić prawidłowy plan zarządzania ciągłością działania i działań naprawczych.

Instytucje mogą ustanowić konkretną niezależną komórkę ds. ciągłości działania, np. w ramach KZR⁴¹ .

⁴¹ Zob. też art. 312 rozporządzenia (UE) nr 575/2013.

Działalność instytucji jest uzależniona od pewnych zasobów o znaczeniu krytycznym (np. systemów informatycznych, w tym usług w chmurze, systemów łączności, personelu podstawowego i budynków). Celem zarządzania ciągłością działania jest zmniejszenie operacyjnych, finansowych, prawnych, reputacyjnych i innych istotnych konsekwencji katastrofy lub długotrwałej przerwy w dostępie do tych zasobów oraz wynikającego z niej zakłócenia zwykłych procedur biznesowych instytucji. Inne środki zarządzania ryzykiem mogą mieć na celu zmniejszenie prawdopodobieństwa takich incydentów lub przeniesienie ich skutków finansowych na osoby trzecie (np. dzięki ubezpieczeniu).

Aby ustanowić prawidłowy plan zarządzania ciągłością działania, instytucja powinna poddać starannej analizie czynniki ryzyka i własną ekspozycję na poważne zakłócenia działalności oraz ocenić (w ujęciu ilościowym i jakościowym) ich potencjalne skutki, wykorzystując dane wewnętrzne lub zewnętrzne oraz analizę scenariuszy wariantowych. Analiza ta powinna obejmować wszystkie linie biznesowe i jednostki wewnętrzne, w tym KZR, oraz powinna uwzględniać ich wzajemne zależności. Wyniki analizy powinny wnieść wkład w określenie priorytetów i celów instytucji w zakresie przywrócenia działalności.

Na podstawie powyższej analizy instytucja powinna ustanowić:

• a. plany awaryjne i plany ciągłości działania zapewniające odpowiednią reakcję instytucji na sytuacje awaryjne oraz jej zdolność do kontynuowania najważniejszej działalności w razie zakłócenia zwykłych procedur biznesowych; oraz
• b. plany przywrócenia zasobów o znaczeniu krytycznym służące wznowieniu zwykłych procedur biznesowych w odpowiednich ramach czasowych. Wszelkie ryzyko szczątkowe wynikające z potencjalnego zakłócenia działalności powinno być zgodne z gotowością instytucji do podejmowania ryzyka.

Plany awaryjne, plany ciągłości działania i plany przywrócenia gotowości do pracy powinny być udokumentowane oraz należycie wdrożone. Dokumentacja powinna być dostępna w liniach biznesowych, jednostkach wewnętrznych i KZR oraz powinna być przechowywana w systemach oddzielonych fizycznie i łatwo dostępnych w razie wystąpienia sytuacji awaryjnej. Należy przeprowadzić odpowiednie szkolenia. Plany należy regularnie testować i aktualizować. Wszelkie trudności lub niepowodzenia ujawnione podczas testów należy udokumentować i przeanalizować, a plany poddać stosownemu przeglądowi.